Что такое демилитаризованная зона в компьютерных сетях

Зачем нужна демилитаризованная зона (DMZ) в роутере и как её настроить

Вы наверняка встречали в настройках своего роутера непонятный параметр «демилитаризованная зона (DMZ)». Большинству пользователей данная настройка действительно не нужна и уж тем более, мало кто понимает, что туда нужно прописывать.

Однако данная функция может быть весьма полезной в случае, когда необходимо открыть доступ к камерам видео-наблюдения или домашнему игровому серверу. Обычно это реализуется через проброс портов, но в некоторых случаях без настройки демилитаризованной зоны не обойтись. Даже если вы ничем вышеописанным не пользуетесь, не будет лишним узнать что же такое DMZ и как её настроить в случае необходимости.

Итак, простыми словами, DMZ (демилитаризованная зона) — это выделенная часть вашей локальной сети, доступная из Internet. Как правило в ней размещают какие-то общедоступные сервисы типа камер видеонаблюдения, уже упомянутых ранее игровых серверов или сетевого хранилища, к которому нужен доступ из любого места. Причём ваша домашняя (частная) сеть остается закрытой настройками роутера без каких-либо изменений.

Если проводить аналогии с обычной жизнью, то DMZ чем-то напоминает клиентскую зону, где клиенты могут находиться только в ней, а персонал может быть как в клиентской, так и в рабочих зонах.

Следует понимать, что ресурсы, размещаемые в демилитаризованной зоне подвергаются максимальному риску к подбору паролей и других сетевых атак. Давайте расскажу для чего такая демилитаризованная зона понадобилась мне и как её настроить.

Настройка демилитаризованной зоны на роутере Beeline

В моём случае возникла проблема с доступом в локальную сеть при автоматическом переключении роутера MikroTik на резервный канал связи. Сейчас у меня подключено 2 провайдера, и на основном канале последнее время наблюдаются постоянные перебои с предоставлением услуг связи (отдельный привет провайдеру «Virgin Connect» он же «Мегамакс»).

Резервный канал заведён от Beeline через отдельный роутер (предоставлен провайдером), который отвечает ещё и за гостевую сеть Wi-Fi. Чтобы было понятней, вот так выглядит схема выхода в Интернет:

Источник

Что такое демилитаризованная зона (DMZ)?

Демилитаризованная зона или DMZ звучит очень захватывающе. Вы думаете о границе между Северной и Южной Кореей, а не о подключение к интернету вашего бизнес-сайта. Когда вы сталкиваетесь с этим, вы спрашиваете себя: «Что это?» и «Что я могу с этим сделать?». Запрос DMZ обычно возникает только в определенной ситуации. Но сначала определение:

Определение демилитаризованной зоны

ДМЗ или «демилитаризованная зона» — это мера безопасности, которую мы используем для защиты внутренняя сеть организации от внешних угроз. По сути, это небольшая подсеть, расположенная между внутренней сетью компании и Интернетом и выступающая в качестве буфера между ними.

Основное использование DMZ — предоставить внешним пользователям доступ к определенным ресурсам во внутренней сети компании, при этом защищая внутреннюю сеть от внешних угроз. Например, мы можем использовать демилитаризованную зону для размещения общедоступного веб-сайта компании, при этом защищая внутреннюю сеть компании и конфиденциальные данные.

Преимущества DMZ

Использование DMZ имеет несколько преимуществ. Во-первых, это помогает повысить безопасность, обеспечивая дополнительный уровень защиты между внутренней сетью компании и Интернетом. Это затрудняет проникновение внешних угроз во внутреннюю сеть компании. Во-вторых, DMZ также может использовать производительность сети путем перемещения определенных услуг, таких как веб-хостинг, в выделенную сеть DMZ. Это может помочь снизить нагрузку на внутреннюю сеть компании и повысить общую производительность сети.

Мы также можем использовать DMZ в сочетании с прокси-сервером. Прокси-сервер действует как посредник между пользователем и Интернетом и может использоваться для повышения безопасности, производительности и соответствия требованиям. Используя прокси-сервер в демилитаризованной зоне, компания может повысить безопасность, контролируя и отслеживая доступ в Интернет, при этом позволяя удаленным пользователям получать доступ к определенным ресурсам во внутренней сети компании.

примеров

В какой из следующих ситуаций вы, скорее всего, вошли бы в демилитаризованную зону? Веб-серверы, серверы электронной почты или удаленный доступ? Во всех трех!

Несколько примеров того, где мы можем использовать DMZ:

• Веб-серверы: Если у нашей организации есть общедоступный веб-сайт, мы часто размещаем его в демилитаризованной зоне, чтобы злоумышленники не могли напрямую получить доступ к внутренней сети, если им удастся взломать веб-сайт.
• Серверы электронной почты. Мы также часто размещаем серверы электронной почты в демилитаризованной зоне, чтобы злоумышленники не могли получить прямой доступ к внутренней сети, если им удастся взломать сервер электронной почты.
• Удаленный доступ: если организация использует удаленный доступ, например VPN, мы можем использовать демилитаризованную зону, чтобы предотвратить прямой доступ злоумышленников к внутренней сети, если им удастся взломать удаленную точку доступа.

Насколько безопасна демилитаризованная зона?

DMZ может быть хорошим способом защиты внутренней сети организации от внешних атак, но она не является непроницаемой. Есть несколько способов, которыми злоумышленник может получить доступ к внутренней сети через демилитаризованную зону, например:

• Эксплойты нулевого дня: Эксплойт нулевого дня — это уязвимость в программном обеспечении, которая еще не известна создателю программного обеспечения или сообществу безопасности. Если злоумышленник обнаружит эксплойт нулевого дня в программном обеспечении, которое мы предоставляем в демилитаризованной зоне, он может использовать его для получения доступа к внутренней сети.
• Социальная инженерия: Злоумышленник также может попытаться получить доступ к внутренней сети с помощью социальной инженерии. Например, злоумышленник пытается убедить сотрудника организации раскрыть определенную информацию или разрешить доступ к определенным системам.
• Неправильная конфигурация: если DMZ настроена неправильно, это может привести к серьезным уязвимостям в системе безопасности. Например, если правило брандмауэра настроено неправильно, это может привести к открытому порту, через который злоумышленник может получить доступ.

Для повышения безопасности демилитаризованной зоны важно регулярно обновлять программное обеспечение и обучать сотрудников процедурам безопасности. Кроме того, важно регулярно проверять правильность настройки DMZ.

Случаи взлома демилитаризованной зоны

Известно много случаев взлома демилитаризованной зоны. Иногда это делает отдельный хакер, иногда группа или даже государство. Например, хакеры могут использовать уязвимости программного обеспечения или ошибки конфигурации сети, чтобы получить доступ к демилитаризованной зоне. Оказавшись внутри, они могут искать конфиденциальную информацию, отключать системы или даже запускать свой собственный код. Вот почему важно, чтобы демилитаризованная зона была надлежащим образом защищена и проводились регулярные проверки для обнаружения и устранения любых уязвимостей.

Примеры взлома DMZ

Есть много примеров взломанных DMZ. Вот некоторые известные случаи:

• В 2014 году DMZ компании Sony Pictures Entertainment была взломана. Хакеры, связанные с Северной Кореей, украли конфиденциальную информацию и обнародовали ее. Взлом привел к серьезному ущербу для Sony и лишил работы нескольких человек.
• В 2016 году DMZ Министерства юстиции США была взломана. Хакеры, связанные с Россией, похитили информацию о сотрудниках и их семьях. Взлом был описан как «серьезная кибер-нарушение» и вызвал опасения по поводу безопасности у правительства США.
• В 2017 году взломана Демилитаризованная зона британской системы здравоохранения. Атака программы-вымогателя, которая была связана с группой, связанной с российским Кремлем, отключила большую часть цифровой инфраструктуры системы здравоохранения и вынудила больницы отказываться от пациентов.
• В 2019 году демилитаризованная зона города Балтимор была взломана программой-вымогателем. Хакеры потребовали выкуп в размере 13 биткойнов (приблизительно 100.000 XNUMX долларов США) за возврат зашифрованных данных.

Важно отметить, что эти примеры, хотя и хорошо известны, являются лишь небольшой частью многих хакерских атак DMZ. Однако эти примеры показывают, насколько важно иметь хорошую безопасность и выполнять регулярные проверки демилитаризованной зоны для обнаружения и устранения любых уязвимостей.

Резюме Демилитаризованная зона

Таким образом, DMZ — это мера безопасности, которую мы используем для защиты внутренней сети компании от внешних угроз. Это небольшая подсеть, расположенная между внутренней сетью компании и Интернетом и выступающая в качестве буфера между ними. Основное использование DMZ — предоставить внешним пользователям доступ к определенным ресурсам во внутренней сети компании, при этом защищая внутреннюю сеть от внешних угроз. Мы также можем использовать DMZ в сочетании с прокси-сервером для повышения безопасности, производительности и соответствия требованиям.

Важно отметить, что это сложная тема, и существует множество различных способов установки и настройки DMZ в зависимости от конкретных требований компании. Лучше всего проконсультироваться со специалистом по безопасности или специалистом по сети, чтобы убедиться, что DMZ правильно установлена ​​и настроена для бизнеса.

Короче говоря, мы можем использовать DMZ (демилитаризованную зону), чтобы отделить корпоративную сеть от общедоступной сети, такой как Интернет. Это позволяет нам гарантировать, что наша внутренняя сеть остается защищенной от внешних атак.

Мы используем DMZ (демилитаризованную зону), чтобы отделить сеть компании от общедоступной сети, такой как Интернет. Это позволяет нам гарантировать, что наша внутренняя сеть остается защищенной от внешних атак. Это сложная тема, и существует множество различных способов установки и настройки DMZ в зависимости от конкретных требований компании.

Источник

DMZ (компьютерные сети)

ДМЗ (демилитаризованная зона, DMZ) — технология обеспечения защиты информационного периметра, при которой серверы, отвечающие на запросы из внешней сети, находятся в особом сегменте сети (который и называется ДМЗ) и ограничены в доступе к основным сегментам сети с помощью межсетевого экрана (файрвола), с целью минимизировать ущерб при взломе одного из общедоступных сервисов, находящихся в ДМЗ.

Конфигурации ДМЗ

В зависимости от требований к безопасности, ДМЗ может организовываться одним, двумя или тремя файрволами.

Конфигурация с одним файрволом

Простейшей (и наиболее распространённой) схемой является схема, в которой ДМЗ, внутренняя сеть и внешняя сеть подключаются к разным портам маршрутизатора (выступающего в роли файрвола), контролирующего соединения между сетями. Подобная схема проста в реализации, требует всего лишь одного дополнительного порта. Однако в случае взлома (или ошибки конфигурирования) маршрутизатора сеть оказывается уязвима напрямую из внешней сети.

Конфигурация с двумя файрволами

В конфигурации с двумя файрволами ДМЗ подключается к двум маршрутизаторам, один из которых ограничивает соединения из внешней сети в ДМЗ, а второй контролирует соединения из ДМЗ во внутреннюю сеть. Подобная схема позволяет минимизировать последствия взлома любого из файрволов или серверов, взаимодействующих с внешней сетью — до тех пор, пока не будет взломан внутренний файрвол, злоумышленник не будет иметь произвольного доступа к внутренней сети.

Конфигурация с тремя файрволами

Существует редкая конфигурация с тремя файрволами. В этой конфигурации первый из них принимает на себя запросы из внешней сети, второй контролирует сетевые подключения ДМЗ, а третий — контролирует соединения внутренней сети. В подобной конфигурации обычно ДМЗ и внутренняя сеть скрываются за NAT (трансляцией сетевых адресов).

Одной из ключевых особенностей ДМЗ является не только фильтрация трафика на внутреннем файрволе, но и требование обязательной сильной криптографии при взаимодействии между активным оборудованием внутренней сети и ДМЗ. В частности, не должно быть ситуаций, в которых возможна обработка запроса от сервера в ДМЗ без авторизации. В случае, если ДМЗ используется для обеспечения защиты информации внутри периметра от утечки изнутри, аналогичные требования предъявляются для обработки запросов пользователей из внутренней сети.

ДМЗ и SOHO

В случае использования домашних (SOHO) маршрутизаторов и точек доступа под ДМЗ иногда подразумевается возможность «проброса портов» (PAT) — осуществления трансляции пришедшего из внешней сети запроса на какой-либо порт маршрутизатора на указанный узел внутренней сети [1] .

Примечания

1. ↑ Цитата из инструкции одного из SOHO-маршрутизаторов: «. настраиваемый пользователем ДМЗ-порт для поддержки локальных серверов — почтового, веб-сервера и FTP-сервера» (англ.«. user-configurable DMZ port to support local servers such as e-mail, Web, and FTP» ).

Wikimedia Foundation . 2010 .

Источник