DMZ : Demilitarized Zone
Réseau
DMZ : Demilitarized Zone. « Zone démilitarisée », par analogie avec le no man's land entre deux frontières, où l'on reçoit les visiteurs sans jamais les laisser entrer dans le pays.
Principe : Segment réseau placé entre Internet et le réseau interne, séparé des deux par filtrage, qui héberge les services exposés : site web, relais de messagerie, proxy inverse, passerelle d'accès distant.
Sens des flux : Depuis Internet, seuls quelques ports vers la DMZ sont ouverts ; de la DMZ vers l'interne, presque rien ; de l'interne vers la DMZ, des flux contrôlés. Un serveur exposé compromis reste ainsi coincé dans son enclos.
Montage : Un pare-feu à trois interfaces ou deux pare-feux successifs, souvent de fournisseurs différents, avec des VLAN dédiés pour matérialiser les zones.
Démilitarisation relative : Une zone démilitarisée dont les serveurs interrogent en direct l'annuaire interne n'est plus démilitarisée : elle est simplement mal gardée, ce qui, en géopolitique comme en réseau, précède volontiers l'invasion.
Ce qui arrive si on s'en passe
Sans DMZ, les serveurs exposés à Internet partagent le réseau des postes de travail et des serveurs internes. Une faille sur un site web ou un relais de messagerie donne alors un point d'appui direct vers l'annuaire, les bases de données et les partages de fichiers, sans aucun filtrage intermédiaire pour ralentir le déplacement de l'attaquant. Le périmètre à surveiller se confond avec le réseau entier, et les journaux ne distinguent plus un flux légitime d'un rebond. Une DMZ ne vaut cependant que par ses règles : des flux ouverts largement vers l'interne annulent la séparation.
Explication de la marmotte
Imaginons une entreprise qui doit recevoir des inconnus : des visiteurs de son site web, des courriers venus de partout. Plutôt que de les faire entrer dans les bureaux, on installe un hall d'accueil séparé, avec des portes surveillées des deux côtés. Les machines qui parlent au monde extérieur vivent dans ce hall. Si un intrus prend le contrôle de l'une d'elles, il se retrouve coincé dans le hall et ne peut pas filer vers les bureaux, où sont rangés les dossiers sensibles et les ordinateurs des salariés.
Où ce terme est utilisé
- DMZ industrielle pour protéger le réseau de production (26 occurrences)
- Pare-feu, architectures et NAT en une page (9 occurrences)
- Faire cohabiter équipements industriels anciens et neufs (4 occurrences)
- IPv4, CIDR et plans d’adressage (4 occurrences)
- Filtrage, segmentation, NAC et Zero Trust (3 occurrences)
- Réseaux spécialisés, sobriété avancée et futurs raisonnables (3 occurrences)
- Sécuriser un SCADA d’eau et d’énergie (3 occurrences)
- Décision de chemin, routes statiques et routage système (2 occurrences)
- NAT, translations et publication de services (2 occurrences)
- Pourquoi un automate industriel ne se patche pas (2 occurrences)