如何设计安全的四级DMZ?

日期: 2010-09-08 翻译:黄永兵 来源:TechTarget中国

  谈到DMZ(非军事区)时,我们已经走过了漫长的DMZ设计之路,如果你的组织需要DMZ,它不再是一个麻烦的问题,现在的问题是你应该如何设计一个安全的DMZ。

  在计算机安全领域,DMZ是一个物理或逻辑的子网,它里面驻留着组织提供给外部用户的服务,并负责暴露给更大、不可信的网络——通常指的是互联网,最初的DMZ设计就是从内部网络独立出一个简单的子网,凡是要开放给互联网的服务全部扔到这个子网中。

  现在许多DMZ设计就象设计公路上行驶的交通工具一样,例如,设计运输货物的卡车时最重要的就是要尽可能降低货物运输成本,设计经济型汽车时就是要省钱,设计精致型汽车时,就是要让买车人的朋友嫉妒,DMZ设计和设计汽车的道理一样,尽管存在各种可能的变化,但它们目的都是相同的。

  我们今天使用的网络名称有千千种,但基本上都离不开内部网络、外部网络和DMZ,它们可能被叫做合作伙伴网络、供应商网络、内部DMZ或安全区,实际上它们都是混合了各种设备、连接和风险的DMZ。

  DMZ设计的目标

  如果你问10个网络架构师如何设计DMZ,你可能会得到10个完全不同的答案,虽然变化会增加生活的乐趣,但作为一个特殊的行业,我们应该遵循DMZ设计领域一些公认的做法。

  DMZ设计的核心原则是根据风险隔离设备、系统、服务和应用程序,最终目标是隔离风险,当一个设备或系统被黑时,可以有效保护其它设备或系统不受牵连,除了按风险隔离外,其它四种常见的DMZ设计方法分别是:按操作系统隔离,按数据分类方案隔离,按信任级别隔离和按业务部门隔离。

  如果你了解审计和法规遵从要求,你会发现对技术设计的要求越来越多,在某些新需求中,我们发现需要将Web和应用程序与数据库隔离,这是一个非常好的主意,此外,我们也发现许多组织希望服务器的用途单一化,例如,Web服务器不能同时用作DNS服务器,这些都是很好的想法。

  DMZ设计的四个级别

  我们将DMZ设计分为四个级别,一级是最简单的设计,后面的级别可以提供更细粒度的安全控制。当我们想建立一个基本的DMZ时,通常会从单个网段的防火墙开始着手,在我们的DMZ设计书籍中我们将其称为一级设计,如果需要开放给互联网访问的服务器数量较少,这种设计方法可以应付得过来,但如果你要做电子商务交易,必须用更高级的设计方法。

  许多设计师都容易犯同样的错误,他们将Web服务器和应用程序服务器放在DMZ中,将数据库放在内部网络中,这种设计其实是最不安全的,因为数据库攻击变得更有针对性,如果将其部署在内部网络中,需要更复杂的设计,来自内部的攻击更加危险。

  二级DMZ设计

  二级DMZ设计可能包括多个DMZ网络,相对于一级设计,它在许多方面都进行了改良,它允许在每个DMZ之间写入通信规则实施控制和隔离,首先需要将Web和应用程序服务、数据库、身份认证服务、VPN、合作伙伴连接,电子邮件和移动服务放在独立的DMZ中,在如今的网络环境下这种做法是可行的,大多数防火墙可以轻松处理数十个接口,每个接口可以支持多个VLAN。

  三级DMZ设计

  在二级DMZ设计中经常遇到的一个问题是,防火墙规则过度宽容,本不该开放给互联网访问的设备被开放了,纠正办法是使用两个防火墙:一个内部防火墙和一个外部防火墙,我们称这种设计为三级设计,DMZ根据访问限制放在防火墙之间,入站互联网访问允许通过外部防火墙进入外部DMZ,不会直接路由到由内部防火墙保护的内部DMZ中的设备上,内部网络可以和内部DMZ通信,但不能和外部DMZ通信。

  三级DMZ设计使用两个防火墙,用它们自己的策略有效隔离了互联网连接设备和它们需要的服务,大多数安全团队都可以快速了解外部DMZ和内部DMZ之间的访问规则,最有诱惑力的是可以创建允许互联网入站访问从DMZ到内部网络的规则,当然这应该是永远禁止的,所有需要的服务都应该全部放进DMZ,永远不要暴露内部网络。

  但遗憾的是,这个限制却常常被打破,因为IT小组之间通常缺乏协调或有效的沟通,部署新应用程序时往往很匆忙,未考虑安全因素,网络复杂性和其它因素导致组织在他们的内部网络上创建了关键服务,这样做是非常危险的。

  四级DMZ设计

  四级DMZ设计就更复杂了,四级设计通常需要在各种网络边界位置结对部署防火墙,将DMZ分散在这些防火墙之间,根据你选择的指标进行隔离,大多数设计师喜欢根据业务或功能组进行隔离,还有一些设计师喜欢根据信任等级进行隔离。

  最佳实践要求根据服务水平协议(SLA)和数据分类构建独立的防火墙堆栈,可以为PCI安全标准创建完全独立的防火墙堆栈,为用户服务隔离防火墙(如Web浏览,FTP,电子邮件,打补丁等等),为商业服务独立防火墙,通过SLA考虑将商业服务放入DMZ时,90%、98%和99.9%是三个最好的目标,根据SLA设计DMZ可以使DMZ管理变得更简单,并可以减少业务中断。

  小结

  最后,在规划和设计阶段应尽可能严格一点,一旦DMZ上线,要修复设计上存在的大漏洞可就麻烦了,在组织内置执行严格的调查将有助于加强和其它利益相关者的沟通,无论他们是其他IT人员,还是企业主、合作伙伴或管理人员,他们都会认为你是考虑周全的风险管理人员和战略思想家,你在公司的形象一下子就上升了,同时,也许最重要的是,你将会获得更多有价值的反馈和建议,如果一次谈话会对你的DMZ设计产生重大影响,你还会害怕尝试找个人聊聊吗?

  原文出处:http://netsecurity.51cto.com/art/201009/224789.htm

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

相关推荐

  • 网络防火墙已走到尽头?

    几年前参加TechEd会议时听到有专家谈论“DMZ的末日”,该话题吸引了很多人参与,并且激起了大家的很多争论。现在,防火墙真的会退出历史舞台吗?

  • 安全的DMZ web服务器设置设备

    我需要将web服务器放入DMZ中,服务器需要访问放在内网的网络附加存储(NAS)盒中的数据。为了建立一个安全的DMZ web服务器,有没有一些最佳实践?

  • 无线网络安全的最佳做法(上)

    如今金融服务商受到大量有关客户资料安全保障规则的制约,虽然每种规则的具体情况不同,但金融机构通过采取以下的无线网安全最佳做法可以最大程度地……

  • 重置防火墙的七个要诀

    和其它设备相比,更换防火墙做的好的话是挺麻烦的一件事,做不好还会给网络带来安全隐患。升级防火墙涉及到有些很复杂的问题,该考虑的方面非常多,比如……