Une DMZ (DeMilitarized Zone) est un sous-réseau isolé placé entre le réseau interne d’une organisation (LAN) et Internet, destiné à héberger les services destinés au public (site web, serveur email, API, etc.) tout en protégeant le réseau interne contre les attaques externes.
Principe fondamental :
« Ce qui doit être accessible depuis Internet ne doit jamais être directement connecté au réseau interne. »
Fonctionnement
- Les serveurs exposés (ex. :
www,mail) sont placés dans la DMZ. - Un pare-feu (ou deux) contrôle strictement :
- Le trafic entrant (Internet → DMZ),
- Le trafic sortant (DMZ → LAN interne).
- En général, le LAN interne ne peut pas initier de connexion vers la DMZ, mais la DMZ a un accès très limité et filtré au LAN (ex. : pour accéder à une base de données).
Exemple concret
- Votre entreprise a un site web et un serveur de messagerie.
- Ces deux serveurs sont dans la DMZ.
- Si un attaquant compromet le site web, il n’a pas accès direct aux postes de travail, fichiers internes ou bases de données sensibles — sauf s’il parvient à franchir une deuxième barrière.
Avantages
- Réduction de la surface d’attaque : seuls les services nécessaires sont exposés.
- Cloisonnement : une faille dans un service public n’entraîne pas automatiquement la compromission totale du réseau.
- Conformité : exigée par de nombreuses normes (ISO 27001, PCI DSS, etc.).
Bonnes pratiques
- Ne jamais placer de postes utilisateurs ou de données sensibles dans la DMZ.
- Appliquer le principe du moindre privilège : la DMZ ne communique avec le LAN interne que sur les ports strictement nécessaires.
- Surveiller et journaliser tout le trafic entrant/sortant de la DMZ.
Synonymes / termes associés
- Zone exposée
- Sous-réseau public
- Réseau périphérique
- Screened subnet (terme anglophone technique)