English · Ελληνικά
Αν δημοσιεύεις οτιδήποτε στο internet — έναν ιστότοπο, έναν mail server, μια πύλη κρατήσεων, ένα VPN — πρέπει να αποφασίσεις πού ζει και τι μπορεί να το φτάσει. Βάλ' το στο LAN και μια παραβίαση κατέχει τα πάντα· μη το βάλεις πουθενά και κανείς δεν μπορεί να το χρησιμοποιήσει. Το DMZ είναι η απάντηση, και το πού τοποθετείς τα firewalls σου είναι η αρχιτεκτονική.
Ένα DMZ (αποστρατιωτικοποιημένη ζώνη) είναι ένα τμήμα δικτύου για τα συστήματα που πρέπει να είναι προσβάσιμα από το internet, τοποθετημένο έτσι ώστε αν ένα από αυτά παραβιαστεί, ο επιτιθέμενος να μην μπορεί ακόμα να φτάσει το εσωτερικό σου LAN. Αυτή η τελευταία ρήτρα είναι όλο το νόημα. Οτιδήποτε είναι internet-facing είναι, εξ ορισμού, το πιο πιθανό να παραβιαστεί· η δουλειά της αρχιτεκτονικής είναι να εξασφαλίσει ότι ένας παραβιασμένος web server είναι μια κακή μέρα, όχι ολική καταστροφή.
Ο σχεδιασμός αφορά την τοποθέτηση firewall και την κατεύθυνση κίνησης. Ο κανόνας που κρατάει το βάρος είναι DMZ → LAN: deny — οι δημοσιευμένες υπηρεσίες μπορούν να μιλάνε στο internet και να τις φτάνει, αλλά δεν πρέπει να μπορούν να ξεκινούν συνδέσεις προς τα μέσα. Τα εσωτερικά hosts βγαίνουν ελεύθερα προς τα έξω· το internet φτάνει μόνο συγκεκριμένα ports του DMZ· τίποτα από έξω ή από το DMZ δεν φτάνει το trusted LAN απρόσκλητο. Αυτό χτίζεται πάνω στη segmentation και το zone-based firewall, εφαρμοσμένο στο όριο με το υψηλότερο διακύβευμα που έχεις.
01
Ένα μόνο firewall με τρία interfaces — internet, DMZ, LAN — και μια πολιτική ανάμεσα σε κάθε ζευγάρι. Το φθηνότερο και απόλυτα επαρκές για τις περισσότερες επιχειρήσεις.
Το τρίποδο (ή «three-homed») firewall είναι το πραγματιστικό standard: μία συσκευή, τρεις ζώνες, τρία σετ κανόνων. Το Internet→DMZ επιτρέπει τα δημοσιευμένα ports (443 στον web server, 25/587 στο mail). Το Internet→LAN απορρίπτει τα πάντα ανεπιθύμητα. Το DMZ→LAN απορρίπτει (ο κρίσιμος κανόνας). Το LAN→οπουδήποτε επιτρέπεται, stateful. Είναι απλό, ένα μέρος για διαχείριση, και για ένα ξενοδοχείο, γραφείο, ή κλινική που δημοσιεύει μερικές υπηρεσίες είναι ακριβώς σωστό. Η θεωρητική αδυναμία — μία συσκευή είναι ένα πράγμα να παραβιαστεί ή να ρυθμιστεί λάθος — διαχειρίζεται με καλό change control και monitoring, όχι με το να αγοράζεις αντανακλαστικά δύο firewalls.
02
Ένα εξωτερικό firewall ανάμεσα σε internet και DMZ, ένα εσωτερικό firewall ανάμεσα σε DMZ και LAN. Το DMZ κάθεται σαντουιτσαρισμένο ανάμεσά τους. Πιο ανθεκτικό, πιο ακριβό, και αξίζει πάνω από ένα συγκεκριμένο όριο ρίσκου.
Στον κλασικό σχεδιασμό screened-subnet (back-to-back), ένας επιτιθέμενος που παραβιάζει ένα host DMZ ακόμα αντιμετωπίζει ένα δεύτερο, ξεχωριστό firewall — ιδανικά από διαφορετικό vendor — πριν φτάσει το LAN. Αυτό το defence-in-depth έχει σημασία όταν οι δημοσιευμένες υπηρεσίες είναι υψηλής αξίας ή το εσωτερικό δίκτυο είναι πολύ ευαίσθητο (επεξεργασία πληρωμών, ιατρικά αρχεία, οτιδήποτε ρυθμιζόμενο). Το κόστος είναι δύο συσκευές, δύο σετ κανόνων, και περισσότερο λειτουργικό βάρος. Κράτησέ το για πραγματικό ρίσκο, όχι για κύρος: μια μικρή επιχείρηση που δημοσιεύει μια ενημερωτική σελίδα δεν χρειάζεται δύο firewalls· μια εταιρεία που επεξεργάζεται δεδομένα καρτών in-house μάλλον χρειάζεται.
Η σκέψη perimeter καθηλώνεται στο όριο με το internet, αλλά το DMZ χρειάζεται και εσωτερική πειθαρχία. Αν το DMZ σου κρατάει έναν web server και έναν mail server, μια παραβίαση του ενός δεν πρέπει τετριμμένα να κατέχει και τον άλλο — κάνε segment μέσα στο DMZ, ή τουλάχιστον περιόρισε την κίνηση DMZ-προς-DMZ. Και η σύγχρονη πραγματικότητα είναι ότι οι περισσότερες επιθέσεις, μόλις μπουν μέσα, κινούνται east-west· ένα τέλειο perimeter με επίπεδο εσωτερικό απλά σημαίνει ότι ο επιτιθέμενος περιφέρεται ελεύθερα μετά το πρώτο foothold. Το perimeter είναι αναγκαίο, όχι επαρκές — συνδύασέ το με εσωτερική segmentation και, ιδανικά, έλεγχο east-west zero-trust.
03
Το πώς εκτίθεται πραγματικά μια υπηρεσία έχει τόση σημασία όσο και το πού κάθεται. Μερικά patterns κρατάνε την attack surface ειλικρινή.
| Pattern | Γιατι |
|---|---|
| Reverse proxy στο DMZ, η εφαρμογή πίσω του | Μία σκληρυμένη μπροστινή πόρτα· ο app server ποτέ δεν κοιτάει απευθείας το internet |
| Μόνο τα απαραίτητα ports, στο συγκεκριμένο host | Δημοσίευσε το 443 στο web VM — όχι «το DMZ»· απόρριψε τα υπόλοιπα |
| Τερμάτισε το VPN στο firewall/DMZ, όχι στο LAN | Η απομακρυσμένη πρόσβαση προσγειώνεται σε ελεγχόμενη ζώνη, όχι απευθείας πάνω σε trusted υποδομή |
| Tunnels που ξεκινούν outbound για sites CGNAT/Starlink | Δεν χρειάζεται inbound δημόσια IP· η υπηρεσία καλεί προς έναν broker |
| Κατέγραψε και παρακολούθα DMZ→οπουδήποτε | Ένα host DMZ που ξαφνικά σαρώνει το LAN είναι ο συναγερμός παραβίασής σου |
Βασικα Συμπερασματα
Ένας δημόσιος web server θα χτυπηθεί κάποια στιγμή — το ερώτημα είναι αν αυτό παραμένει περιορισμένο περιστατικό ή γίνεται τρόπος εισόδου σε όλα τα υπόλοιπα. Σχεδιάζω την τοποθέτηση του perimeter και του DMZ γύρω από αυτή την υπόθεση, όχι την ελπίδα ότι δεν θα συμβεί ποτέ.
Κλεισε μια Discovery Call →