Utente:Salvatore Collura/Sandbox

Nell’ambito della sicurezza informatica, una DMZ o zona demilitarizzata, è una sottorete isolata, fisica o logica, che contiene dei servizi informatici offerti da un’azienda, accessibili sia da reti esterne non protette (WAN) e che da workstation interne alla stessa azienda (intranet) e il cui scopo è quello di far usufruire questi servizi nella maniera più sicura possibile, senza compromettere la sicurezza della rete aziendale.

Descrizione

Nel senso militare e territoriale del termine il nome usato deriva dal termine "zona smilitarizzata", un'area tra stati nazionali in cui non è consentita alcuna l'operazione militare, cioè non è vista come zona appartenente a nessuna parte con cui confina . Questo concetto metaforico è applicabile in ambito informatico, in quanto, una DMZ, funziona come una piccola rete isolata posizionata tra internet e la rete interna. Lo scopo della DMZ è quella di aggiungere un ulteriore livello di sicurezza ad una rete locale aziendale, dove, un nodo appartenente ad una rete esterna, può accedere soltanto ai servizi messi a disposizione senza mettere a rischio e compromettere la sicurezza dell’intera rete. Nel caso una delle macchine appartenenti alla DMZ sia sottoposta ad un attacco informatico, questo non si ripercuote sul resto della rete . Per chi si connette dall'esterno dell'organizzazione, la DMZ è infatti una sorta di "strada senza uscita" o "vicolo cieco". La scelta di collocare questi host in un’area come la DMZ è perché sono quelli che forniscono servizi sia ad utenti interni che esterni alla rete locale e proprio a causa dell’aumento potenziale di attacchi a servizi come server di posta elettronica, Web e Domain Name System (DNS) che vengono inseriti in tale zona.

Una DMZ può essere creata attraverso la definizione di policies distinte su uno o più firewall. Genericamente i firewall intermedi controllano il traffico tra i server nella DMZ, i client interni ed esterni. Le connessioni dalle reti esterne verso la DMZ sono solitamente controllate tramite una tipologia di NAT chiamata "port forwarding" o "port mapping", implementata sul sistema che agisce da firewall che tipicamente sono di tipo packet filter. Una configurazione DMZ fornisce sicurezza dagli attacchi esterni, ma in genere non ha alcun effetto sugli attacchi interni come lo sniffing della comunicazione tramite un analizzatore di pacchetti o attacchi di spoofing.

Servizi

Qualsiasi servizio di rete che può essere offerto agli utenti della rete esterna ed interna può essere inserito nella DMZ. I più comuni di questi servizi sono:

• Server Web
• Server email
• Server FTP
• Server DNS

Server Web

I server Web potrebbero dover comunicare con un database interno per fornire alcuni servizi specializzati. A volte è anche buona norma configurare una Zona Militarizzata Classificata (CMZ) separata dalla DMZ, cioè una zona militarizzata altamente monitorata che comprende per lo più server Web e server simili che si interfacciano con il mondo esterno, cioè Internet. In questo modo proteggiamo i server di database mettendoli in una zona separata dalla CMZ essendo quest’ultima pubblicamente accessibile. In genere, non è una buona norma consentire al server Web di comunicare direttamente con il server database sottostante. Invece, può essere utilizzato un firewall dell'applicazione che funge da mezzo di comunicazione tra il server del database e il server web . Ciò fornisce un ulteriore livello di sicurezza, sebbene più complesso. Questo tipo di configurazione ha però uno svantaggio dovuto al fatto che gli utenti della workstation non possono usare directory di rete e apportare modifiche direttamente a pagine Web o altri file e quindi costretti ad usare protocolli applicativi come FTP per caricare o scaricare le pagine.

Server email

I messaggi di posta elettronica degli utenti sono confidenziali quindi sono generalmente memorizzati su server a cui non è possibile accedere da Internet, e quindi inserito in una zona LAN. Per far si che il server di posta interno comunichi con server di posta esterni, viene posto un server ausiliario nella DMZ, il quale riceve email in arrivo e le inoltra al server interno principale . In questo modo è possibili controllare la posta in arrivo sulla DMZ ad esempio tramite sandbox o antivirus prima di inoltrarla.

Server DNS

È possibile avere diverse configurazioni riguardante la posizione e il numero di server DNS in una DMZ. Se si dispone di un solo set di server DNS, sia per la zona interna che esterna, è necessario inserirli nella DMZ e consentire così agli utenti locali di accedervi anziché collocarli nella stessa rete interna e configurare nel firewall le richieste DNS esterne, la quale è una prassi poco sicura poiché permettiamo ad utenti esterni di accedere alla rete interna. La configurazione più comune consiste nell’usare due set di server DNS, un set di DNS interni e un set di server accessibili esternamente collocati nella DMZ, che è sicura ma accessibile solo dalla rete pubblica.

Proxy

Per dare maggiore supporto e sicurezza alla struttura vengono usati dei firewall che lavorano a livello applicativo.

Server Proxy

Per favorire una maggiore sicurezza e conformità agli standard legali definiti ad esempio da HIPAA (The Health Insurance Portability and Accountability Act) e ragioni di monitoraggio è opportuno, in un ambienta aziendale, la presenza di un server proxy nella DMZ . I vantaggi introdotti sono i seguenti vantaggi:

• Costringe gli utenti della workstation ad usare il server proxy per accedere ad internet.
• Permette di ridurre il traffico di rete poiché alcuni contenuti Web potrebbero essere memorizzati nella cache dal server proxy.
• Semplifica la registrazione e il monitoraggio delle attività degli utenti.
• Filtro centralizzato dei contenuti web.
• Caching.

Reverse proxy server

È come un server proxy normale, fa da intermediario, ma ha lo scopo inverso. Invece di fornire un servizio agli utenti interni che desiderano accedere a una rete esterna, fornisce l'accesso indiretto per una rete esterna (di solito Internet) alle risorse interne. Questo è un ulteriore livello di sicurezza, che è particolarmente consigliato quando è necessario accedere alle risorse interne dall'esterno. Solitamente tale meccanismo di proxy inverso viene fornito utilizzando un firewall a livello di applicazione in quanto si concentrano sulla forma specifica del traffico piuttosto che sul controllo dell'accesso a specifiche porte TCP e UDP come fa un firewall che si limita solo a filtrare i pacchetti.

Architettura

Una DMZ può essere progettata in modi diversi a seconda delle esigenze e dei requisiti di rete desiderati, e tipicamente è una soluzione adottata dalle grandi aziende. I Due dei metodi più comuni sono le configurazioni: con un singolo firewall, noto anche come modello a tre gambe, e con doppio firewall. Queste architetture possono essere ampliate per creare architetture molto complesse a seconda dei requisiti di rete.

Singolo firewall

Diagramma di una rete che utilizza una DMZ creata utilizzando un firewall a tre connessioni (three-legged firewall).

La rete dispone di un singolo firewall con almeno 3 interfacce di rete, le quali forniscono rispettivamente un collegamento con:

• La rete esterna, dalla quale arrivano le richieste internet tramite un router (WAN).
• La rete interna in cui vi è la workstation (intranet).
• La DMZ che contiene i server offerti.

Il firewall che gestisce il tutto diventa l’unica possibile falla di sicurezza per la rete intera e deve essere in grado di gestire tutto il traffico diretto alla DMZ e alla rete interna. Rappresenta una configurazione poco sicura dovuta proprio alla presenza di un unico firewall.

Doppio firewall

Diagramma di una rete che utilizza una DMZ creata utilizzando due firewall.

Un approccio più sicuro consiste nell'utilizzare due firewall per creare una DMZ. La configurazione consiste nell’usare un primo firewall esterno come prima linea di difesa e deve essere configurato per consentire solo il traffico destinato alla DMZ. Il secondo firewall interno che consente solo il traffico dalla DMZ alla rete interna. La presenza di due firewall è una sicurezza aggiuntiva per la rete interna perché invece di un unico punto di sicurezza ce ne stanno due. C'è ancora più protezione se i due firewall usati provengono da due diversi fornitori, perché rende meno probabile che entrambi i dispositivi soffrano delle stesse vulnerabilità di sicurezza . Uno degli svantaggi di questa architettura è che è più costoso, sia da acquistare che da gestire. La pratica di utilizzare firewall diversi da diversi fornitori viene talvolta descritta come una componente di una strategia di sicurezza "difesa in profondità” Dal punto di vista topologico si può avere una ulteriore differenziazione di questa struttura, ovvero una configurazione doppio firewall “in line” o a T. Nel primo caso abbiamo un firewall esterno ed un firewall interno e nella zona compresa tra i due si trova la DMZ, mentre nel secondo caso abbiamo un primo firewall esterno collegato ad uno switch da cui si diramano due collegamenti protetti ognuno da un firewall interno che fanno da barriera rispettivamente alla workstation e una zona in cui vi sono i dati aziendali.

Host DMZ (Pseudo DMZ)

Alcuni router domestici si riferiscono erroneamente alla configurazione di un host esposto come "DMZ". È possibile specificare l'indirizzo IP di un computer nella rete interna a cui tutti i pacchetti vengono inoltrati da Internet, che non può essere assegnato a un altro destinatario tramite la tabella NAT. Ciò rende l'host (anche per potenziali aggressori) accessibile da Internet. Il port forwarding delle porte effettivamente utilizzate è preferibile se possibile e questo perché il tutto ruota su questo concetto, perché è l’operazione che consente di dirigere il traffico generato da un nodo della rete verso una o più porte di comunicazione del router, e questi permette all’utente che si connette dall’esterno di raggiungere la risorsa di rete associata a quella porta senza l’impedimento di filtri che rallenti lo scambio di dati o renda la comunicazione complicata.