Usos comuns da DMZ
Uma DMZ é uma seção da rede corporativa que é separada do restante dos sistemas da organização. Ele é usado para hospedar servidores que interagem com usuários externos (incluindo aqueles da Internet pública e organizações terceirizadas não confiáveis) e podem ser explorados por um invasor.
Alguns servidores que provavelmente residirão na DMZ incluem:
- Servidores web
- Servidores de e-mail
- Servidores DNS
- Servidores FTP
- Servidores proxy
Esses servidores fornecem serviços a usuários externos e correm o risco de serem explorados por um usuário mal-intencionado. Separá-los do restante da rede corporativa torna mais difícil para um invasor passar de um servidor voltado para o público para outros recursos corporativos mais valiosos.
Abordagens para a implementação da DMZ
As DMZs hospedam servidores que podem representar uma ameaça para o restante da rede privada devido ao seu maior potencial de exploração por um invasor. Uma organização deve identificar os servidores que fornecem serviços públicos e colocá-los dentro da DMZ.
A DMZ é separada do restante da rede externa por um firewall. Isso pode ser implementado de duas maneiras:
- Firewall único: Um único firewall com pelo menos três interfaces de rede pode ser usado para criar uma DMZ. Uma interface se conecta à rede pública, a segunda à DMZ e a terceira à rede corporativa interna. A separação da DMZ em uma interface separada ajuda a isolá-la e permite que a empresa limite seu contato com a rede interna com base em regras de firewall e controles de acesso.
- Firewall duplos: Uma DMZ também pode ser criada usando dois firewalls distintos. O primeiro firewall separa a DMZ da Internet pública, enquanto o segundo divide a DMZ da rede interna. Esse design é mais seguro, pois implementa a defesa em profundidade, forçando o invasor a contornar dois firewalls para acessar a rede corporativa interna.
Importância da DMZ
A DMZ é um componente importante de uma rede corporativa porque separa os sistemas de alto risco dos de alto valor. Um servidor da Web é um sistema de alto risco para a organização porque os aplicativos da Web geralmente contêm vulnerabilidades exploráveis que podem dar ao invasor acesso ao servidor que os hospeda.
Isolar esses sistemas do restante da rede corporativa faz sentido para proteger outros sistemas corporativos contra esses invasores.
À medida que as organizações implementam o ZTNA ( Zero Trust Network Access ), as DMZs podem se tornar menos vitais, pois cada aplicativo e sistema é isolado de todos os outros por firewall e controles de acesso. Uma arquitetura zero trust coloca efetivamente cada parte da rede corporativa em sua própria DMZ, melhorando a camada de segurança da rede como um todo.
Melhores práticas para DMZ
Para garantir que a DMZ esteja funcionando adequadamente e protegendo a organização contra possíveis ameaças, implemente as seguintes práticas recomendadas:
- Proteção por firewall duplo: As DMZs podem ser arquitetadas com um único firewall ou um firewall duplo. O uso de dois firewalls reduz o risco ao forçar o invasor a derrotar vários firewalls para obter acesso a sistemas de alto valor dentro da LAN corporativa.
- Implemente o Granular Controles de acesso: As organizações devem implementar controles de acesso para o tráfego externo que entra e sai da rede corporativa e que flui entre ela e a LAN corporativa interna. Idealmente, esses serão os controles de acesso com menos privilégios implementados como parte de uma estratégia de segurança de confiança zero.
- Aplique as atualizações imediatamente: O firewall da DMZ é essencial para proteger a rede corporativa interna contra possíveis invasões da DMZ. As organizações devem verificar regularmente e aplicar as atualizações do site firewall para garantir que qualquer segurança de API seja fechada antes que possa ser explorada por um invasor.
- Execute regularmente Avaliações de vulnerabilidade: Além do gerenciamento de patches, as equipes de segurança também devem realizar varreduras e avaliações regulares de vulnerabilidade para identificar quaisquer problemas de segurança em sua DMZ. Além dos sistemas não corrigidos, eles podem incluir erros de configuração, intrusões negligenciadas e qualquer outra coisa que possa colocar a organização em risco.
Aumente a segurança com o firewall com tecnologia IA da Check Point
Uma DMZ é uma parte importante da arquitetura de segurança de uma organização que protege o restante da rede corporativa contra possíveis comprometimentos de servidores da Web e outros serviços voltados para o público. No entanto, a DMZ só é eficaz se estiver protegida por um firewall capaz de impedir que os invasores passem para a rede interna.
Isso requer um firewall de próxima geração (NGFW), de preferência versões que aproveitem o poder dos mecanismos de IA/ML para bloquear ameaças de dia zero. Saiba mais sobre o que procurar em um firewall empresarial moderno com este guia do comprador.
Os NGFWs da Check Point estão disponíveis como soluções autônomas ou como parte do Harmony SASE. Para saber mais, fique à vontade para se inscrever demo gratuitamente no Check Point Quantum site do Force NGFW.
Opinião