DMZ Nedir?

DMZ’nin varlık sebebi tek bir gözlemdir: dışarıya hizmet veren bir sunucu, tanımı gereği saldırıya en açık makinedir. İnternetten gelen herkesin ulaşabildiği bir yüzeyi vardır ve o yüzeydeki bir açık er ya da geç bulunur.

Tasarım bu makineyi kurtarmayı hedeflemez. Ele geçirildiğinde ne olacağını sınırlamayı hedefler.

İki Yönlü Politika

Yaygın yanlış, DMZ’yi yalnız dışarıya karşı bir tampon sanmaktır. Asıl değeri ikinci yöndedir.

DMZ’deki bir sunucunun iç ağa erişimi de kısıtlanır. Web sunucusu veritabanına yalnız gereken portta ve yalnız gereken makineye ulaşabilir; dosya paylaşımına, yönetim ağına ya da kullanıcı bölümüne hiç erişemez. Sunucu ele geçirildiğinde saldırganın elinde kalan şey, o dar izin kümesidir.

Bu kısıt yazılmamışsa DMZ yalnız bir isimdir.

Bugünkü Karşılığı

Klasik tanım, kurumun kendi makine dairesinde duran fiziksel sunucuları varsayıyordu. Bugün dışa açık hizmetlerin çoğu ters vekil (reverse proxy), yük dengeleyici ya da WAF arkasında duruyor ve bir kısmı hiç kurumun ağında bulunmuyor.

Kavramın hangi kısmının kaldığını ayırmak gerekir:

• Fiziksel bölge olarak DMZ eski önemini kaybetti. Bulutta ayrı bir kablo yoktur.
• Güven sınırı olarak DMZ aynen duruyor. Dışa açık iş yükünün ayrı bir güven seviyesinde tutulması ve iç sistemlere erişiminin daraltılması hâlâ geçerlidir.

Bulut ortamlarında bu sınır güvenlik grupları ve mikrosegmentasyon ile çizilir. Adı değişir, işlevi durur.

Sık Yapılan Hata

Zamanla DMZ’ye ait olmayan sistemler oraya taşınır. Bir iç uygulama “dışarıdan da erişilsin” diye DMZ’ye alınır, ardından iç ağa erişim izni açılır. Birkaç istisnadan sonra bölge, iç ağın uzantısı haline gelir ve tasarımın tek amacı ortadan kalkar.

İstisnaların sahibi ve son kullanma tarihi olmadığında bu süreç fark edilmeden ilerler.