DMZ (Demilitarized Zone) Mimarisi ve Temel Mantığı
Kurumsal ağlarda dış dünyaya hizmet veren sunucular (Web sunucusu, Mail sunucusu, VPN sonlandırıcıları) internetten gelen erişim isteklerine açık olmak zorundadır. Ancak bu sunucuların şirketin yerel kullanıcı bilgisayarları, veritabanları ve muhasebe sistemleriyle aynı yerel ağda (LAN) bulunması devasa bir güvenlik zafiyetidir. İnternete açık bir web sunucusu hacklendiğinde, saldırgan doğrudan şirket içine sızmış olur. DMZ (Askerden Arındırılmış Bölge), iç ağ ile güvensiz dış internet arasında konumlandırılan, izole edilmiş üçüncü bir fiziksel veya mantıksal tampon ağ katmanıdır.
Ev Tipi Modemlerdeki ‘DMZ Host’ Yanılgısı ve Tehlikesi
Standart ev modemlerinde yer alan ‘DMZ’ kutucuğuna bir yerel IP (Örn: 192.168.1.50) yazmak gerçek bir DMZ mimarisi oluşturmaz:
- Ev tipi modemdeki DMZ, internetten gelen tüm taranmamış trafiği ve portları (1’den 65535’e kadar) doğrudan o hedef cihaza yönlendirir (Default Forwarding).
- Bu işlem o cihazı korumasız bir şekilde internetin önüne atar ve aynı ağdaki diğer bilgisayarları da tehlikeye açık hale getirir.
Gerçek Kurumsal DMZ Mimarisi Nasıl Kurgulanır?
Profesyonel bir güvenlik duvarında (Fortinet FortiGate, pfSense, Sophos) en az 3 bağımsız ağ arayüzü bulunur:
- WAN (İnternet): Güvensiz dış dünya.
- LAN (Kurumsal İç Ağ): Şirket bilgisayarları, dosya sunucuları ve muhasebe altyapısı (En yüksek güvenlik).
- DMZ (Tampon Sunucu Ağı): Dışarıdan erişilen web, DNS ve e-posta sunucuları (Orta güvenlik seviyesi).
1. Katı Güvenlik Duvarı Trafik Kuralları (Traffic Flow Rules)
DMZ mimarisinin altın kuralı yönlü erişim kısıtlamasıdır:
Kural 1 (WAN -> DMZ): İZİN VERİLEBİLİR.
Dış dünyadan sadece belirli portlara izin verilir (Örn: Web sunucusu için TCP 80 ve 443).
Kural 2 (DMZ -> LAN): KESİNLİKLE YASAK (DROP / DENY).
DMZ'deki bir sunucu, kurumsal iç ağdaki (LAN) hiçbir bilgisayara veya sunucuya doğrudan bağlantı başlatamaz!
Kural 3 (LAN -> DMZ): İZİN VERİLİR.
İç ağdaki sistem yöneticisi yönetim amaçlı DMZ'deki sunuculara (SSH/RDP) erişebilir.2. Saldırı Senaryosunda DMZ’nin İşletmeyi Kurtarma Gücü
Bir saldırgan DMZ bölgesinde barınan web sunucusunun sıfırıncı gün açığından (Zero-Day Exploit) faydalanarak sunucunun ‘root’ yetkilerini ele geçirse dahi; güvenlik duvarındaki ‘DMZ -> LAN: DENY’ kuralına çarpar. Saldırgan muhasebe sunucularına, şirket bilgisayarlarına veya Active Directory alanına atlayamaz (Lateral Movement engellenir); saldırı DMZ sınırları içinde hapsedilmiş olur.
3. Çift Güvenlik Duvarlı (Dual-Firewall) DMZ Standardı
Bankalar ve kritik veri merkezlerinde DMZ iki farklı üreticinin güvenlik duvarı arasına kurulur: Dış kapıda bir marka (Örn: Fortinet), iç kapıda farklı bir marka (Örn: Palo Alto) kullanılır. Böylece ilk güvenlik duvarındaki olası bir yazılımsal açık ikinci duvarda durdurulur.