DMZ là gì?
DMZ (Demilitarized Zone / Khu phi quân sự hóa / Mạng lưới rìa / Perimeter Network / Screened Subnet) là một **mạng con (subnetwork)** vật lý hoặc logic, đặt **giữa mạng nội bộ (Internal Network / LAN - trusted)** và **mạng bên ngoài (Internet / Untrusted Network)**.
Mục đích: **Cô lập các dịch vụ công khai** (web server, mail server, DNS public, VPN gateway, proxy, FTP...) khỏi mạng nội bộ nhạy cảm. Nếu dịch vụ trong DMZ bị chiếm đoạt, kẻ tấn công **không thể trực tiếp truy cập mạng nội bộ**.
Kiến trúc DMZ phổ biến
1. Single Firewall (Three-homed Firewall) – Phổ biến SMB
Internet → [Firewall: 3 interfaces: WAN, DMZ, LAN] → LAN
|
DMZ (Web, Mail, DNS...)
- Firewall đơn lẻ có 3 cổng/interface.
- Quy tắc: WAN→DMZ (allow specific), DMZ→LAN (deny all / allow specific management), LAN→DMZ (allow management), LAN→WAN (allow user traffic).
- Đơn giản, rẻ, nhưng firewall là **Single Point of Failure (SPOF)** và phải xử lý cả traffic DMZ & LAN.
2. Dual Firewall (Back-to-Back) – Tiêu chuẩn Doanh nghiệp
Internet → [Firewall 1: External] → DMZ → [Firewall 2: Internal] → LAN
- Firewall 1 (External): Chỉ cho traffic Internet → DMZ services (port 80/443, 25, 53...).
- Firewall 2 (Internal): Chỉ cho traffic DMZ → LAN nếu cần thiết (DB connection, management), LAN → DMZ (management).
- An toàn hơn: Kẻ tấn công phải vượt 2 firewall khác nhau (vendor/type khác nhau càng tốt - diversity). Không SPOF.
3. Cloud / Virtual DMZ
- AWS: Public Subnet (Internet Gateway) + Private Subnet (NAT Gateway) + Security Groups / NACL đóng vai trò firewall.
- Azure: DMZ = Virtual Network với Network Virtual Appliance (NVA) firewall (Palo Alto, FortiGate, Check Point, Azure Firewall).
- Kubernetes: DMZ namespace/network policy cho ingress controller.
Vai trò của DMZ trong Kiến trúc bảo mật
- Cô lập rủi ro (Risk Isolation): Dịch vụ public-facing (high risk) tách biệt khỏi dữ liệu/cơ sở hạ tầng core (high value).
- Kiểm soát truy cập chặt chẽ (Access Control): Chỉ cho traffic cần thiết vào DMZ (Inbound), và từ DMZ ra LAN (Outbound/Management) – **Default Deny**.
- Giám sát tập trung (Monitoring): Tout traffic DMZ được log, inspect (IPS, WAF, NDR, Sandbox) trước khi vào LAN.
- Tuân thủ (Compliance): PCI-DSS Req 1.3 (DMZ cho cardholder data environment), NIST 800-53 SC-7, ISO 27001 A.13.1.
- Giảm thiểu Lateral Movement: Nếu web server bị hack, attacker không trực tiếp ssh/rdp vào DB server, AD, file server trong LAN.
Dịch vụ thường đặt trong DMZ
- Web Server (IIS, Apache, Nginx) – Reverse Proxy / WAF thường đặt trước.
- Mail Server (SMTP/IMAP/POP3/Exchange Edge Transport).
- DNS Authoritative (Public DNS).
- VPN Gateway / Remote Access Server (RD Gateway, Citrix Gateway, Pulse Secure).
- Proxy / Forward Proxy / Secure Web Gateway.
- FTP/SFTP Server (file exchange với partner).
- API Gateway (public API).
- VoIP/SBC (Session Border Controller).
- Honeypot / Deception technology.
DMZ trong lịch sử / địa chính trị (Kوريا)
Thuật ngữ bắt nguồn từ **Korean Demilitarized Zone (DMZ)** – ranh giới 250km, rộng 4km giữa Hàn Quốc và Triều Tiên sau Hiệp định ngưng bắn 1953. Là vùng đệm ngăn chặn xung đột trực tiếp. Áp dụng ẩn dụ cho mạng máy tính từ những năm 90.
Best Practice triển khai DMZ
- Dùng **2 firewall khác vendor** (ví dụ: Palo Alto External + FortiGate Internal) – tránh chung lỗ hổng.
- **Hardening** server DMZ: CIS Benchmark, remove service/user không dùng, patch ngay, HIPS/EDR, FIM (File Integrity Monitoring).
- **Không lưu dữ liệu nhạy cảm** trong DMZ (DB, source code, backup, key). Chỉ dữ liệu public hoặc cache.
- **Outbound control chặt chẽ:** DMZ server chỉ được connect ra Internet cho update (WSUS/Repository mirror), DNS, NTP, SIEM log. Block all else.
- **Segment trong DMZ:** Web tier, App tier, Data tier (nếu phức tạp) – mỗi tier subnet riêng + firewall rule.
- **Automation:** IaC (Terraform/Ansible) deploy DMZ config, policy as code.