Оптимальный перечень защитных мер DMZ

[bga68comp]

Оптимальный перечень защитных мер DMZ

wiki: DMZ (англ. Demilitarized Zone — демилитаризованная зона, ДМЗ) — сегмент сети, содержащий общедоступные сервисы и отделяющий их от частных.

1. DMZ разделяется на IP-подсети из расчета отдельная подсеть для каждого узла.
   
2. IP адреса назначаются вручную администраторами. DHCP не используется.
   
3. На сетевых интерфейсах, к которым подключены узлы DMZ, активируется MAC и IP фильтрация, ограничения по интенсивности широковещательного трафика и трафика, содержащего TCP SYN запросы.
   
4. На коммутаторах отключается автоматическое согласование типов портов, запрещается использование native VLAN.
   
5. На узлах DMZ и серверах внутренней сети, к которым данные узлы подключаются, настраивается TCP SYN Cookie.
   
6. В отношении узлов DMZ (и желательно остальной сети) внедряется управление уязвимостями ПО.
   
7. В DMZ-сегменте внедряются системы обнаружения и предотвращения вторжений IDS/IPS.

Схема с двумя межсетевыми экранами