DMZ (Computer)

In der Computersicherheit bezeichnet man als DMZ ( Demilitarisierte Zone , auch Perimeternetzwerk oder abgeschirmtes Subnetz genannt ) ein physisches oder logisches Subnetz , das die externen Dienste einer Organisation für ein nicht vertrauenswürdiges, in der Regel größeres Netzwerk wie das Internet zugänglich macht. Zweck einer DMZ ist es, das lokale Netzwerk (LAN) einer Organisation um eine zusätzliche Sicherheitsebene zu erweitern : Ein externer Netzwerkknoten kann nur auf die in der DMZ freigegebenen Ressourcen zugreifen, während der Rest des Organisationsnetzwerks durch eine Firewall geschützt ist . ^{[ 1 ]} Die DMZ fungiert als kleines, isoliertes Netzwerk zwischen dem Internet und dem privaten Netzwerk . ^{[ 2 ]}

Dies ist nicht zu verwechseln mit einem DMZ-Host , einer Funktion, die in einigen Heimroutern vorhanden ist und sich häufig stark von einer gewöhnlichen DMZ unterscheidet.

Der Name leitet sich von dem Begriff entmilitarisierte Zone ab , einem Gebiet zwischen Staaten, in dem militärische Operationen nicht erlaubt sind.

Die DMZ wird als keinem der beiden angrenzenden Netzwerke zugehörig betrachtet. Diese Metapher trifft auch auf die Computernutzung zu, da die DMZ als Gateway zum öffentlichen Internet fungiert. Sie ist weder so sicher wie das interne Netzwerk noch so unsicher wie das öffentliche Internet.

In diesem Fall sind die Hosts , die Dienste für Benutzer außerhalb des lokalen Netzwerks bereitstellen , wie E-Mail- , Web- und DNS- Server, am anfälligsten für Angriffe. Aufgrund des erhöhten Angriffsrisikos dieser Hosts werden sie in diesem speziellen Subnetz platziert, um das restliche Netzwerk zu schützen, falls einer dieser Hosts kompromittiert wird.

Hosts in der DMZ dürfen nur eingeschränkt mit bestimmten Hosts im internen Netzwerk kommunizieren, da die DMZ weniger sicher ist als das interne Netzwerk. Ebenso ist die Kommunikation zwischen Hosts in der DMZ und dem externen Netzwerk eingeschränkt, um die DMZ sicherer als das Internet zu machen und sie für diese speziellen Dienste geeignet zu gestalten. Dadurch können Hosts in der DMZ sowohl mit dem internen als auch mit dem externen Netzwerk kommunizieren. Eine Firewall kontrolliert den Datenverkehr zwischen den DMZ-Servern und den Clients des internen Netzwerks, während eine weitere Firewall die DMZ vor dem externen Netzwerk schützt.

Eine DMZ-Konfiguration bietet zusätzliche Sicherheit vor externen Angriffen, hat aber typischerweise keinen Einfluss auf interne Angriffe wie das Abhören von Kommunikation mittels eines Paketanalysators oder Spoofing , beispielsweise E-Mail-Spoofing .

Es empfiehlt sich mitunter, eine separate, klassifizierte militärische Zone (CMZ) einzurichten ^{[ 3 ].} Diese streng überwachte militärische Zone umfasst hauptsächlich Webserver (und ähnliche Server mit Schnittstellen zur Außenwelt, d. h. zum Internet), die sich nicht in der DMZ befinden, aber sensible Informationen über den Zugriff auf Server innerhalb des LANs (z. B. Datenbankserver) enthalten. In einer solchen Architektur befinden sich in der DMZ üblicherweise die Anwendungsfirewall und der FTP-Server , während die Webserver in der CMZ gehostet werden. (Die Datenbankserver können sich in der CMZ, im LAN oder in einem separaten VLAN befinden.)

Jeder Dienst, der Benutzern im externen Netzwerk bereitgestellt wird, kann in der DMZ platziert werden. Die gängigsten dieser Dienste sind:

• Webserver
• Mailserver
• FTP-Server
• VoIP- Server

Webserver, die mit einer internen Datenbank kommunizieren, benötigen Zugriff auf einen Datenbankserver , der möglicherweise nicht öffentlich zugänglich ist und sensible Daten enthalten kann. Die Webserver können entweder direkt oder aus Sicherheitsgründen über eine Anwendungsfirewall mit den Datenbankservern kommunizieren.

E-Mail- Nachrichten und insbesondere die Benutzerdatenbank sind vertraulich, daher werden sie typischerweise auf Servern gespeichert, auf die nicht über das Internet zugegriffen werden kann (zumindest nicht auf unsichere Weise), wohl aber über E-Mail-Server, die mit dem Internet verbunden sind.

Der Mailserver innerhalb der DMZ leitet eingehende E-Mails an die gesicherten/internen Mailserver weiter. Er verarbeitet auch ausgehende E-Mails.

Aus Sicherheitsgründen, zur Einhaltung gesetzlicher Bestimmungen wie HIPAA und aus Überwachungsgründen installieren einige Unternehmen in ihrer Geschäftsumgebung einen Proxy-Server innerhalb der DMZ. Dies bietet folgende Vorteile:

• Verpflichtet interne Benutzer (in der Regel Mitarbeiter), den Proxy-Server für den Internetzugang zu verwenden.
• Reduzierter Bandbreitenbedarf beim Internetzugang, da einige Webinhalte vom Proxy-Server zwischengespeichert werden können.
• Vereinfacht die Aufzeichnung und Überwachung von Benutzeraktivitäten.
• Zentralisierte Webinhaltsfilterung.

Ein Reverse-Proxy- Server ist, ähnlich wie ein Proxy-Server, ein Vermittler, wird aber umgekehrt eingesetzt. Anstatt internen Benutzern den Zugriff auf ein externes Netzwerk zu ermöglichen, bietet er indirekten Zugriff für ein externes Netzwerk (in der Regel das Internet) auf interne Ressourcen. Beispielsweise kann externen Benutzern der Zugriff auf eine Backoffice-Anwendung, wie etwa ein E-Mail-System, gewährt werden (um E-Mails außerhalb des Unternehmens zu lesen). Der externe Benutzer hat jedoch keinen direkten Zugriff auf seinen E-Mail-Server (nur der Reverse-Proxy-Server kann physisch auf den internen E-Mail-Server zugreifen). Dies stellt eine zusätzliche Sicherheitsebene dar, die insbesondere dann empfohlen wird, wenn von außen auf interne Ressourcen zugegriffen werden soll. Es ist jedoch zu beachten, dass diese Architektur es externen (und potenziell böswilligen) Benutzern weiterhin ermöglicht, mithilfe des Proxys mit den internen Ressourcen zu kommunizieren. Da der Proxy als Relay zwischen dem nicht vertrauenswürdigen Netzwerk und der internen Ressource fungiert, kann er auch schädlichen Datenverkehr (z. B. Exploits auf Anwendungsebene ) an das interne Netzwerk weiterleiten. Daher sind die Angriffserkennungs- und Filterfunktionen des Proxys entscheidend, um zu verhindern, dass externe Angreifer Schwachstellen in den über den Proxy zugänglichen internen Ressourcen ausnutzen. Üblicherweise wird ein solcher Reverse-Proxy-Mechanismus durch eine Anwendungsschicht-Firewall realisiert , die sich auf die spezifische Form und den Inhalt des Datenverkehrs konzentriert, anstatt nur den Zugriff auf bestimmte TCP- und UDP-Ports zu kontrollieren (wie es eine Paketfilter-Firewall tun würde). Ein Reverse-Proxy ist jedoch in der Regel kein guter Ersatz für ein durchdachtes DMZ-Design, da er auf kontinuierliche Signaturaktualisierungen für aktualisierte Angriffsvektoren angewiesen ist.

Es gibt viele verschiedene Möglichkeiten, ein Netzwerk mit einer DMZ zu entwerfen. Zwei der grundlegendsten Methoden sind die Verwendung einer einzelnen Firewall (auch bekannt als Drei-Bein-Modell) und die Verwendung von zwei Firewalls (auch bekannt als Back-to-Back-Konfiguration). Diese Architekturen lassen sich je nach Netzwerkanforderungen zu sehr komplexen Architekturen erweitern.

Eine einzelne Firewall mit mindestens drei Netzwerkschnittstellen kann eine Netzwerkarchitektur mit einer DMZ (Delayed Mobile Zone) realisieren. Das externe Netzwerk wird über die erste Netzwerkschnittstelle vom Internetdienstanbieter zur Firewall gebildet, das interne Netzwerk über die zweite und die DMZ über die dritte. Die Firewall stellt einen Single Point of Failure für das Netzwerk dar und muss den gesamten Datenverkehr sowohl zur DMZ als auch zum internen Netzwerk bewältigen können. Die Zonen werden üblicherweise farblich gekennzeichnet – beispielsweise Lila für LAN, Grün für DMZ und Rot für Internet (oft wird eine andere Farbe für drahtlose Zonen verwendet).

Laut Colton Fralick ^{[ 4 ]} ist die sicherste Methode die Verwendung zweier Firewalls zur Einrichtung einer DMZ. Die erste Firewall (auch „Front-End“- oder „Perimeter“-Firewall ^{[ 5 ]} genannt ) muss so konfiguriert werden, dass sie ausschließlich Datenverkehr zur DMZ zulässt. Die zweite Firewall (auch „Back-End“- oder „interne“ Firewall genannt) lässt nur Datenverkehr aus dem internen Netzwerk zur DMZ zu.

Diese Konfiguration gilt als sicherer ^{[ 4 ]} , da zwei Geräte kompromittiert werden müssten. Der Schutz ist noch höher, wenn die beiden Firewalls von zwei verschiedenen Herstellern stammen, da dies die Wahrscheinlichkeit verringert, dass beide Geräte dieselben Sicherheitslücken aufweisen. Beispielsweise ist es unwahrscheinlicher, dass eine in einem System eines Herstellers entdeckte Sicherheitslücke auch im System des anderen auftritt. Ein Nachteil dieser Architektur sind die höheren Anschaffungs- und Verwaltungskosten. ^{[ 6 ]} Die Verwendung verschiedener Firewalls unterschiedlicher Hersteller wird mitunter als Bestandteil einer mehrschichtigen Sicherheitsstrategie ( „ Defense in Depth “) ^{[ 7 ] beschrieben.}

Manche Router verfügen über eine Funktion namens DMZ-Host . Mit dieser Funktion kann ein Gerät (PC oder anderes Gerät mit IP-Adresse ) als DMZ-Host festgelegt werden. Die Firewall des Routers gibt alle Ports des DMZ-Hosts für das externe Netzwerk frei und blockiert jeglichen eingehenden Datenverkehr von außen zum DMZ-Host. ^{[ 8 ] [ 9 ]} Dies ist eine weniger sichere Alternative zur Portweiterleitung , bei der nur wenige Ports freigegeben werden. Diese Funktion sollte vermieden werden, außer in folgenden Fällen: ^{[ 9 ]}

• Der als DMZ-Host bezeichnete Knoten ist die nachgelagerte Firewall der eigentlichen DMZ (möglicherweise ist der Router selbst nicht Teil eines Heimnetzwerks).
• Der Knoten verfügt über eine leistungsstarke Firewall, die die interne Sicherheit regeln kann.
• Die schiere Anzahl der Ports ist für die Portweiterleitungsfunktion zu groß.
• Es konnten keine korrekten Portweiterleitungsregeln im Voraus formuliert werden.
• Die Portweiterleitung des Routers ist nicht in der Lage, relevanten Datenverkehr, z. B. 6in4- oder GRE-Tunnel, zu verarbeiten.

In allen Szenarien außer dem ersten wird die DMZ-Hostfunktion außerhalb einer echten DMZ-Konfiguration verwendet.

• Bastion-Host
• Abgeschirmtes Subnetz
• Science DMZ Network Architecture , ein DMZ-Netzwerk im Hochleistungsrechnen

• Shinder, Deb. „SolutionBase: Stärkung der Netzwerkverteidigung durch den Einsatz einer DMZ“ . TechRepublic . Archiviert vom Original am 15. Dezember 2022.
• Eric Maiwald. Netzwerksicherheit: Ein Leitfaden für Anfänger. Zweite Auflage. McGraw-Hill/Osborne, 2003.
• Internet-Firewalls: Häufig gestellte Fragen, zusammengestellt von Matt Curtin, Marcus Ranum und Paul Robertson