DMZ
インターネットと社内のネットワークの間に、ファイアウォールで区切って設けるネットワーク。Webサーバやメールサーバなど、外部に公開するサーバを置く。
イマシルちゃんの解説
お店でいうと、DMZはお客さんが入れる「売り場」で、社内のネットワークは「バックヤード」なんだ。
お客さん（インターネットの利用者）は売り場には入れるけど、バックヤードには入れない。
もし売り場で何か事件が起きても、バックヤードまでは被害が広がらないように、間にしっかり扉（ファイアウォール）があるんだよ！
より深い解説
定義
DMZ（DeMilitarized Zone：非武装地帯）は、外部のネットワーク（インターネット）と内部のネットワーク（社内LAN）の間に、ファイアウォールで区切って設けるネットワークセグメントである。インターネットに公開する必要のあるサーバを置く。
DMZに置く主なサーバ
| サーバ | 役割 |
|---|---|
| Webサーバ | 外部に公開するWebサイト |
| メールサーバ（中継用） | 外部とのメールの送受信の窓口 |
| 外部向けのDNSサーバ | 自組織のドメインの権威DNSサーバ |
| プロキシサーバ | 社内からインターネットへのWebアクセスを中継する |
社内の重要なデータを持つサーバ（ファイルサーバ、データベースサーバなど）は、DMZではなく内部ネットワークに置く。
通信の許可の考え方
| 通信の向き | 扱い |
|---|---|
| インターネット → DMZ | 公開するサービスのポートだけ許可する（Webなら443番など） |
| インターネット → 内部 | すべて拒否する |
| DMZ → 内部 | 原則として拒否し、必要な通信だけを最小限に許可する |
| 内部 → DMZ | 必要な通信を許可する |
| 内部 → インターネット | DMZのプロキシサーバを経由させるなど、必要な通信だけを許可する |
ポイントは、公開サーバが攻撃を受けて乗っ取られても、そこから内部ネットワークへ攻撃が広がらないようにすることである。
構成の例
| 構成 | 内容 |
|---|---|
| 1台のファイアウォール | 外部、DMZ、内部の3つのインタフェースを持つファイアウォールで区切る |
| 2台のファイアウォール | 外部とDMZの間、DMZと内部の間に、それぞれファイアウォールを置く。別の製品にすると、1台の弱点で両方を破られにくい |
注意点
DMZのサーバは攻撃の最前線に立つため、不要なサービスを止め、ソフトウェアを最新に保ち、ログを監視する必要がある。また、DMZは「そこにサーバを置けば安全」という意味ではなく、「侵入されても被害を内部に広げないための緩衝地帯」である点に注意する。