Prevention: DMZ

Les zones démilitarisées et les honeypots sont des contrôles de sécurité qui peuvent aider une organisation à mettre en œuvre le concept de « défense en profondeur », en utilisant plusieurs niveaux de sécurité pour ralentir un attaquant, donnant ainsi aux défenseurs la possibilité de le détecter et de l'éliminer. Ces deux défenses sont abordées plus en détail ci-dessous.

Qu'est-ce qu'une zone démilitarisée ?

Dans les réseaux informatiques, une DMZ (zone démilitarisée) est un sous-réseau physique ou logique qui sépare un réseau local Internet (ou LAN) d'autres réseaux non fiables (généralement Internet). Les serveurs, ressources et services externes situés dans la zone démilitarisée sont directement accessibles depuis Internet. Toutefois, cette couche empêchera l'accès au réseau local interne, fournissant ainsi une couche de sécurité supplémentaire au réseau local car elle restreint la capacité des pirates informatiques à accéder directement au serveur interne et aux données via Internet.

Alors, à quoi servent les DMZ ?

• Protégez les systèmes et les ressources sensibles de l'organisation.
• Isolez et séparez les systèmes cibles potentiels des réseaux internes.
• Réduisez et contrôlez l'accès à ces systèmes en dehors de l'organisation.

Systèmes DMZ

Quels services et systèmes sont placés dans une zone démilitarisée ?

Tout service fourni aux utilisateurs sur l'Internet public doit être placé dans le réseau DMZ. Parmi les services les plus courants figurent les serveurs Web et les serveurs proxy, ainsi que les serveurs pour le courrier électronique, le système de noms de domaine (DNS), le protocole de transfert de fichiers (FTP) et la voix sur IP (VoIP).

Architecture

Il existe de nombreuses façons de construire un réseau avec une zone démilitarisée. Les deux principales méthodes sont un pare-feu unique (parfois appelé modèle à trois branches) ou des parefeux doubles. Chacun de ces systèmes peut être étendu pour créer des architectures complexes conçues pour répondre aux exigences du réseau.

Architecture DMZ — Pare-feu unique

Une approche modeste de l'architecture réseau implique l'utilisation d'un pare-feu unique, avec un minimum de 3 interfaces réseau. La DMZ sera placée à l'intérieur de ce pare-feu. Le niveau des opérations est le suivant : le périphérique réseau externe établit la connexion depuis le FAI, le réseau interne (privé) est connecté par le deuxième périphérique et les connexions au sein de la DMZ sont gérées par le troisième périphérique réseau.

Architecture DMZ : double pare-feu

L'approche la plus sûre consiste à utiliser deux pare-feux pour créer une zone démilitarisée. Le premier pare-feu (appelé pare-feu « frontal ») est configuré pour autoriser uniquement le trafic destiné à la zone démilitarisée. Le second pare-feu (appelé pare-feu « principal ») est uniquement responsable du trafic qui circule de la zone démilitarisée vers le réseau interne (privé). Un moyen efficace de renforcer encore la protection consiste à utiliser des pare-feux conçus par des fournisseurs distincts, car ils sont moins susceptibles de présenter les mêmes failles de sécurité. Bien que plus efficace, ce système peut s'avérer plus coûteux à mettre en œuvre sur un vaste réseau.

Les avantages d'une zone démilitarisée

Le principal avantage d'une zone démilitarisée est qu'elle permet aux utilisateurs de l'Internet public d'accéder à certains services proposés par un réseau privé, tout en maintenant une zone tampon entre ces utilisateurs et le réseau privé. Les avantages de sécurité de cette mémoire tampon se manifestent de plusieurs manières, notamment :

Contrôle d'accès pour les organisations :

• La nécessité pour les organisations de fournir aux utilisateurs un accès à des services situés en dehors du périmètre de leur réseau via l'Internet public est presque omniprésente dans les organisations modernes. Un réseau DMZ permet d'accéder à ces services nécessaires tout en introduisant simultanément un niveau de segmentation du réseau qui augmente le nombre d'obstacles qu'un utilisateur non autorisé doit contourner avant de pouvoir accéder au réseau privé d'une organisation. Dans certains cas, une zone démilitarisée inclut un serveur proxy qui centralise le flux du trafic Internet interne des utilisateurs (généralement un employé) et simplifie l'enregistrement et la surveillance de ce trafic.

Empêchez les attaquants d'effectuer des opérations de reconnaissance du réseau :

• La mémoire tampon accessible fournie par la DMZ empêche un attaquant d'identifier des cibles potentielles au sein du réseau. Cela rend la reconnaissance interne plus difficile car même si un système au sein de la zone démilitarisée est compromis, le réseau privé est

toujours protégé par le pare-feu interne qui le sépare de la zone démilitarisée. Cela rend également la reconnaissance extérieure plus difficile pour la même raison.

Protection contre l'usurpation d'adresse IP :

• Dans certains cas, les attaquants tentent de contourner les restrictions de contrôle d'accès en usurpant une adresse IP autorisée afin de se faire passer pour un autre appareil du réseau. Une zone démilitarisée peut bloquer les usurpateurs d'adresses IP potentiels pendant qu'un autre service du réseau vérifie la légitimité de l'adresse IP en vérifiant si elle est accessible.