Aceasta găzduiește servicii care necesită accesibilitate externă fără a oferi o cale directă către sisteme mai de încredere. Traficul care intră sau iese din DMZ traversează frontiere de securitate gestionate explicit și este limitat la fluxurile necesare.
Front-end-uri web publice, reverse proxy-uri, DNS autoritativ, relee de e-mail și gateway-uri de acces remote sunt rezidenți obișnuiți ai DMZ. Un DMZ poate folosi firewall-uri separate sau mai multe zone de politici pe o platformă; eticheta nu prescrie o topologie. Administrarea, actualizările și conexiunile cu backend-ul necesită căi controlate.
Puncte esențiale
Amplasarea serviciilorPăstrați componentele expuse pe internet separate de bazele de date sensibile, sistemele de identitate, rețelele de utilizatori și planurile de management. Stocați doar datele și credențialele necesare.
Controlul fluxurilorRefuzați implicit traficul în ambele direcții, apoi permiteți surse, destinații, protocoale și scopuri specifice. Gazdele compromise pot apela acasă sau pot pivota spre interior.
Operațiuni și disponibilitateFolosiți management întărit, jurnale centralizate, dependențe reziliente, protecție de capacitate, planuri de patching și recuperare testată. Eșecurile DMZ pot întrerupe servicii.
Limitare importantăUn DMZ conține riscul; nu face serviciile expuse demne de încredere și nu creează un air gap. Fluxurile permise pot transporta atacuri, administrarea partajată poate uni zonele, iar un DMZ ocolibil oferă puțină izolare. În tehnologia operațională, un IDMZ este o frontieră IT/OT distinctă, cu constrângeri de siguranță și disponibilitate, nu un DMZ de internet redenumit.