DMZ — Zona Desmilitarizada

A DMZ (Demilitarized Zone) é um componente fundamental da segurança de perímetro, funcionando como um segmento de rede isolado projetado para abrigar recursos que precisam ser acessíveis externamente. Inspirada no conceito militar de zona neutra entre dois países, a DMZ cria uma buffer zone entre a Internet (hostil) e a LAN corporativa (sensível).

1. Modelo de Três Zonas

O controle de perímetro refere-se a uma linha imaginária que separa os ativos internos de uma empresa de redes externas, geralmente a Internet. Para organizar essa defesa, as delimitações feitas pelos firewalls criam, no mínimo, três zonas distintas:

• Extranet (Untrusted): Representada pela Internet ou backbones de outras administrações. Nível de confiança: zero.
• DMZ (Semi-Trusted): Zona intermediária onde são colocados os servidores que prestam serviços públicos — Web, FTP, DNS recursivo, email SMTP.
• Intranet (Trusted): A rede local (LAN) interna que contém dados sensíveis e deve ser protegida. Nível de confiança: alto.

[Internet]  --FW Externo-->  [DMZ]  --FW Interno-->  [LAN Corporativa]
                                   |
                                   +--> Web, Mail, DNS, FTP

2. Propósito e Isolamento

O objetivo principal da DMZ é permitir que usuários externos acessem serviços específicos sem contato direto com a rede interna. Isso cria uma zona de bloqueio ou transição: se um servidor na DMZ for comprometido, o invasor ainda encontrará o firewall interno como barreira antes de atingir a Intranet. Esse modelo é conhecido como defesa em profundidade — camadas concêntricas de proteção, cada uma exigindo esforço crescente do atacante.

Princípios de Isolamento

• Servidores na DMZ não devem ter credenciais válidas na LAN.
• Servidores na DMZ não devem ser capazes de iniciar conexões para a LAN (regra deny by default no firewall interno).
• Apenas portas estritamente necessárias (80, 443, 25, 53) devem estar expostas à Internet.
• Logs da DMZ devem ser enviados por syslog/SIEM em tempo real.

3. Servidores Típicos em uma DMZ

4. Arquiteturas Comuns

4.1 DMZ com Firewall Único (Three-Legged)

Um único firewall com três interfaces: externa, DMZ e interna. Simples e econômico, porém ponto único de falha.

                  +-----------------+
[Internet] ------ |  Firewall Único | --- [DMZ]
                  +-----------------+
                          |
                          +--- [LAN]

4.2 DMZ com Dois Firewalls (Back-to-Back)

Firewall externo (Internet ↔ DMZ) e firewall interno (DMZ ↔ LAN), de preferência de fabricantes diferentes para evitar vulnerabilidade comum. Modelo mais robusto, usado em bancos e órgãos governamentais.

[Internet] --[FW Externo (Palo Alto)]--> [DMZ] --[FW Interno (Cisco ASA)]--> [LAN]

4.3 DMZ em Nuvem (Cloud DMZ)

Em ambiente AWS/Azure/GCP, a DMZ é implementada com VPCs e sub-redes públicas:

• Subnet Pública: com NAT Gateway e Load Balancer público.
• Subnet Privada: instâncias backend sem IP público.
• Security Groups fazem o papel de microfirewall.
• AWS WAF + Shield para proteção L7.

5. Mecanismos de Proteção na DMZ

Para garantir a robustez desta área, diversas tecnologias de segurança são aplicadas:

• Firewalls: Elementos ativos que delineiam a fronteira e aplicam regras de filtragem para decidir o que entra e sai de cada zona. NGFW (Palo Alto, Fortinet, Cisco Firepower) oferecem App-ID, User-ID e IPS integrado.
• NIDS/NIPS: Frequentemente instalados em sub-redes importantes dentro da DMZ para monitorar o tráfego e evitar que usuários dessa área tentem acessar a rede corporativa indevidamente. Soluções: Suricata, Zeek, Cisco Firepower, ExtraHop.
• WAF (Web Application Firewall): Protege servidores web contra OWASP Top 10 (SQLi, XSS, CSRF, RCE). Soluções: ModSecurity, Cloudflare WAF, F5 ASM, Imperva, AWS WAF.
• Load Balancers: Distribuem carga entre múltiplos servidores web, escondendo o IP real do backend. Solução: F5 BIG-IP, Citrix ADC, Nginx Plus, HAProxy.
• Reverse Proxy: Termina sessão TLS, aplica filtros e repassa para backend. Nginx, Traefik, Apache mod_proxy.
• Honeypots: Sistemas decoy que simulam servidores vulneráveis para atrair atacantes e gerar inteligência.

6. Configuração Prática: Cisco ASA

! Interfaces
interface GigabitEthernet0/0
 nameif outside
 security-level 0
 ip address 200.10.10.1 255.255.255.0

interface GigabitEthernet0/1
 nameif dmz
 security-level 50
 ip address 172.16.0.1 255.255.255.0

interface GigabitEthernet0/2
 nameif inside
 security-level 100
 ip address 10.0.0.1 255.255.255.0

! NAT: web server interno visível externamente
object network WEB_DMZ
 host 172.16.0.10
 nat (dmz,outside) static 200.10.10.20

! ACL: permite Internet -> DMZ apenas HTTP/HTTPS
access-list OUTSIDE_IN extended permit tcp any host 172.16.0.10 eq 80
access-list OUTSIDE_IN extended permit tcp any host 172.16.0.10 eq 443
access-list OUTSIDE_IN extended deny ip any any

! ACL: proíbe DMZ iniciar conexão para LAN (default deny ASA já garante, mas ser explícito)
access-list DMZ_IN extended deny ip any 10.0.0.0 255.255.255.0
access-list DMZ_IN extended permit ip any any

access-group OUTSIDE_IN in interface outside
access-group DMZ_IN in interface dmz

7. DMZ vs. Zero Trust

O modelo tradicional de DMZ pressupõe que exista um perímetro claro — "confio na LAN, desconfio da Internet". Hoje, com trabalho remoto, SaaS, BYOD e ataques de movimentação lateral, esse modelo é insuficiente.

Em arquiteturas modernas, a DMZ ainda é relevante para serviços publicamente expostos, mas a LAN interna deve adotar Zero Trust (microsegmentação com Cisco Tetration, VMware NSX, Illumio), tratando cada host como potencialmente comprometido.

8. Boas Práticas

• Hardening dos servidores: CIS Benchmarks, remoção de serviços desnecessários, atualização de patches.
• Monitoramento contínuo: logs centralizados em SIEM, EDR em todos os hosts.
• Backups isolados: backups da DMZ em rede separada, sem conectividade reversa (proteção contra ransomware).
• Testes de penetração: simulacros anuais com equipes Red Team.
• Segmentação interna da própria DMZ: separar servidores web, mail e DNS em VLANs distintas dentro da DMZ.
• Decomissionamento: remover servidores obsoletos; cada serviço exposto é uma superfície de ataque.

9. Resumo Técnico

10. Conclusão

A DMZ trata-se de uma estratégia vital para equilibrar a necessidade de exposição de serviços com a manutenção da integridade da rede interna, formando uma "posição inatacável" no perímetro organizacional. Apesar do surgimento do Zero Trust e da computação em nuvem, o conceito de zona desmilitarizada permanece relevante — adaptado como sub-rede pública em VPCs de nuvem, como segmento protegido por NGFW em datacenters on-premise e como camada adicional de defesa em profundidade. Engenheiros de rede devem dominar tanto o modelo clássico quanto as variações modernas para projetar arquiteturas seguras e resilientes.