DMZ (コンピューティング)

コンピュータセキュリティにおいて、DMZまたは非武装地帯(境界ネットワークまたはスクリーンサブネットと呼ばれることもある) は、組織の外部向けサービスをインターネットなどの信頼されていない、通常はより大規模なネットワークに公開する物理的または論理的なサブネットワークです。DMZ の目的は、組織のローカルエリアネットワーク(LAN)にセキュリティのレイヤーを追加することです。外部ネットワークノードはDMZ で公開されているものだけにアクセスでき、組織のネットワークの残りの部分はファイアウォールで保護されます。^[1] DMZ は、インターネットとプライベートネットワークの間に位置する小さな分離されたネットワークとして機能します。^[2]

これを DMZ ホストと混同しないでください。DMZ ホストは一部のホーム ルーターに搭載されている機能で、通常の DMZ とは大きく異なることがよくあります。

この名称は、軍事行動が許可されていない国家間の地域である 非武装地帯という言葉に由来しています。

DMZ は、その境界にあるいずれのネットワークにも属さないものと見なされます。この比喩は、DMZ がパブリック インターネットへのゲートウェイとして機能するため、コンピューティングの使用に当てはまります。DMZ は、内部ネットワークほど安全ではありませんが、パブリック インターネットほど安全ではありません。

この場合、攻撃に対して最も脆弱なホストは、電子メール、Web、ドメイン ネーム システム(DNS) サーバーなど、ローカル エリア ネットワークの外部のユーザーにサービスを提供するホストです。これらのホストが攻撃を受ける可能性が高くなるため、これらのホストは、いずれかのホストが侵害された場合にネットワークの残りの部分を保護するために、この特定のサブネットワークに配置されます。

DMZ のコンテンツは内部ネットワークほど安全ではないため、DMZ 内のホストは内部ネットワーク内の特定のホストとの接続が制限されます。同様に、DMZ 内のホスト間の通信と外部ネットワークへの通信も制限され、DMZ はインターネットよりも安全になり、これらの特殊目的のサービスの収容に適しています。これにより、DMZ 内のホストは内部ネットワークと外部ネットワークの両方と通信できます。その間に介在するファイアウォールがDMZサーバーと内部ネットワーク クライアント間のトラフィックを制御し、別のファイアウォールが DMZ を外部ネットワークから保護するためにある程度の制御を実行します。

DMZ 構成は外部からの攻撃に対する追加のセキュリティを提供しますが、通常、パケット アナライザーによる通信のスニッフィングや電子メールのなりすましなどのスプーフィングなどの内部攻撃には影響しません。

^{また、場合によっては、別個の機密軍事地帯 (CMZ) [3]}を構成するのがよい方法です。これは、DMZ 内にはないものの、LAN 内のサーバー (データベース サーバーなど) へのアクセスに関する機密情報を含む、主に Web サーバー (および外部の世界、つまりインターネットとインターフェイスする同様のサーバー) で構成される、厳重に監視された軍事地帯です。このようなアーキテクチャでは、通常、DMZ にアプリケーションファイアウォールとFTPがあり、CMZ に Web サーバーがホストされます (データベース サーバーは、CMZ、LAN、または別の VLAN 内に存在する可能性があります)。

外部ネットワーク上のユーザーに提供されるすべてのサービスは、DMZ に配置できます。最も一般的なサービスは次のとおりです。

• ウェブサーバー
• メールサーバー
• FTP サーバー
• VoIPサーバー

内部データベースと通信する Web サーバーは、データベース サーバーにアクセスする必要があります。データベース サーバーは、一般にはアクセスできない可能性があり、機密情報が含まれている可能性があります。セキュリティ上の理由から、 Web サーバーはデータベース サーバーと直接通信することも、アプリケーション ファイアウォールを介して通信することもできます。

電子メールメッセージ、特にユーザー データベースは機密情報であるため、通常はインターネットからアクセスできないサーバー (少なくとも安全でない方法ではアクセスできないサーバー) に保存されますが、インターネットに公開されている電子メール サーバーからはアクセスできます。

DMZ 内のメール サーバーは、受信メールをセキュリティ保護された内部メール サーバーに渡します。また、送信メールも処理します。

セキュリティ、 HIPAAなどの法的基準への準拠、監視上の理由から、ビジネス環境では、DMZ 内に プロキシ サーバーをインストールする企業もあります。これには、次の利点があります。

• 内部ユーザー (通常は従業員) がインターネットにアクセスする際にプロキシ サーバーを使用することを義務付けます。
• 一部の Web コンテンツがプロキシ サーバーによってキャッシュされる可能性があるため、インターネット アクセスの帯域幅要件が削減されます。
• ユーザーアクティビティの記録と監視を簡素化します。
• 集中化された Web コンテンツ フィルタリング。

リバース プロキシサーバーは、プロキシ サーバーと同様に仲介役ですが、その用途は逆です。外部ネットワークにアクセスしたい内部ユーザーにサービスを提供する代わりに、外部ネットワーク (通常はインターネット) から内部リソースへの間接的なアクセスを提供します。たとえば、電子メール システムなどのバック オフィス アプリケーション アクセスを外部ユーザーに提供することはできますが (社外から電子メールを読むため)、リモート ユーザーは電子メール サーバーに直接アクセスすることはできません (内部電子メール サーバーに物理的にアクセスできるのはリバース プロキシ サーバーだけです)。これは、内部リソースに外部からアクセスする必要がある場合に特に推奨される追加のセキュリティ レイヤーですが、この設計では、リモート ユーザー (潜在的に悪意のあるユーザー) がプロキシを使用して内部リソースと通信できることは注目に値します。プロキシは信頼されていないネットワークと内部リソース間のリレーとして機能するため、悪意のあるトラフィック (アプリケーション レベルのエクスプロイトなど) を内部ネットワークに転送する可能性もあります。したがって、プロキシの攻撃検出機能とフィルタリング機能は、プロキシ経由で公開される内部リソースに存在する脆弱性を外部の攻撃者が悪用するのを防ぐために重要です。通常、このようなリバース プロキシ メカニズムは、特定のTCP ポートと UDP ポートへのアクセスを制御するだけでなく(パケット フィルタ ファイアウォールのように)、トラフィックの特定の形状と内容に焦点を当てたアプリケーション層ファイアウォールを使用して提供されますが、リバース プロキシは、更新された攻撃ベクトルに対する継続的なシグネチャ更新に依存する必要があるため、よく考えられた DMZ 設計の適切な代替にはなりません。

DMZ を備えたネットワークを設計する方法は数多くあります。最も基本的な 2 つの方法は、3 レッグ モデルとも呼ばれる単一のファイアウォールと、バック ツー バックとも呼ばれるデュアル ファイアウォールを使用する方法です。これらのアーキテクチャは、ネットワーク要件に応じて拡張して、非常に複雑なアーキテクチャを作成することができます。

少なくとも 3 つのネットワーク インターフェイスを備えた単一のファイアウォールを使用して、DMZ を含むネットワーク アーキテクチャを作成できます。外部ネットワークは、最初のネットワーク インターフェイス上のISPからファイアウォールまで形成され、内部ネットワークは 2 番目のネットワーク インターフェイスから形成され、DMZ は 3 番目のネットワーク インターフェイスから形成されます。ファイアウォールはネットワークの単一障害点となり、DMZ と内部ネットワークに送信されるすべてのトラフィックを処理できる必要があります。ゾーンは通常、色でマークされます。たとえば、LAN は紫、DMZ は緑、インターネットは赤です (ワイヤレス ゾーンには別の色がよく使用されます)。

^{Colton Fralick [4]}によると、最も安全な方法は、2 つのファイアウォールを使用して DMZ を作成することです。最初のファイアウォール (「フロントエンド」または「境界」^[5]ファイアウォールとも呼ばれます) は、DMZ 宛てのトラフィックのみを許可するように構成する必要があります。2 番目のファイアウォール (「バックエンド」または「内部」ファイアウォールとも呼ばれます) は、内部ネットワークから DMZ へのトラフィックのみを許可します。

この設定は、2 つのデバイスが侵害される必要があるため、より安全であると考えられています^[4]。2 つのファイアウォールが 2 つの異なるベンダーによって提供されている場合、両方のデバイスが同じセキュリティ脆弱性に悩まされる可能性が低くなるため、保護がさらに強化されます。たとえば、1 つのベンダーのシステムに存在するセキュリティ ホールが見つかった場合、もう 1 つのベンダーで発生する可能性は低くなります。このアーキテクチャの欠点の 1 つは、購入と管理の両方にコストがかかることです^{[6] 。異なるベンダーの異なるファイアウォールを使用する方法は、「}多層防御」^[7]セキュリティ戦略のコンポーネントとして説明されることがあります。

一部のホームルータはDMZ ホストを参照しますが、これは多くの場合、実際には誤った名称です。ホーム ルータの DMZ ホストは、他の LAN ホストに転送されないすべてのトラフィックが送信される内部ネットワーク上の単一のアドレス (IP アドレスなど) です。定義上、これは真の DMZ (非武装地帯) ではありません。ルータだけではホストを内部ネットワークから分離できないためです。つまり、DMZ ホストは内部ネットワーク上の他のホストに接続できますが、実際の DMZ 内のホストは、ファイアウォールによって分離され、ファイアウォールが接続を許可しない限り、内部ネットワークに接続できません。

ファイアウォールは、内部ネットワーク上のホストが最初に DMZ 内のホストへの接続を要求した場合に、これを許可することがあります。DMZ ホストは、サブネットが提供するセキュリティ上の利点をまったく提供せず、すべてのポートを別のファイアウォール/ NATデバイスに転送する簡単な方法としてよく使用されます。この戦術 (DMZ ホストの確立) は、通常のファイアウォール ルールまたは NAT と適切に対話しないシステムでも使用されます。これは、転送ルールを事前に作成できない (たとえば、固定番号または固定範囲ではなく、TCP ポート番号または UDP ポート番号が変化する) ことが原因である可能性があります。これは、ルーターが処理するプログラミングがないネットワーク プロトコルにも使用されます ( 6in4またはGRE トンネルが典型的な例です)。

• 要塞ホスト
• スクリーンサブネット
• 科学 DMZ ネットワーク アーキテクチャ、高性能コンピューティングにおける DMZ ネットワーク

• SolutionBase: DMZ を使用してネットワーク防御を強化する ( TechRepublicの Deb Shinder 著) 。
• Eric Maiwald 著。ネットワーク セキュリティ: 初心者向けガイド。第 2 版。McGraw-Hill/Osborne、2003 年。
• インターネット ファイアウォール: よくある質問 (Matt Curtin、Marcus Ranum、Paul Robertson 編)