DMZとは何ですか。DMZホストIPアドレスの役割と動作方法

DMZは、内部ネットワークとインターネットネットワークの中間に位置する中立的なネットワークエリアです。DMZの役割は、システムのセキュリティを強化し、ネットワーク攻撃からのリスクを最小限に抑えることです。nnネットワークシステム内では、DMZは通常、ウェブサーバー、メールサーバー、またはインターネットからアクセスできる他のアプリケーションのようなサーバーを配置するために使用されます。これらのサーバーはDMZ内に配置され、外部からの攻撃がDMZにしか影響を与えないようにするためです。これにより、内部ネットワーク内のサーバーへのアクセスを制限できます。n

なぜDMZネットワークが重要なのでしょうか

nDMZネットワークの重要性については、次の一連の利点を参照してください：n

n
• オンラインサービスの展開： DMZは、ウェブ、メール、FTPなどのオンラインサービスを影響を与えずに展開できるようにします。これらのサービスはDMZに配置され、インターネットを介して外部からのアクセスのみを許可し、内部ネットワークシステムへのリスクを最小限に抑えます。

n

• ネットワークシステムの保護： DMZは、外部からの攻撃からネットワークシステムを保護します。DMZ内のファイアウォールは、DMZに配置されたサーバーやアプリケーションへのネットワークトラフィックへのアクセスを制御し、許可された接続のみを許可し、有害な接続をブロックします。

n

• パートナーや顧客へのサービス提供： DMZは、遠隔地のパートナーや顧客にサービスを提供する安全な環境を提供します。これらのサービスはDMZ内に配置され、ファイアウォールによって制御され、正当な接続のみを許可するように設定されます。

n

• アクセスの管理： DMZは外部からのサービスやアプリケーションへのアクセスを管理できます。管理者はDMZファイアウォールを設定して、サービスやアプリケーションへのアクセスを制御し、特定の接続のみを許可し、有害な接続をブロックできます。

n

n

DMZの構造 

nDMZの構造には通常、次の3つの主要な部分が含まれています：n

n
• DMZサーバー： DMZ内に配置され、ウェブサーバー、メールサーバー、DNSサーバーなど、インターネットからアクセスできるサービスやアプリケーションを含むサーバーです。ただし、これらのサーバーは必要な場合にのみ内部ネットワークにアクセスできるように制限されています。

n

• DMZファイアウォール： DMZ上に配置されるファイアウォールで、DMZ内およびDMZから出るトラフィックをフィルタリングし、許可された接続だけが転送されるように設定されています。DMZ内のサーバーと内部ネットワークのサーバーとの間で設定された特定の接続のみを許可し、有害な接続をブロックします。

n

• セキュリティサーバー： 内部ネットワークに配置され、DMZ上の活動を監視および管理する役割を果たします。セキュリティサーバーは通常、セキュリティ情報およびイベント管理（SIEM）ソフトウェアやログ分析システムをインストールし、DMZ上の活動を監視し、潜在的な脅威を検出します。また、セキュリティサーバーは、DMZファイアウォールを突破した攻撃を検出すると、管理者に警告を送信するように設定できます。

n

n

n
• シングルファイアウォール： シングルファイアウォールDMZデザインでは、3つ以上のネットワークインターフェイスが必要です。最初は外部ネットワークであり、パブリックインターネットへの接続を提供し、ファイアウォールに接続されています。 2番目のネットワークは内部ネットワークを形成し、3番目のネットワークはDMZに接続されています。異なるルールがDMZへのアクセスと内部ネットワークへの接続を監視し、内部ネットワークへの接続を制限します。

n

• ダブルファイアウォール： 2つのファイアウォールとDMZの間にDMZを持つことは、通常、より安全なオプションです。最初のファイアウォールは、外部からDMZへのトラフィックを許可し、2番目のファイアウォールはDMZから内部ネットワークへのトラフィックを許可します。攻撃者は内部ネットワークにアクセスするために両方のファイアウォールを突破する必要があります。

n

n

DMZの使用に関する利点 

nDMZの使用には次のような典型的な利点があります：n

n
• アクセスの制御を可能にする： 企業は、一般のインターネットを介してユーザーに外部サービスへのアクセス権を提供できます。DMZはこれらのサービスへのアクセスを許可し、同時にネットワークセグメンテーションを実施して不正なユーザーが内部ネットワークにアクセスしにくくします。 DMZにはプロキシサーバーも含まれ、内部トラフィックアクセスを集中化し、そのアクセスを監視および記録するプロセスを簡素化します。

n

• ネットワークスキャンの阻止： インターネットと内部ネットワークの間に区画を設けることで、攻撃者は潜在的なターゲットを探索するために行うスキャン作業を阻止します。 DMZ内のサーバーは公開されていますが、ファイアウォールによって保護されており、内部ネットワーク内のデータをのぞき見するのを防ぎます。 DMZシステムが侵害されても、内部ネットワークからDMZを分離するファイアウォールにより、内部の機密データが安全に保護され、外部からのスキャンが難しくなります。

n

• インターネットプロトコル（IP）の冒用を防ぐ： 攻撃者は、IPアドレスを偽装し、ネットワークにアクセス権がある設備として自分を偽装しようと試みます。 DMZはIPアドレスの合法性を検証する認証サービスを提供し、このような冒用試みを検出および阻止します。また、DMZは内部ネットワークからアクセスできるデータトラフィックを分離するセグメンテーションを提供し、組織とパブリックサービスが内部ネットワークからアクセスできるデータトラフィックを共有するスペースを作成します。

n

n