Куда я попал?
Цель: изолировать компоненты, взаимодействующие с внешними сетями и внешними информационными системами, от внутренних сегментов организации и ограничить возможность распространения атаки при компрометации публичного сервиса.
Мера реализуется путём выделения отдельного сетевого сегмента (демилитаризованной зоны, DMZ) для размещения компонентов, которым необходим обмен данными с внешними сетями.
Мера реализуется путём выделения отдельного сетевого сегмента (демилитаризованной зоны, DMZ) для размещения компонентов, которым необходим обмен данными с внешними сетями.
DMZ изолируется от внутренних сегментов, обрабатывающих информацию ограниченного доступа.
Все сетевые соединения между DMZ, внешними сетями и внутренними сегментами должны проходить через средства межсетевого экранирования, включая служебные подключения, администрирование и резервное копирование.
Все сетевые соединения между DMZ, внешними сетями и внутренними сегментами должны проходить через средства межсетевого экранирования, включая служебные подключения, администрирование и резервное копирование.
Разрешённые взаимодействия определяются назначением сервисов и принципом минимальных привилегий. Для каждого соединения устанавливаются источник, получатель, направление, протокол, порт и обоснование необходимости. Контролируются входящие и исходящие соединения; события нарушения правил регистрируются.
Само выделение отдельной подсети или VLAN без контроля взаимодействий не обеспечивает требуемую изоляцию.
Способы реализации
Однофайерволовая (3-интерфейсная) - один физический или виртуальный фаервол с тремя независимыми зонами безопасности (Internet, DMZ, Internal). Подходит для малого и среднего бизнеса.
Способы реализации
Однофайерволовая (3-интерфейсная) - один физический или виртуальный фаервол с тремя независимыми зонами безопасности (Internet, DMZ, Internal). Подходит для малого и среднего бизнеса.
- Двухфайерволовая (Back-to-Back) - два независимых устройства. Первый защищает DMZ от интернета, второй — внутреннюю сеть от DMZ. Обеспечивает наивысший уровень эшелонированной защиты.
- Облачная DMZ - реализация через Security Groups, Network ACL и Transit Gateway в публичных облаках (Yandex Cloud, VK Cloud, AWS). Применяется для изоляции микросервисов.
- Виртуальная маршрутизация (VRF) - логическая изоляция на уровне L3-коммутаторов без использования дополнительных физических устройств (VLAN).
Перечень мероприятий по созданию DMZ-сегмента:
Определить состав DMZ. Выявить компоненты, взаимодействующие с внешними системами и Интернетом. Зафиксировать их назначение, владельцев и зависимости от внутренних сервисов.
- Разработать схему размещения. Определить границы внешней сети, DMZ и внутренних сегментов, точки фильтрации и маршруты трафика. Учесть виртуальную инфраструктуру и резервные каналы.
- Составить матрицу сетевых взаимодействий. Описать необходимые соединения:
- внешние сети → сервисы DMZ;
- DMZ → внешние сети;
- DMZ ↔ внутренние сервисы;
- административные и служебные подключения.
- Настроить сегментацию и межсетевое экранирование. Разрешить согласованные взаимодействия, заблокировать остальные. Проверить отсутствие маршрутов и подключений в обход средств фильтрации.
- Разместить компоненты в DMZ. Перенести или развернуть сервисы, проверить их работоспособность и доступность необходимых зависимостей.
- Организовать контроль. Настроить регистрацию нарушений правил, обработку событий и резервное копирование конфигураций межсетевого экранирования. При необходимости подключить IDS/IPS как отдельную защитную меру.
- Провести приёмочные испытания. Подтвердить, что разрешённые сервисы работают, запрещённые соединения блокируются, а обходные пути отсутствуют. Проверять доступность внутренних ресурсов из DMZ только в согласованном объёме.
- Оформить эксплуатацию. Утвердить порядок организации DMZ, изменения правил, подключения новых сервисов и проверки изоляции. Повторять проверки после существенных изменений. Для применимой меры МСЭ.1 проверка корректности сегментации предусмотрена не реже одного раза в год.
Рекомендации к заполнению карточки:
- Приложите актуальные схемы сети и перечень компонентов DMZ, как свидетельство выполнения к данной защитной мере.
Область действия: Вся организация
Классификация
Тип
Техническая
?
Превентивная
?
Реализация
Вручную
Периодичность
Разово
Ответственный
Не определено
Инструменты
Не определено
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.