De demilitarized zone: bescherming voor het interne netwerk

Elk bedrijf dat een eigen mailserver beheert of een website host, heeft hetzelfde probleem: computers die web- of mailservices aanbieden, moeten via het internet bereikbaar zijn. Tegelijkertijd hebben medewerkers vanaf het LAN (Local Area Network) snelle toegang nodig tot deze bronnen. Het opereren binnen hetzelfde netwerk brengt een groot veiligheidsrisico met zich mee. Web-, mail-, DNS- of proxyservers die toegang tot het publieke netwerk moeten hebben, bieden hackers riante mogelijkheden voor aanvallen. Wanneer deze "bastion hosts" direct met het LAN zijn verbonden, bestaat het risico dat een corrupte server het gehele bedrijfsnetwerk schade toebrengt. Een demilitarized zone, ook wel een perimeter netwerk genoemd, waarin kwetsbare servers kunnen worden uitbesteed, lost dit dilemma op.

Om bedrijfsnetwerken betrouwbaar af te schermen tegen aanvallen vanuit het publieke netwerk (WAN) wordt normaal gesproken gebruikgemaakt van DMZ-concepten met twee firewalls. Het gaat daarbij om autonome hardwarecomponenten of om firewall-software op een geschikte router voor een DMZ. De buitenste firewall schermt de demilitarized zone van het publieke netwerk af, de binnenste firewall wordt tussen de DMZ en het bedrijfsnetwerk ingeschakeld.

Terwijl gebruikers van het LAN zowel toegang hebben tot de DMZ-servers als tot het openbare internet, krijgen gebruikers van het internet alleen toegang tot de demilitarized zone. Bovendien wordt dataverkeer afkomstig uit de DMZ door beide firewalls geblokkeerd.

Het is raadzaam om firewalls van verschillende producenten te gebruiken. Anders zouden hackers in geval van een veiligheidslek in de DMZ beide firewalls kunnen omzeilen. Om aanvallen van een gecompromitteerde server op andere apparaten binnen de DMZ te voorkomen, kunnen ze met extra software-firewalls of een segmentatie in de VLAN’s (Virtual Local Network) van elkaar worden afgeschermd.

Veel goedkope routers adverteren met DMZ-ondersteuning via een onterecht aangeduide “DMZ-host”. Vaak betekent dit alleen dat een computer in het lokale netwerk kan worden geconfigureerd als exposed host. De upstream-router forwardt alle online aanvragen die niet bij bestaande verbindingen horen. De computer wordt zo bereikbaar voor online gebruikers. Een exposed host biedt echter niet de bescherming van een echte DMZ, omdat hij niet is gescheiden van het LAN. Een DMZ-router als zodanig bestaat dan ook niet.

Eigen netwerk opzetten?

Naar server aanbiedingen