Définition de la zone démilitarisée (DMZ)
Une zone démilitarisée (DMZ) – aussi appelée sous-réseau filtré – est une portion isolée du réseau d’une organisation qui héberge des systèmes destinés à être accessibles au public. Par exemple, une DMZ peut contenir des serveurs Web, de courriel, de service de noms de domaine (DNS), de protocole de transfert de fichiers (FTP) et mandataires. En segmentant ce sous-réseau du reste du réseau de l’entreprise, une organisation protège ses systèmes internes contre les attaques potentielles.
Comment fonctionne un réseau DMZ ?
Les pare-feu définissent les frontières du réseau. La plupart des organisations disposent d’un pare-feu entre leur réseau local privé (LAN) et l’Internet public. Cela aide à empêcher le trafic potentiellement malveillant d’atteindre les systèmes de l’organisation et les données de l’entreprise de quitter le réseau.
Habituellement, l’objectif du pare-feu réseau est de limiter radicalement les requêtes entrantes provenant de l’Internet public vers les systèmes internes d’une organisation. Toutefois, certains systèmes, comme les serveurs Web et DNS, doivent pouvoir recevoir des requêtes entrantes et y répondre.
Une DMZ concilie la volonté de protéger le réseau interne et la nécessité de permettre l’accès externe à certains systèmes. Une configuration DMZ courante consiste à déployer deux couches de pare-feu. La couche externe sépare l’Internet public du LAN de l’entreprise et autorise le trafic Web, DNS et autre trafic semblable entrant. La DMZ se situe juste derrière ce pare-feu.
La couche interne du pare-feu est plus restrictive et sépare la DMZ du reste du réseau de l’entreprise. Elle isole les hôtes de la DMZ du reste du réseau au cas où ils seraient compromis par un attaquant.
La valeur d’un réseau DMZ
Les hôtes situés dans la DMZ d’une entreprise sont ceux qui risquent le plus d’être compromis par un attaquant. Par exemple, un serveur Web est conçu pour être accessible au public, et le site Web d’une entreprise ainsi que ses autres applications destinées au public peuvent contenir des vulnérabilités qu’un attaquant pourrait exploiter.
Une technique d’attaque courante consiste à accéder à un système interne de confiance, puis à pivoter pour accéder à d’autres ordinateurs de l’entreprise. Cela peut permettre à un attaquant de contourner les défenses d’une organisation en profitant du fait que certains systèmes ne sont accessibles qu’à partir d’autres systèmes internes.
Une DMZ rend plus difficile pour un attaquant de prendre pied sur un ordinateur de la DMZ pour ensuite pivoter vers d’autres systèmes. Les ordinateurs de la DMZ sont séparés du reste du réseau par un pare-feu en raison de leur statut de confiance partielle. Ce pare-feu inspecte tout trafic entre la DMZ et le réseau interne, offrant à l’entreprise une autre occasion de détecter la présence de l’attaquant avant qu’il puisse accéder aux données et aux fonctionnalités sensibles du réseau de l’entreprise.
Conclusion
Une DMZ, ou sous-réseau filtré, est un segment isolé d’un réseau d’entreprise conçu pour héberger des systèmes à confiance partielle. Les serveurs Web et les systèmes semblables sont conçus pour être accessibles au public, ce qui accroît le risque qu’ils soient compromis par un attaquant. En séparant ces systèmes du reste du réseau interne de l’organisation, une entreprise rend plus difficile pour un attaquant de compromettre un système accessible au public pour ensuite pivoter et accéder à d’autres systèmes internes.
Howard Poston
Howard Poston est rédacteur, auteur et concepteur de cours possédant de l’expérience en cybersécurité et en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, cumule une décennie d’expérience en cybersécurité et compte plus de cinq ans d’expérience à titre de consultant indépendant.