In der Computersicherheit ist eine DMZ (manchmal auch als Perimeter-Netzwerk bezeichnet) ein physisches oder logisches Subnetz, das die nach außen gerichteten Dienste eines Unternehmens enthält und einem größeren nicht vertrauenswürdigen Netzwerk, normalerweise dem Internet, aussetzt. Der Zweck einer DMZ besteht darin, dem lokalen Netzwerk (LAN) einer Organisation eine zusätzliche Sicherheitsebene hinzuzufügen. Ein externer Angreifer hat nur Zugriff auf Geräte in der DMZ und nicht auf andere Teile des Netzwerks. Der Name leitet sich vom Begriff „entmilitarisierte Zone“ ab, einem Gebiet zwischen Nationalstaaten, in dem militärische Aktionen nicht zulässig sind.
Es ist gängige Praxis, eine Firewall und eine entmilitarisierte Zone (DMZ) in Ihrem Netzwerk zu haben, aber viele Leute, selbst IT-Experten, verstehen nicht wirklich warum, außer einer vagen Vorstellung von Semi-Sicherheit.
Die meisten Unternehmen, die ihre eigenen Server hosten, betreiben ihre Netzwerke mit einer DMZ am Rand ihres Netzwerks und arbeiten normalerweise auf einer separaten Firewall als semi-vertrauenswürdiger Bereich für Systeme, die mit der Außenwelt verbunden sind.
Warum gibt es solche Zonen und welche Arten von Systemen oder Daten sollten sich in ihnen befinden?
Um echte Sicherheit zu gewährleisten, ist es wichtig, den Zweck einer DMZ klar zu verstehen.
Die meisten Firewalls sind Sicherheitsgeräte auf Netzwerkebene, normalerweise eine Appliance oder eine Appliance in Kombination mit Netzwerkgeräten. Sie sollen ein detailliertes Mittel zur Zugriffskontrolle an einem wichtigen Punkt in einem Unternehmensnetzwerk bereitstellen. Eine DMZ ist ein Bereich Ihres Netzwerks, der von Ihrem internen Netzwerk und dem Internet getrennt ist, aber mit beiden verbunden ist.
Eine DMZ soll Systeme hosten, auf die über das Internet zugegriffen werden muss, jedoch auf andere Weise als in Ihrem internen Netzwerk. Der Grad der Verfügbarkeit für das Internet auf Netzwerkebene wird von der Firewall gesteuert. Der Grad der Verfügbarkeit für das Internet auf Anwendungsebene wird durch Software gesteuert, die eine Kombination aus Webserver, Betriebssystem, benutzerdefinierter Anwendung und häufig Datenbanksoftware darstellt.
Die DMZ ermöglicht normalerweise einen eingeschränkten Zugriff aus dem Internet und aus dem internen Netzwerk. Interne Benutzer müssen normalerweise auf Systeme innerhalb der DMZ zugreifen, um Informationen zu aktualisieren oder dort gesammelte oder verarbeitete Daten zu verwenden. Die DMZ soll der Öffentlichkeit den Zugang zu Informationen über das Internet ermöglichen, jedoch in begrenztem Umfang. Da jedoch das Internet und eine Welt genialer Menschen ausgesetzt sind, besteht das allgegenwärtige Risiko, dass diese Systeme kompromittiert werden können.
Kompromisse haben zwei Auswirkungen: Erstens können Informationen über die exponierten Systeme verloren gehen (d. H. Kopiert, zerstört oder beschädigt werden), und zweitens kann das System selbst als Plattform für weitere Angriffe auf sensible interne Systeme verwendet werden.
Um das erste Risiko zu minimieren, sollte die DMZ den Zugriff nur über begrenzte Protokolle zulassen (z. B. HTTP für normalen Webzugriff und HTTPS für verschlüsselten Webzugriff). Dann müssen die Systeme selbst sorgfältig konfiguriert werden, um Schutz durch Berechtigungen, Authentifizierungsmechanismen, sorgfältige Programmierung und manchmal Verschlüsselung zu bieten.
Überlegen Sie, welche Informationen Ihre Website oder Anwendung sammelt und speichert. Dies kann verloren gehen, wenn Systeme durch häufige Webangriffe wie SQL-Injection, Pufferüberläufe oder falsche Berechtigungen gefährdet werden.
Um das zweite Risiko zu minimieren, sollten Systeme, die sich tiefer im internen Netzwerk befinden, DMZ-Systemen nicht vertrauen. Mit anderen Worten, DMZ-Systeme sollten nichts über interne Systeme wissen, obwohl einige interne Systeme möglicherweise über DMZ-Systeme Bescheid wissen. Darüber hinaus sollten DMZ-Zugriffskontrollen es DMZ-Systemen nicht ermöglichen, weitere Verbindungen zum Netzwerk herzustellen. Stattdessen sollte jeder Kontakt zu DMZ-Systemen von internen Systemen initiiert werden. Wenn ein DMZ-System als Angriffsplattform gefährdet ist, sollten nur andere DMZ-Systeme sichtbar sein.
Es ist wichtig, dass IT-Manager und Geschäftsinhaber die Arten von Schäden verstehen, die an im Internet exponierten Systemen möglich sind, sowie die Mechanismen und Schutzmethoden wie DMZs. Eigentümer und Manager können nur dann fundierte Entscheidungen darüber treffen, welche Risiken sie eingehen möchten, wenn sie genau wissen, wie effektiv ihre Tools und Prozesse diese Risiken mindern.
3 Minuten gelesen
