Demilitarized zone

Nell’ambito delle reti informatiche e della sicurezza informatica, una demilitarized zone o DMZ (in italiano zona demilitarizzata) è una sottorete fisica o logica che contiene ed espone dei servizi ad una rete esterna non ritenuta sicura, come ad esempio Internet. Lo scopo di una DMZ è di proteggere la rete LAN di un'organizzazione.

Descrizione

Nel senso militare e territoriale del termine il nome usato deriva dal termine "zona demilitarizzata", un'area tra stati nazionali in cui non è consentita alcun'operazione militare, cioè è vista come zona non appartenente ad alcuna parte confinante.. Questo concetto metaforico è applicabile in ambito informatico, in quanto una DMZ funziona come una piccola rete di confine posizionata tra Internet e la rete interna. Lo scopo della DMZ è quello di aggiungere uno strato di sicurezza ad una rete locale aziendale, nel quale un nodo appartenente ad una rete esterna può accedere soltanto ai servizi messi a disposizione, senza mettere a rischio e compromettere la sicurezza della rete locale interna. Nel caso una delle macchine appartenenti alla DMZ subisca un attacco informatico, questo non si ripercuote sul resto della rete. Per chi si connette dall'esterno dell'organizzazione, la DMZ è infatti una sorta di "strada senza uscita" o "vicolo cieco". La scelta di collocare determinati host in un’area come la DMZ è fatta quando tali host forniscono servizi sia ad utenti esterni che interni alla rete locale e a causa dell’aumento potenziale di attacchi a servizi come server di posta elettronica, Web e Domain Name System (DNS) essi vengono inseriti in tale zona, evitando così che una eventuale loro compromissione si propaghi alla rete interna.

Una DMZ può essere creata attraverso la definizione di policy distinte su uno o più firewall. Genericamente i firewall intermedi controllano il traffico tra i server nella DMZ, i client interni ed esterni. Le connessioni dalle reti esterne verso la DMZ sono solitamente controllate tramite una tipologia di NAT chiamata "port forwarding" o "port mapping", implementata sul sistema che agisce da firewall che tipicamente è di tipo packet filter. Una configurazione DMZ fornisce protezione dagli attacchi esterni, ma in genere non ha alcun effetto sugli attacchi interni, come lo sniffing della comunicazione tramite un analizzatore di pacchetti o attacchi di spoofing.

Servizi

Qualsiasi servizio di rete che può essere offerto agli utenti della rete esterna ed interna può essere inserito nella DMZ. I più comuni di questi servizi sono: il server web, server di posta elettronica, server FTP e server DNS.

Server web

I server web potrebbero dover comunicare con un database interno per fornire alcuni servizi specializzati. A volte è anche buona norma configurare una Zona Militarizzata Classificata (CMZ) separata dalla DMZ, cioè una zona militarizzata altamente sorvegliata che comprende per lo più server Web e server simili che si interfacciano con il mondo esterno, cioè Internet. In questo modo proteggiamo i server di database mettendoli in una zona separata dalla DMZ essendo quest’ultima pubblicamente accessibile. In genere, non è una buona norma consentire al server Web di comunicare direttamente con il sottostante server di database. È opportuno utilizzare un firewall a livello di applicazione, che funge da mezzo di comunicazione tra il server del database e il server web. Ciò fornisce un ulteriore livello di sicurezza, sebbene aumenti la complessità della rete. Questo tipo di configurazione ha poi uno svantaggio: gli utenti della workstation (gli utenti locali) non possono usare directory di rete e apportare modifiche direttamente a pagine Web o altri file e sono quindi costretti ad usare protocolli applicativi come FTP per caricare o scaricare le pagine.

Server e-mail

I messaggi di posta elettronica degli utenti sono confidenziali, quindi sono generalmente memorizzati su un server a cui non è possibile accedere da Internet, e quindi inserito in una zona LAN. Per far sì che il server di posta interno comunichi con server di posta esterni, viene posto un server ausiliario nella DMZ, il quale riceve le email in arrivo e le inoltra al server interno principale. In questo modo è possibile controllare la posta in arrivo sulla DMZ, ad esempio tramite sandbox o antivirus, prima di inoltrarla.

Server DNS

È possibile avere diverse configurazioni riguardanti la posizione e il numero di server DNS in una DMZ. Se si dispone di un solo set di server DNS, sia per la zona interna che esterna, è necessario inserirli nella DMZ e consentire così agli utenti locali di accedervi anziché collocarli nella stessa rete interna e configurare nel firewall le richieste DNS esterne, la quale è una prassi poco sicura poiché permettiamo ad utenti esterni di accedere alla rete interna. La configurazione più comune consiste nell’usare due set di server DNS, un set di DNS interni e un set di server accessibili esternamente collocati nella DMZ, che è sicura ma accessibile solo dalla rete pubblica.

Proxy

Per dare maggiore supporto e sicurezza alla struttura vengono usati dei firewall che lavorano a livello applicativo.

Le impostazioni proxy di rete consentono la connessione a Internet mentre si eseguono attività come l'attivazione del servizio o l'accesso alle opzioni di supporto.