Una DMZ es una red aislada donde se ponen solo los servidores que deben verse desde Internet, como la web o el correo. Si atacan a uno, el resto de la empresa sigue a salvo detrás del cortafuegos. Aquí está cómo se monta y por qué la opción DMZ del router no es lo mismo.
Foto: Brett Sayles, en Pexels
Una DMZ (Demilitarized Zone, zona desmilitarizada) es, según INCIBE, una red aislada del resto de la red interna donde se colocan solo los servidores que deben ser accesibles desde Internet. Hace falta cuando una empresa tiene en sus instalaciones una web, un correo u otro servicio al que se entra desde fuera.
Un servidor abierto a Internet es más fácil de atacar. Y si un atacante consigue entrar en él, INCIBE avisa de que podría llegar a los demás equipos de la red, incluso a los que no se ven desde Internet. Eso puede acabar en ransomware, robo de ficheros o caídas de servicio.
Un cortafuegos por sí solo no evita este salto, porque ese servidor tiene que recibir conexiones de fuera. La DMZ lo separa: si cae un servidor, el atacante sigue teniendo el cortafuegos entre él y la red de los trabajadores.
La regla básica es que la DMZ no pueda abrir conexiones hacia la red interna. Según lo que describe INCIBE:
| Desde | Hacia | ¿Se permite? |
|---|---|---|
| Internet | DMZ | Sí, solo los servicios publicados (por ejemplo, web al servidor web y correo al de correo) |
| Red interna | DMZ | Sí |
| DMZ | Red interna | No |
| Internet | Red interna | No |
| Red interna | Internet | Sí |
Esto es lo general. Si un servidor de la DMZ necesita algo concreto de dentro, como una base de datos, hay que abrir solo esa conexión y en una regla aparte. NIST recuerda que el tráfico entre la DMZ y la red protegida pasa por el cortafuegos, y por eso se le pueden aplicar sus políticas.
Lo que tenga que verse desde Internet, y nada más. INCIBE pone como ejemplos:
NIST aconseja pensar bien qué servicios abiertos al exterior se ponen en la DMZ y cuáles se quedan dentro. Si tu web está en un alojamiento externo, ese servidor no está en tu red y no necesitas una DMZ para ella.
| Con un cortafuegos | Con dos cortafuegos | |
|---|---|---|
| Cómo es | Un solo aparato con Internet, la DMZ y la red interna en interfaces distintas. | La DMZ queda entre dos aparatos: uno da a Internet y el otro protege la red interna. |
| Punto débil | Un fallo de gestión o de seguridad de ese aparato puede comprometer toda la organización. | Hay dos aparatos que comprar, configurar y mantener. |
| Cuándo encaja | Una pyme con pocos servicios publicados. | Cuando un ataque a la red interna tendría consecuencias graves. |
INCIBE recomienda el segundo cortafuegos para aumentar la seguridad, y añade que lo ideal es que sean de marcas y modelos distintos, para que un mismo fallo del fabricante no sirva para saltar los dos.
Muchos cortafuegos físicos traen una función o un puerto llamado DMZ. NIST explica que no hay una definición técnica única, y que suele ser una interfaz parecida a las internas del aparato, pero con el tráfico hacia el resto de la red pasando por el cortafuegos. Lo verás, por ejemplo, en algunos modelos de FortiGate y de Check Point. Que el aparato lo traiga no basta: las reglas de la tabla de arriba hay que configurarlas.
Los menús dependen de cada fabricante, así que sigue el manual de tu modelo.
Aquí viene la confusión más habitual. Muchos routers, sobre todo los de operador y los domésticos, tienen una opción llamada DMZ con la que eliges un equipo de tu red. INCIBE es claro:
Si solo necesitas que funcione un servicio concreto, antes de activar esa opción mira si te basta con abrir el puerto que hace falta. Si tienes dudas sobre el router, mira cuándo hace falta un firewall físico.
La DMZ limita lo que pasa si atacan un servidor, pero no impide que lo ataquen. Por eso INCIBE pide vigilar esa zona más que el resto:
Si lo que publicas es una aplicación web, un WAF añade protección frente a los ataques dirigidos a esa aplicación. NIST contempla que vaya detrás del cortafuegos perimetral o en su DMZ.
Son las siglas en inglés de Demilitarized Zone, zona desmilitarizada. NIST explica que el nombre viene de las zonas que a veces se establecen entre países en guerra. En redes es una zona separada donde se colocan los servidores a los que se entra desde Internet.
INCIBE no lo recomienda. Esa opción no crea una DMZ real: deja el equipo elegido visible desde Internet, y la protección de la red depende solo del router, que no está diseñado para hacer de cortafuegos.
No. Se puede montar con uno solo, pero entonces un fallo en ese aparato puede comprometer toda la organización. Por eso INCIBE recomienda un segundo cortafuegos para aumentar la seguridad, si es posible de otra marca y modelo.
Los que deben ser accesibles desde Internet. INCIBE cita los de web, correo y webmail, VPN y DNS. Lo que solo se usa dentro de la empresa no debe estar ahí.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
