Demilitarized Zone

Aufbau mit einstufigem Firewall-Konzept
Aufbau mit zweistufigem Firewall-Konzept

Eine Demilitarized Zone (DMZ, auch ent- oder demilitarisierte Zone) bezeichnet ein Computernetz mit sicherheitstechnisch kontrollierten Zugriffmöglichkeiten auf die daran angeschlossenen Server.

Die in der DMZ aufgestellten Systeme werden durch eine oder mehrere Firewalls gegen andere Netze (z. B. Internet, LAN) abgeschirmt. Durch diese Trennung kann der Zugriff auf öffentlich erreichbare Dienste (Bastion Hosts mit z. B. E-Mail, WWW o. ä.) gestattet und gleichzeitig das interne Netz (LAN) vor unberechtigten Zugriffen geschützt werden.

Der Sinn besteht darin, auf möglichst sicherer Basis Dienste des Rechnerverbundes sowohl dem WAN (Internet) als auch dem LAN (Intranet) zur Verfügung zu stellen.

Ihre Schutzwirkung entfaltet eine DMZ durch die Isolation eines Systems gegenüber zwei oder mehr Netzen.

Inhaltsverzeichnis

Sicherheitsaspekte

In Deutschland empfiehlt das BSI in seinen IT-Grundschutz-Katalogen ein zweistufiges Firewall-Konzept zum Internet. In diesem Fall trennt eine Firewall das Internet von der DMZ und eine weitere Firewall die DMZ vom eigenen Netz. Dadurch kompromittiert eine einzelne Schwachstelle noch nicht gleich das interne Netz. Im Idealfall sind die beiden Firewalls von verschiedenen Herstellern, da ansonsten eine bekannte Schwachstelle ausreichen würde, um beide Firewalls zu überwinden.

Die Filterfunktionen können aber durchaus von einem einzelnen Gerät übernommen werden; in diesem Fall benötigt das filternde System mindestens drei Netzanschlüsse: je einen für die beiden zu verbindenden Netzsegmente (z. B. WAN und LAN) und einen dritten für die DMZ (siehe auch Dual homed host).

Auch wenn die Firewall das interne Netz vor Angriffen eines kompromittierten Servers aus der DMZ schützt, sind die anderen Server in der DMZ direkt angreifbar, solange nicht noch weitere Schutzmaßnahmen getroffen werden. Dies könnte z. B. eine Segmentierung in VLANs sein oder Software Firewalls auf den einzelnen Servern, die alle Pakete aus dem DMZ-Netz verwerfen.

Ein Verbindungsaufbau sollte grundsätzlich immer aus dem internen Netz in die DMZ erfolgen, niemals aus der DMZ in das interne Netz. Eine übliche Ausnahme hiervon ist der Zugriff aus der DMZ auf Datenbankserver im internen Netzwerk. Als letzte Instanz über diesen Grundsatz wacht in der Regel der Firewall-Administrator vor der Regel-Freischaltung. Dadurch reduziert sich das Gefährdungspotential eines kompromittierten Servers in der DMZ weitestgehend auf Angriffe:

Weitere Versionen

Exposed Host als „Pseudo-DMZ“

Einige Router für den Heimgebrauch bezeichnen die Konfiguration eines Exposed Host fälschlicherweise als „DMZ“. Dabei kann man die IP-Adresse eines Rechners im internen Netz angeben, an den alle Pakete aus dem Internet weitergeleitet werden, die nicht über die NAT-Tabelle einem anderen Empfänger zugeordnet werden können. Dieses Verfahren stellt ein erhebliches Sicherheitsrisiko dar. Es eignet sich eher für die Fehlersuche, um temporär den Einfluss der Firewall zu umgehen, etwa bei Problemen mit bestimmten Datenverbindungen. Eine Portweiterleitung der tatsächlich benutzten Ports ist dem vorzuziehen.

Es hängt von der konkreten Konfiguration der Firewall ab, ob zunächst die Portweiterleitungen auf andere Rechner berücksichtigt werden und erst danach der Exposed Host, oder ob der Exposed Host die Portweiterleitungen auf andere Rechner unwirksam macht.

Dirty DMZ

Als dirty DMZ oder dirty net bezeichnet man im Allgemeinen das Netzsegment zwischen dem Perimeterrouter und der Firewall des (internen) LAN. Diese Zone hat von außen nur die eingeschränkte Sicherheit des Perimeterrouters. Diese Version der DMZ liefert einen Performancegewinn, da die eingehenden Daten nur einfach (Perimeterrouter) gefiltert werden müssen.

Protected DMZ

Mit protected DMZ bezeichnet man eine DMZ, die an einem eigenen LAN-Interface auf der Firewall hängt. Diese DMZ hat die individuelle Sicherheit der Firewall. Viele Firewalls haben mehrere LAN-Interfaces, um mehrere DMZs einzurichten.

Weblinks

Einzelnachweise

  1. Telnet-Clients mehrerer Hersteller verwundbar Heise.de, 29. März 2005
  2. Zwei Schwachstellen in PuTTY Heise.de, 21. Februar 2005

Wikimedia Foundation.

Schlagen Sie auch in anderen Wörterbüchern nach:

  • Demilitarized Zone —   [Abk. DMZ, dt. »demilitarisierte Zone«], bei der Implementierung einer Firewall einzurichtende Zone, in der interne und externe Systeme miteinander kommunizieren können …   Universal-Lexikon

  • demilitarized zone — n. An area where no military activity is permitted. abbrv. DMZ The Essential Law Dictionary. Sphinx Publishing, An imprint of Sourcebooks, Inc. Amy Hackney Blackwell. 2008 …   Law dictionary

  • Demilitarized zone — DMZ redirects here. For other uses, see DMZ (disambiguation). This article is about the military term. For the computer networking term, see DMZ (computing). The Vietnamese Demilitarized Zone separated North Vietnam and South Vietnam. In military …   Wikipedia

  • demilitarized zone — noun a zone from which military forces or operations or installations are prohibited tensions exist on both sides of the demilitarized zone separating North Korea and South Korea • Syn: ↑DMZ • Hypernyms: ↑zone * * * 1. an area in which it is… …   Useful english dictionary

  • demilitarized zone — UK [diːˌmɪlɪtəraɪzd ˈzəʊn] / US [dɪˌmɪlɪtəraɪzd ˈzoʊn] noun [countable] Word forms demilitarized zone : singular demilitarized zone plural demilitarized zones an area where no soldiers or fighting between armies is allowed, usually as the result… …   English dictionary

  • demilitarized zone — 1. an area in which it is forbidden to station military forces or maintain military installations. 2. Informal. any area, place, or circumstance in which conflicts or hostilities are held in abeyance. Abbr.: DMZ [1930 35] * * * ▪ Korean peninsula …   Universalium

  • demilitarized zone — demilitarizuotoji zona statusas T sritis Gynyba apibrėžtis Nustatytas rajonas, kuriame draudžiama laikyti ar telkti karines pajėgas ir statyti karines bazes. atitikmenys: angl. demilitarized zone pranc. zone démilitarisée …   NATO terminų aiškinamasis žodynas

  • demilitarized zone — (Roget s IV) n. Syn. neutral ground, neutral territory, buffer, buffer zone, no man s land, DMZ …   English dictionary for students

  • demilitarized zone — de|mil|i|ta|rized zone [ di,mılıtəraızd zoun ] noun count an area where no soldiers or fighting between armies is allowed, usually as the result of an official decision to end a war …   Usage of the words and phrases in modern English

  • demilitarized zone — military free area, area from which military forces have been removed; (Computers) server that acts as neutral zone and separates an internal network from a public one (in order to prevent outside access to a company s private data) …   English contemporary dictionary


Share the article and excerpts

Direct link
Do a right-click on the link above
and select “Copy Link”

We are using cookies for the best presentation of our site. Continuing to use this site, you agree with this.