DMZ (Demilitarized Zone)

Architecture classique

L'architecture DMZ utilise deux firewalls : un externe entre Internet et la DMZ, et un interne entre la DMZ et le réseau interne. Si un serveur DMZ est compromis, l'attaquant reste isolé et doit franchir le second firewall pour accéder aux ressources internes.

Évolution avec le Zero Trust

Les architectures traditionnelles cèdent la place à des micro-segmentations logicielles, des proxys inverses cloud et des solutions SASE. La DMZ reste pertinente dans les architectures hybrides et pour les services on-premise exposés à Internet.

Bonnes pratiques

Minimiser le nombre de services en DMZ, durcir les serveurs hébergés, surveiller étroitement le trafic entre DMZ et réseau interne pour détecter tout mouvement latéral suspect. Les logs de la DMZ doivent être centralisés dans le SIEM.