เขตปลอดทหารทางคอมพิวเตอร์ (DMZ)

ในด้านความปลอดภัยของคอมพิวเตอร์ DMZ หรือ Demilitarized Zone (บางครั้งเรียกว่า perimeter network หรือ screened subnet) คือเครือข่ายย่อย (Subnetwork) ทั้งในรูปแบบทางกายภาพหรือทางตรรกะ ที่ถูกออกแบบมาเพื่อแยกบริการที่ต้องเปิดให้เครือข่ายภายนอกที่ไม่น่าเชื่อถือ (โดยปกติคืออินเทอร์เน็ต) เข้าถึงได้ ออกจากเครือข่ายภายใน (LAN) ขององค์กร

วัตถุประสงค์หลักของ DMZ คือการเพิ่มชั้นความปลอดภัยให้กับเครือข่ายภายใน โดยกำหนดให้โหนดจากเครือข่ายภายนอกสามารถเข้าถึงได้เฉพาะบริการที่ถูกเปิดเผยไว้ใน DMZ เท่านั้น ในขณะที่ส่วนที่เหลือของเครือข่ายองค์กรจะถูกปกป้องไว้เบื้องหลังไฟร์วอลล์ (Firewall) ทำให้ DMZ ทำหน้าที่เป็นเครือข่ายแยกส่วนขนาดเล็กที่วางตำแหน่งอยู่ระหว่างอินเทอร์เน็ตและเครือข่ายส่วนตัว

หลักการและเหตุผลในการใช้งาน

DMZ ถูกมองว่าเป็นพื้นที่ที่ไม่สังกัดเครือข่ายใดเครือข่ายหนึ่งที่ขนาบข้างอยู่ โดยทำหน้าที่เป็นประตูทางผ่าน (Gateway) ไปยังอินเทอร์เน็ตสาธารณะ ซึ่งมีความปลอดภัยไม่เท่ากับเครือข่ายภายใน แต่ก็ไม่เสี่ยงเท่ากับอินเทอร์เน็ตสาธารณะ

โฮสต์ที่เสี่ยงต่อการถูกโจมตีมากที่สุดคือโฮสต์ที่ให้บริการแก่ผู้ใช้นอกเครือข่าย เช่น เซิร์ฟเวอร์อีเมล (Email Server), เว็บเซิร์ฟเวอร์ (Web Server) และเซิร์ฟเวอร์ระบบชื่อโดเมน (DNS Server) ด้วยเหตุนี้ โฮสต์เหล่านี้จึงถูกนำมาไว้ใน DMZ เพื่อที่ว่าหากเซิร์ฟเวอร์ตัวใดตัวหนึ่งถูกเจาะระบบ ผู้โจมตีจะไม่สามารถเข้าถึงเครือข่ายภายในขององค์กรได้โดยง่าย

การควบคุมการเชื่อมต่อ

• การเชื่อมต่อภายใน: โฮสต์ใน DMZ จะได้รับอนุญาตให้เชื่อมต่อกับโฮสต์เฉพาะบางตัวในเครือข่ายภายในเท่านั้น เนื่องจากข้อมูลใน DMZ มีความปลอดภัยน้อยกว่าเครือข่ายภายใน
• การเชื่อมต่อภายนอก: การสื่อสารระหว่างโฮสต์ใน DMZ กับเครือข่ายภายนอกจะถูกจำกัดเพื่อเพิ่มความปลอดภัยและให้เหมาะสมกับการให้บริการเฉพาะทาง

โดยทั่วไป การกำหนดค่า DMZ จะใช้ไฟร์วอลล์ในการควบคุมทราฟฟิก (Traffic) ระหว่างเซิร์ฟเวอร์ใน DMZ และไคลเอนต์ในเครือข่ายภายใน และอาจมีไฟร์วอลล์อีกชั้นหนึ่งเพื่อปกป้อง DMZ จากเครือข่ายภายนอก

บริการที่มักติดตั้งใน DMZ

บริการใดก็ตามที่ต้องให้บริการแก่ผู้ใช้ภายนอกสามารถติดตั้งใน DMZ ได้ โดยบริการที่พบบ่อยที่สุด ได้แก่:

• เว็บเซิร์ฟเวอร์ (Web Servers): สำหรับให้บริการเว็บไซต์ขององค์กร
• เมลเซิร์ฟเวอร์ (Mail Servers): สำหรับรับส่งอีเมลจากภายนอก
• เอฟทีพีเซิร์ฟเวอร์ (FTP Servers): สำหรับการรับส่งไฟล์
• โวไอพีเซิร์ฟเวอร์ (VoIP Servers): สำหรับระบบโทรศัพท์ผ่านอินเทอร์เน็ต

ในกรณีที่เว็บเซิร์ฟเวอร์ต้องดึงข้อมูลจากฐานข้อมูลภายใน (Database Server) ซึ่งเป็นข้อมูลสำคัญและไม่ควรเปิดสู่สาธารณะ เว็บเซิร์ฟเวอร์ใน DMZ จะสื่อสารกับฐานข้อมูลภายในผ่านไฟร์วอลล์หรือแอปพลิเคชันไฟร์วอลล์เพื่อความปลอดภัย

การใช้ Proxy Server ใน DMZ

ในสภาพแวดล้อมทางธุรกิจ องค์กรมักติดตั้ง Proxy Server ไว้ใน DMZ เพื่อประโยชน์ดังนี้:

• บังคับให้ผู้ใช้ภายใน (พนักงาน) ต้องผ่าน Proxy Server ก่อนเข้าถึงอินเทอร์เน็ต
• ลดการใช้แบนด์วิดท์ (Bandwidth) เนื่องจาก Proxy Server สามารถทำแคช (Cache) เนื้อหาเว็บได้
• ช่วยให้การบันทึกและตรวจสอบกิจกรรมของผู้ใช้งานทำได้ง่ายขึ้น
• สามารถกรองเนื้อหาเว็บ (Web Content Filtering) ได้จากจุดเดียว

Reverse Proxy Server

Reverse Proxy Server ทำหน้าที่ตรงกันข้ามกับ Proxy Server ปกติ โดยจะเป็นตัวกลางให้เครือข่ายภายนอกเข้าถึงทรัพยากรภายในได้อย่างไม่โดยตรง ตัวอย่างเช่น ผู้ใช้ภายนอกที่ต้องการเข้าถึงระบบอีเมลของบริษัทจะสื่อสารผ่าน Reverse Proxy ซึ่งจะส่งคำขอต่อไปยังเซิร์ฟเวอร์อีเมลภายในอีกทีหนึ่ง วิธีนี้ช่วยเพิ่มชั้นความปลอดภัย แต่ผู้ดูแลระบบต้องให้ความสำคัญกับความสามารถในการตรวจจับและกรองการโจมตีของ Reverse Proxy เนื่องจากหากตัว Proxy ถูกเจาะหรือส่งต่อทราฟฟิกที่เป็นอันตราย ระบบภายในก็อาจได้รับผลกระทบได้

ข้อควรระวัง

การกำหนดค่า DMZ ช่วยป้องกันการโจมตีจากภายนอกได้ดี แต่ไม่มีผลในการป้องกันการโจมตีจากภายใน (Internal Attacks) เช่น การดักจับข้อมูล (Sniffing) ด้วยเครื่องมือวิเคราะห์แพ็กเก็ต หรือการปลอมแปลงอีเมล (Email Spoofing) ภายในเครือข่ายเดียวกัน