情報セキュリティにおけるDMZ（非武装地帯）とは？仕組みと役割を徹底解説

DMZとは何か

DMZは「DeMilitarized Zone（非武装地帯）」の略称で、組織の内部ネットワークとインターネットなどの外部ネットワークとの間に設けられる中間的なネットワークまたは経路を指します。この領域は「境界ネットワーク（ペリメータネットワーク）」とも呼ばれます。

DMZは、内部ネットワークを外部ノードやネットワークからのアクセス・攻撃・悪用から守るために導入されるのが一般的です。論理的なサブネットワークとして実装される場合もあれば、内部と外部のネットワークをつなぐ安全な橋渡し役として物理ネットワークとして構築される場合もあります。

DMZの目的と安全性

DMZから内部ネットワークへのアクセスは制限されており、一部の通信はファイアウォールによって検査された後で初めて内部へ転送されます。仮に攻撃者が組織のネットワークへの侵入に成功したとしても、その被害はDMZの範囲にとどまり、その奥にあるコアネットワークには到達できません。

このため、DMZはファイアウォール単体よりも安全な対策とみなされることが多く、プロキシサーバーとして機能させることも可能です。

DMZの基本的な仕組み

典型的なDMZ構成では、LAN上のほとんどのコンピュータは、インターネットなどの公衆ネットワークに接続するファイアウォールの内側で稼働します。一方、Webサーバーやメールサーバーなど外部公開が必要な一部のコンピュータは、ファイアウォールの外側、つまりDMZ内に配置されます。

DMZ内のコンピュータがトラフィックを受け取り、リクエストを仲介することで、ファイアウォールの内側にあるコンピュータに対して追加の防御層を提供します。

従来型のDMZとプロキシの動作

従来型のDMZでは、ファイアウォール内側のコンピュータがDMZ宛てに外向きのリクエストを開始できます。DMZ内のコンピュータはそのリクエストに応答し、プロキシサーバーのようにインターネットや公衆ネットワークへ転送・再発行します。一部のDMZ実装では、プロキシサーバー自体をDMZ内のコンピュータとして利用するケースもあります。

LAN側のファイアウォールは、DMZ内のコンピュータが起点となる内向きリクエストを遮断します。なお、DMZ機能は家庭用ブロードバンドルーターにもよく搭載されていますが、厳密には真のDMZではない場合があります。多くのブロードバンドルーターは追加のファイアウォールルールによってDMZを実装しており、着信リクエストが直接ファイアウォールに届く仕組みになっている点に注意が必要です。

DMZの構築方法

DMZを構築する際、組織はシステムの一部でありながら本体ネットワークに直接接続されていない、別のネットワークセグメント（サブネット）を追加します。多くの場合、ファイアウォールの第3のインターフェースポートを使用してDMZを設置します。

この構成により、ファイアウォールはNAT（Network Address Translation：ネットワークアドレス変換）を利用して、公衆ネットワークと隔離されたデバイスの両方とデータをやり取りできます。ファイアウォールは通常、隔離されたシステム自体を保護せず、そのシステムがより直接的にインターネットへ接続できるようにします。

DMZの限界と注意点

DMZ構成は外部からの攻撃に対する防御に非常に有効ですが、パケットアナライザによる通信の盗聴（スニッフィング）や、メールスプーフィング（送信元のなりすまし）といった内部攻撃に対しては、一般的に効果がありません。

内部脅威への対策としては、IDS/IPS（侵入検知・防止システム）や通信の暗号化、多要素認証などのセキュリティ施策をDMZと組み合わせて導入することが推奨されます。