What Is a DMZ Firewall?
隔離區 (DMZ) 防火牆將組織的 DMZ 或屏蔽子網路與公司網路的其餘部分分開。 這有助於防止入侵從 DMZ 轉移到公司網路的其餘部分。
DMZ 的常見用途
DMZ 是公司網路的一部分，與組織系統的其餘部分分開。 它用於託管與外部使用者 (包括來自公共網際網路和不受信任的第三方組織的使用者) 互動的伺服器，並且可能被攻擊者惡意利用。
一些可能位於 DMZ 中的伺服器包括：
- 網頁伺服器
- 電子郵件伺服器
- DNS 伺服器
- FTP 伺服器
- 代理伺服器
這些伺服器為外部使用者提供服務，並且存在遭惡意使用者利用的風險。 將它們與企業網路的其他部分分開，使得攻擊者更難從面向公眾的伺服器轉移到其他更有價值的企業資源。
DMZ 實施方法
DMZ 託管伺服器可能會對專用網路的其餘部分構成威脅，因為它們被攻擊者利用的可能性增加。 組織應識別提供公共服務的伺服器，並將它們放置在 DMZ 中。
DMZ 透過防火牆與外部網路的其餘部分分開。 這可以通過兩種方式之一實現：
- 單一防火牆：可以使用至少具有三個網路介面的單一防火牆來建立 DMZ。 第一個介面連接公共網路路，第二個介面連接DMZ，第三個介面連接公司內部網路。 將 DMZ 分成單獨的介面有助於將其隔離，並允許公司根據防火牆規則和存取控制來限制其與內部網路的連結。
- 雙重防火牆s ：也可以使用兩個不同的防火牆來建造 DMZ。 第一個防火牆將 DMZ 與公共 Internet 分開，第二個防火牆將 DMZ 與內部網路分開。 這種設計更加安全，因為它實現了深度防禦，迫使攻擊者繞過兩道防火牆到達企業內部網路。
DMZ 的重要性
DMZ 是企業網路的重要組成部分，因為它將高風險系統與高價值系統分開。 Web 伺服器對於組織來說是一個高風險系統，因為網路應用程式通常包含可利用的脆弱性，可能使攻擊者能夠存取託管它們的伺服器。
將這些系統與公司網路的其他部分隔離對於保護其他公司係統免受這些入侵者的侵害是有意義的。
隨著組織實施零信任網路存取(ZTNA)，DMZ 可能變得不那麼重要，因為每個應用程式和系統都透過防火牆和存取控制與其他應用程式和系統隔離。 零信任架構有效地將企業網路的每個部分置於自己的 DMZ 中，從而提高了整個網路的安全層。
DMZ 的最佳做法
為了確保 DMZ 正常運作，並保護組織免受潛在威脅的侵害，請實施下列最佳做法：
- 雙重防火牆保護： DMZ 可以建置為單防火牆或雙防火牆。 使用兩個防火牆可以迫使攻擊者攻破多個防火牆以存取公司 LAN 內的高價值系統，從而降低風險。
- 實作精細 存取控制：組織應對進入和離開公司網路以及在公司網路與內部公司 LAN 之間流動的外部流量實施存取控制。 理想情況下，這些將是作為零信任安全策略的一部分實施的最低權限存取控制。
- 及時應用更新：DMZ 防火牆對於保護內部公司網路免受 DMZ 的潛在入侵至關重要。 組織應定期檢查並套用防火牆更新，以確保在攻擊者利用任何安全漏洞之前將其關閉。
- 定期執行 脆弱性評估：除了修補程式管理之外，安全團隊還應該定期執行脆弱性掃描和評估，以識別 DMZ 的任何安全問題。 除了未修補的系統之外，這些可能包括組態錯誤、忽略的入侵以及任何其他可能使組織面臨風險的任何其他問題。
利用 Check Point 人工智慧驅動的防火牆提高安全性
DMZ 是組織安全架構的重要組成部分，可保護企業網路的其餘部分免受 Web 伺服器和其他面向公眾的服務的潛在危害。 但是，DMZ 僅在受到能夠阻止攻擊者移動到內部網路的防火牆保護時才有效。
這需要次世代防火牆（NGFW），理想的版本是利用人工智慧/機器學習引擎的力量來阻止零日威脅。 透過本購買者指南，詳細了解現代企業防火牆的要求。
Check Point NGFWs are available as standalone solutions or as part of Check Point SASE. To find out more, feel free to sign up for a free demo of Check Point Force NGFW.
