La DMZ y lo que entra desde fuera

Una DMZ es la zona donde se pone lo que responde a Internet, con el supuesto de diseño de que algún día será comprometido. Se rodea de reglas estrictas en los dos sentidos: lo que llega desde fuera solo alcanza lo publicado y lo que sale de ella hacia el interior se limita a lo mínimo indispensable. La idea es que un servicio público comprometido no sea, por sí mismo, la entrada a todo lo demás.

Una DMZ no es una zona mágica por tener ese nombre. Si sus equipos pueden iniciar cualquier conexión hacia el interior, es solo una zona con otro nombre y el atacante que gane un servidor público ya está dentro.

Cada servicio publicado tiene un recorrido: el tráfico entra por el borde, pasa por una pasarela o un proxy y termina en un equipo. El buen diseño hace que ese equipo esté en la DMZ y que lo interno solo sea alcanzado desde allí. Una traducción directa de puerto desde Internet hasta un servidor interno elimina la zona intermedia: lo publicado y lo crítico son el mismo equipo.

Mira en publicaciones el recorrido y la zona de destino de cada servicio.

Lo que la DMZ puede iniciar hacia el interior es la parte de la regla que más pesa en un incidente: es el camino que seguirá quien comprometa un servicio público. Cada puerto de esa lista debería tener su motivo escrito y, si nadie lo recuerda, es candidato a cerrarse.

Revisa la lista de flujos_dmz y su última columna.

El portal necesita datos de contratos que viven en la base del ERP. Hay tres maneras de dárselos: abrirle la base directamente, interponer una aplicación interna que consulte por él o llevar los datos a la DMZ. La primera da al servicio público el mismo acceso que tendría un administrador de datos; la tercera pone el dato sensible en la zona menos confiable.

El diseño que escala es el intermedio: la DMZ habla con un solo servidor de aplicación por un solo puerto, y solo ese servidor conoce la base. El servicio comprometido solo puede pedir lo que la aplicación esté dispuesta a entregar.

La superficie interna que alcanza una zona se mide en destinos distintos, no en reglas: dos reglas hacia el mismo servidor son un solo destino, y una regla hacia un servidor más amplía la lista. Es la cifra que le dice a quien paga cuántos equipos internos quedan expuestos si un solo servicio público se compromete.

Cuenta los servidores internos distintos que aparecen como destino en flujos_dmz.