DMZ

Wat is een DMZ (Demilitarized Zone)?

Een DMZ (Demilitarized Zone) is een afgeschermd netwerksegment tussen een vertrouwd intern netwerk en een minder vertrouwd netwerk, waarin systemen staan die met beide kanten communiceren zonder dat er rechtstreeks verkeer tussen die twee kanten mogelijk is. Klassiek ligt een DMZ tussen internet en het kantoornetwerk (IT); in de industrie ligt een DMZ vooral tussen het IT-netwerk en het productienetwerk (OT). Die industriële variant heet ook wel IDMZ en wordt in het Purdue Model aangeduid als niveau 3.5. Een ander woord voor DMZ is screened subnet.

Het doel van een DMZ is om gevoelige systemen af te schermen en tegelijkertijd bepaalde diensten gecontroleerd toegankelijk te maken voor de andere kant, bijvoorbeeld voor Remote Access, data-uitwisseling of Monitoring.

🧠 Wat doet een DMZ?

Een DMZ is een bufferzone. Alles wat beide netwerken moeten delen, staat in die buffer; de netwerken zelf praten niet met elkaar. Een DMZ:

• Isoleert externe toegang - gebruikers en systemen van buiten komen niet verder dan de DMZ
• Beperkt en vertraagt een aanvaller - wie een systeem in de DMZ overneemt, zit nog niet in het interne netwerk en moet opnieuw een grens passeren
• Faciliteert gecontroleerde communicatie tussen IT en OT, of tussen internet en interne systemen, via een klein aantal bekende diensten
• Maakt toezicht mogelijk - omdat al het verkeer langs één punt loopt, is het daar goed te loggen en te inspecteren

De naam is ontleend aan de militaire term gedemilitariseerde zone: een bufferstrook tussen twee partijen waar geen militaire activiteiten zijn toegestaan, zoals de zone die sinds de wapenstilstand van 1953 Noord- en Zuid-Korea scheidt.

🔄 Wat is het verschil tussen een DMZ en een IDMZ?

Het principe is hetzelfde, maar wat er beschermd wordt en welke diensten erin staan verschilt:

Veel organisaties hebben beide: een internet-DMZ aan de rand van het bedrijf en een aparte IDMZ per fabriek of locatie. Combineer die twee niet tot één zone; een gecompromitteerde webserver mag nooit naast de historian van de productie staan.

🔧 Hoe is een DMZ opgebouwd: één of twee firewalls?

Een DMZ ontstaat met een firewall die minstens drie netwerkpoorten heeft, of met twee firewalls achter elkaar. NIST SP 800-82 beschreef in revisie 2 (2015) vijf manieren om een kantoor- en een besturingsnetwerk te scheiden, van zwak naar sterk:

NIST concludeert dat de veiligste en best beheerbare oplossing uit minstens drie zones met één of meer DMZ’s bestaat. De opzet met twee firewalls heeft twee extra voordelen. Gebruikt u firewalls van twee verschillende fabrikanten, dan helpt één kwetsbaarheid de aanvaller niet door beide heen. En IT en OT kunnen elk hun eigen firewall beheren, wat de verantwoordelijkheden helder maakt. Het nadeel is meer kosten en meer beheer.

In de praktijk worden voor de IDMZ vaak next-generation firewalls of een industriële firewall aan de OT-kant ingezet, redundant uitgevoerd zodat een defecte firewall de productie niet stillegt.

📦 Welke systemen horen in een DMZ?

In de DMZ staan alleen tussenschakels: systemen die data of sessies van de ene kant aannemen en zelf doorgeven aan de andere kant. Een voorbeeld van een IDMZ met typische diensten en datastromen:

Een publieke webserver of API-gateway hoort in een internet-DMZ, niet in de IDMZ. Domeincontrollers, PLC’s en engineeringwerkstations horen er ook niet in: wat nodig is om de fabriek te laten draaien, blijft in de OT-zone.

🔐 Welke regels gelden voor verkeer door een DMZ?

De kracht van een DMZ zit niet in de firewalls zelf, maar in de regels. De belangrijkste, ontleend aan NIST en de IDMZ-ontwerprichtlijnen van Cisco en Rockwell Automation:

• Geen rechtstreeks verkeer - geen enkele verbinding loopt van IT direct naar OT of andersom; ook niet “even tijdelijk”
• Sessies eindigen in de DMZ - een verbinding van buiten eindigt op een server in de DMZ; die server zet een nieuwe, aparte verbinding op naar binnen
• Verschillende protocollen per kant - gebruik een protocol tussen OT en DMZ niet ook tussen DMZ en IT, zodat een worm twee verschillende kwetsbaarheden nodig heeft
• Geen industriële protocollen in de DMZ - IP, Modbus TCP en vergelijkbaar besturingsverkeer blijven in de OT-zone
• Verbindingen bij voorkeur vanuit OT opzetten - laat systemen in het besturingsnetwerk zelf data naar de DMZ sturen, in plaats van inkomende verbindingen toe te staan
• Alleen toegestaan verkeer - whitelisting per bron, doel en poort; alles wat niet expliciet mag, is verboden
• Geen permanente opslag - data in de DMZ is een kopie of tijdelijk; de bron blijft in de eigen zone
• Afkoppelbaar - de DMZ moet aan beide kanten los te koppelen zijn, zodat de fabriek bij een incident zelfstandig doordraait
• Monitoring en Logging - al het verkeer van en naar de DMZ wordt gelogd en bewaakt met netwerkmonitoring of een IDS

Voor stromen die maar één kant op hoeven, zoals procesdata naar IT, is een datadiode een sterker alternatief: die maakt verkeer terug fysiek onmogelijk.

🏭 Waar zit de DMZ in het Purdue-model?

In het Purdue Model ligt de IDMZ tussen:

• Niveau 4 – IT (ERP, e-mail, cloud, analytics)
• Niveau 3 – OT-operaties (MES, historian, productieplanning op de site)

Omdat de DMZ geen eigen functionele laag is, spreekt men van niveau 3.5. In IEC 62443 is de DMZ een eigen zone met conduits naar IT en OT, volgens het zones-en-conduits-model. IEC 62443-3-3 stelt eisen aan netwerksegmentatie (SR 5.1) en aan bescherming van zonegrenzen (SR 5.2); IEC 62443-3-2 beschrijft hoe u zones en conduits op basis van risico indeelt.

NIST SP 800-82 revisie 3 (september 2023) stelt dat alle communicatie tussen het bedrijfsnetwerk en het OT-netwerk via diensten in de DMZ moet lopen, en dat die diensten zelf goed bewaakt moeten worden. Een DMZ verbindt immers met de buitenwereld; een aanvaller die daar onopgemerkt binnenkomt, kan van daaruit verder naar OT.

🛠️ Hoe richt u een DMZ stap voor stap in?

1. Breng alle stromen tussen IT en OT in kaart - welke data, welk protocol, welke richting, welk doel; dit wordt de basis van uw regelset
2. Bepaal per stroom een tussenschakel - historian-spiegel, broker, patchserver of jump server; stromen zonder tussenschakel vervallen of worden herontworpen
3. Kies de architectuur - bij voorkeur twee firewalls, eventueel van verschillende fabrikanten, redundant uitgevoerd
4. Scheid identiteit - gebruik in OT een eigen Active Directory of lokale accounts, geen domein dat doorloopt van IT naar OT
5. Verhard de DMZ-servers - minimale software, snelle patching en antivirus; NIST raadt aan DMZ-systemen voorrang te geven bij patchen
6. Beheer de regels - documenteer elke regel met eigenaar en reden en herzie ze periodiek via firewallregelbeheer
7. Test het afkoppelen - controleer dat productie doorloopt als de DMZ uitvalt of bewust wordt losgekoppeld

In Nederland en de EU sluit dit aan op NIS2 en de Cyberbeveiligingswet, die van essentiële en belangrijke entiteiten passende maatregelen voor netwerkbeveiliging vragen. Een goed gedocumenteerde DMZ is daarbij een concreet en controleerbaar bewijs van netwerksegmentatie en compliance met normen als ISO 27001 en IEC 62443.

⚠️ Welke fouten worden vaak gemaakt?

• Een DMZ op papier - de DMZ bestaat, maar een “tijdelijke” regel laat RDP van IT direct naar OT door
• Dual-homed servers - een historian of engineeringstation met één netwerkkaart in IT en één in OT omzeilt de hele DMZ
• Leveranciers-VPN rechtstreeks in OT - een router van de leverancier in de kast slaat de DMZ over; laat onderhoud op afstand altijd via de jump server lopen
• Brede regels - “any-any” of hele subnetten toestaan in plaats van specifieke systemen en poorten
• IT-DMZ en IDMZ samengevoegd - publieke diensten en productiediensten in dezelfde zone
• Geen monitoring - de DMZ wordt ingericht en daarna niet meer bekeken, terwijl ze juist het meest blootgestelde deel van OT is

✅ Wat levert een DMZ op?

• Verhoogt netwerksegmentatie en past in een defense-in-depth-strategie
• Maakt veilige externe toegang en data-uitwisseling mogelijk zonder dat OT direct bereikbaar is
• Ondersteunt compliance met onder meer ISO 27001 en IEC 62443
• Beperkt en vertraagt de verspreiding van een inbraak, zoals ransomware vanuit het kantoornetwerk
• Geeft één controlepunt voor logging, inspectie en het snel afkoppelen bij een incident

❓ Veelgestelde vragen

Is een DMZ hetzelfde als een firewall?

Nee, een DMZ is een netwerksegment en een firewall is het apparaat dat dat segment afschermt. Een DMZ ontstaat met een firewall met drie of meer poorten of met twee firewalls achter elkaar. Pas de combinatie van DMZ, firewalls en strikte regels levert de scheiding op.

Heeft elke fabriek een IDMZ nodig?

Elke fabriek die data uitwisselt tussen kantoor en productie, of leveranciers op afstand toegang geeft, heeft baat bij een IDMZ. NIST SP 800-82 raadt oplossingen met twee zones zonder DMZ af omdat ze maar zwakke bescherming bieden. Kleine locaties kunnen beginnen met één firewall met een DMZ-poort.

Wat betekent niveau 3.5 in het Purdue-model?

Niveau 3.5 is de gangbare aanduiding voor de industriële DMZ tussen niveau 4 (IT) en niveau 3 (OT-operaties). Het is geen functionele laag zoals de andere niveaus, maar een bufferzone waarin al het verkeer tussen IT en OT eindigt. Daarom krijgt het een “half” nummer.

Mag een historian in de DMZ staan?

Een kopie van de historian hoort juist in de DMZ: de bron-historian in OT repliceert naar een spiegel in de DMZ, en IT-gebruikers lezen alleen die spiegel. De oorspronkelijke historian en de dataverzameling blijven in de OT-zone. Zo hoeft geen enkele IT-gebruiker rechtstreeks met het OT-netwerk te verbinden.

Is een datadiode beter dan een DMZ?

Een datadiode en een DMZ vullen elkaar aan. Een datadiode laat data fysiek maar één kant op gaan en is daarom sterker voor eenrichtingsstromen zoals procesdata naar IT. Voor tweerichtingsverkeer, zoals patches, antivirusupdates en onderhoud op afstand, blijft een DMZ met firewalls nodig.

Hoeveel firewalls heeft een DMZ nodig?

Een DMZ kan met één firewall met drie poorten of met twee firewalls worden gebouwd. Twee firewalls, bij voorkeur van verschillende fabrikanten, geven twee onafhankelijke grenzen en maken het beheer tussen IT en OT duidelijker. Eén firewall is goedkoper en eenvoudiger, maar vormt één enkel punt waar alles van afhangt.

📌 Samengevat

Een DMZ is een bufferzone tussen het interne netwerk en de buitenwereld, waarin al het verkeer eindigt en geen enkele verbinding rechtstreeks van de ene naar de andere kant loopt. In de industrie scheidt een IDMZ op niveau 3.5 het kantoornetwerk van OT, zodat diensten als historian, patches en onderhoud op afstand werken zonder kritieke systemen zoals SCADA of MES direct bloot te stellen.