// Glossario IT
DMZ (rete)
Un segmento di rete isolato che ospita servizi esposti verso l'esterno, separato dalla rete interna aziendale.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Una DMZ (DeMilitarized Zone) è un segmento di rete separato, tipicamente delimitato da due firewall o da un firewall con più interfacce, che ospita i servizi che devono essere raggiungibili da internet (server web, posta, VPN gateway) tenendoli isolati dalla rete interna dove risiedono i sistemi e i dati più sensibili.
Perché conta
Il principio alla base della DMZ è che i servizi esposti pubblicamente sono statisticamente i più esposti ad attacchi, quindi vanno isolati in modo che, se compromessi, non diventino un trampolino diretto verso la rete interna. Una configurazione comune ma pericolosa è collegare la DMZ direttamente alla rete interna senza adeguati controlli di filtro tra i due segmenti, vanificando lo scopo della separazione.
In pratica
Dalla DMZ verso la rete interna devono passare solo i flussi strettamente necessari, meglio se avviati dalla rete interna. I server in DMZ vanno trattati come i più esposti: aggiornamenti rapidi, servizi ridotti al minimo e log inviati a un sistema che sta fuori dalla DMZ, così un attaccante non può cancellarli. Riferimento: NIST, definizione di demilitarized zone.