DMZとは ― 公開サーバを社内LANから切り離す区画

DMZ（DeMilitarized Zone）は、Webサーバやメールサーバのような公開サーバを、社内LANとは別に置くネットワークの区画です。公開サーバが乗っ取られても、攻撃者がそこから社内LANへ入り込みにくくなります。

会社のWebサーバを公開するときの構成図に「DMZ」と書かれた箱があれば、この区画のことです。公開サーバの置き場所によって、攻撃を受けたときの被害の広さが変わります。一方、自宅ルータの設定画面にある「DMZホスト」は別の機能で、有効にすると機器が外にさらされます。

この先では、分ける理由と2つの構成、DMZに置くもの、通信の許可の決め方が分かります。

DMZは日本語で非武装地帯と訳します。もとは、対立する国どうしの間に設ける緩衝地帯を指す言葉です。ネットワークでは、信頼できないインターネットと、守りたい社内LANの間に置く区画を指します。

技術的な定義は、1つに決まっていません。米国の国立標準技術研究所（NIST）の資料は、ファイアウォールのインターフェースの1つとして説明しています。インターフェースは、ケーブルをつなぐ口のことです。NISTの別の資料は、社内ネットワークとインターネットの間に入れる区画と説明しています。どちらも、公開サーバと社内の間の通信がファイアウォールを通る点は同じです。

公開サーバは、世界中から接続を受けるので攻撃を受けやすい機器です。ファイアウォールでポートを絞っても、Webアプリの弱点を突く攻撃は、許可した443番を通って届きます。そのため、公開サーバはいつか乗っ取られるかもしれないものとして置き場所を考えます。

置き場所は、大きく3通りあります。次の表は、サーバが乗っ取られたときの違いを比べたものです。

社内LANの中に置くと、乗っ取られたサーバから社内のPCやファイルサーバへ、ファイアウォールを通らずに接続できます。ファイアウォールの外側に置くと、サーバを守るものがサーバ自身の設定だけになります。NISTの資料は、どちらの置き方も勧めていません。

DMZに置くと、社内LANへの通信は必ずファイアウォールを通ります。サーバが乗っ取られても、次の一歩をファイアウォールで止められることが、DMZを作る理由です。

DMZの構成には、ファイアウォールを2台使う形と1台使う形があります。2台の形は、インターネットと社内LANの間に2台を直列に並べ、その間をDMZにします。1台の形は、インターフェースを3つ持つファイアウォールで、インターネット・DMZ・社内LANを別々の口につなぎます。この形は3脚構成とも呼びます。

どちらを選ぶかは、守りたい情報の重要さと、費用や運用の手間で決めます。NISTの資料は、1台で分ける形を、2台で守りたいものの用意できない組織の選択肢として挙げています。外側のファイアウォールの代わりに、ルータのACLで通信を絞る簡単な形もあります。

判断の基準は、外から接続を受ける必要があるかどうかです。外から接続を受けるサーバをDMZに置き、社内の人だけが使うサーバと大事なデータは社内側に残します。

Webサーバの置き場所はDMZでも、Webアプリが使うデータベースは社内側に置きます。こうしておくと、攻撃者はWebサーバを乗っ取っても、データベースのサーバへは許可された接続しか使えません。リバースプロキシだけをDMZに置いて、Webサーバ本体を奥に置く構成もあります。

NISTの資料も、メールサーバと外向けのDNSサーバの置き場所としてDMZを挙げています。メールは、中継役のサーバだけをDMZに置き、本体のメールサーバを社内側に残す形もあります。DNSは、外向けのサーバをDMZや外部のサービスに置き、社内の名前を答えるサーバは外から届かない社内側に分けます。

DMZの設計では、区画の組み合わせごとに、どの向きの通信を通すかを決めます。基本は、外から始まる通信をDMZまでで止め、DMZから社内へも例外を除いて通さないことです。

表の向きは、通信を始める側で決めています。たとえば社内PCがWebサイトを見るときの戻りの通信は、外から社内へ入ります。この通信はステートフルインスペクションが行きの通信と対応づけて通すので、別途ルールを書く必要はありません。

DMZから社内LANへの例外で代表的なのは、Webサーバからデータベースへの接続です。この例外は、送信元のサーバ、宛先のサーバ、ポート番号をすべて絞って許可します。Webアプリの安全対策をまとめたOWASPの資料も、データベースのポートは特定の機器にだけ開けるよう勧めています。「DMZから社内へはすべて許可」のように広く開けると、区画を分けた効果が無くなります。

DMZからインターネットへの通信も、必要なものだけを許可します。NISTの資料は、内向きも外向きも、許可していない通信を止めるよう勧めています。社内LANからの管理の接続も同じで、Webサーバを管理できる機器はIPアドレスなどで絞ります。

WebサーバをDMZに、データベースを社内LANに置いた会社を例にします。通信を選ぶと、通すかどうかと、その理由が分かります。

DMZは被害が広がる道を減らす仕組みで、公開サーバへの攻撃そのものは止めません。許可した443番を通る攻撃には、通信の中身を見るWAFや、怪しい通信を見つけるIDS・IPSを組み合わせます。サーバのOSとアプリを更新し続ける作業も欠かせません。

DMZの守りの強さは、ファイアウォールのルールに大きく左右されます。社内のサーバへ80番を転送する設定を足すと、外からの通信がDMZを通らずに社内へ届いてしまいます。1台で分ける形では、公開サーバへのDoS攻撃がファイアウォールの負荷になり、社内の通信に影響することもあります。

DMZは、社内LANを信頼できる場所として守る設計です。社内の機器も信用せずに確かめる考え方は、ゼロトラストの記事を読むと分かります。

家庭用ルータのDMZホスト機能は、区画を作る機能ではありません。外から始まる通信のうち、どの転送の決まりにも当たらないものを、指定した1台へすべて送る設定です。指定した機器は家のLANの中に置かれたままで、本来のDMZと違い、ほかの機器から切り離されていません。

TP-Linkのサポート資料も、この機能は厳密には本当のDMZではないと断っています。NECのAtermの説明書は、インターネットに直接つないだ状態に近くなると注意しています。有効にした機器はインターネットに完全にさらされるので、使っていないなら無効にしておきます。

設定画面で見かけても、ふだんは有効にしません。ゲームやカメラの接続に必要なら、まず必要なポートだけを開けるポート開放で足りないかを確かめます。ルータの後ろに別のルータやファイアウォールをつなぐ構成で、全部の通信をその機器へ渡すために使うことはあります。

業務用のファイアウォールにある「DMZ」の設定やポートは、これとは違います。こちらは別の区画を作る機能で、ここまで説明してきたDMZのことです。

クラウドでも、公開するものと公開しないものの区画を分けます。AWSでは、インターネットゲートウェイへの経路があるパブリックサブネットに公開する機器を置きます。データベースは、その経路が無いプライベートサブネットに置きます。仕組みはAmazon VPCの記事で説明しています。非公開側のサーバを管理する接続は、踏み台サーバを経由するのが代表的な作り方です。

• NIST SP 800-41 Rev.1 Guidelines on Firewalls and Firewall Policy（DMZの由来と説明、NATとの関係、多層のファイアウォール、通信を既定で止める考え方）
• NIST SP 800-44 Ver.2 Guidelines on Securing Public Web Servers（公開Webサーバの置き場所、DMZの構成と長所・短所、管理の接続の絞り方）
• NIST SP 800-45 Ver.2 Guidelines on Electronic Mail Security（メールサーバとメールゲートウェイの置き場所）
• NIST SP 800-81 Rev.3 Secure Domain Name System (DNS) Deployment Guide（外向けと社内向けのDNSサーバの分け方）
• NIST SP 800-53 Rev.5 Security and Privacy Controls（SC-7(5)：既定で拒否し例外だけ許可する）
• OWASP Database Security Cheat Sheet（データベースの接続先の絞り方）
• TP-Link What is a DMZ and how to configure DMZ host（家庭用ルータのDMZホスト）
• NEC Aterm WX5400HP ユーザーズマニュアル DMZホスト機能（国内の家庭用ルータでの説明）
• AWS Subnets for your VPC（パブリックサブネットとプライベートサブネット）