Zona Desmilitarizada (DMZ): Exemplos e Arquitetura
Uma rede de Zona Desmilitarizada (DMZ) é uma sub-rede que contém os serviços publicamente acessíveis de uma organização. Serve como um ponto exposto a uma rede não confiável, frequentemente a Internet.
As DMZs são usadas em vários ambientes, desde routers domésticos a redes empresariais, para isolar serviços voltados para o público e proteger sistemas internos. As DMZs (zonas desmilitarizadas) alojam serviços voltados para o público enquanto os isolam da LAN interna de uma organização. As organizações combinam perímetros de DMZ com microssegmentação Zero Trust e controlos de acesso rigorosos.1
Explore exemplos de DMZ do mundo real e diferentes arquiteturas de DMZ (firewall única vs. firewall dupla):
Porque é que a DMZ é importante na segurança de rede?
As DMZs adicionam uma camada de segmentação de rede para defender a rede privada interna. Cria uma zona tampão entre a internet pública e as redes privadas da organização.
Estas sub-redes limitam o acesso externo a servidores e ativos internos, tornando mais difícil para os atacantes penetrarem na rede interna.
Em configurações típicas (ver figura acima), a sub-rede DMZ é colocada entre duas firewalls ou num segmento dedicado de uma única firewall com múltiplas interfaces. Isto garante que:
- O acesso não autorizado à rede interna é bloqueado, mesmo que um serviço alojado na DMZ seja comprometido.
- Todo o tráfego de entrada da internet é primeiro filtrado e inspecionado antes de chegar aos servidores DMZ.
- O tráfego da rede interna de e para a DMZ é rigidamente controlado e monitorizado.
Exemplos de DMZ
Exemplo de DMZ 1: Implementação de DMZ com uma firewall
Como se vê na Figura 1, a rede DMZ não está nem dentro nem fora da firewall. É acessível através de redes internas e externas.
Uma das principais vantagens deste diagrama de rede é o isolamento. Por exemplo, se o servidor de email for pirateado, o atacante não conseguirá aceder à rede interna. Neste cenário, o atacante pode aceder a vários servidores na DMZ, uma vez que partilham a mesma rede física.
Figura 1. Diagrama simples de DMZ
Fonte: International Journal of Wireless and Microwave Technologies2
Nesta configuração, a DMZ impõe os seguintes controlos de acesso:
- Rede externa: A rede externa não pode estabelecer ligações com a rede interna, no entanto, a rede externa pode iniciar ligações para a DMZ.
- Rede interna: A rede interna pode iniciar ligações para redes externas. As redes externas não podem iniciar ligações para a rede interna.
Exemplo de DMZ 2: Uma DMZ ligada a um dispositivo de terceiros
Outra abordagem típica de DMZ é a ligação a um dispositivo de terceiros, como um fornecedor. A Figura 2 ilustra uma rede com um fornecedor ligado via uma ligação T1 a um router na DMZ.
Este exemplo de DMZ pode ser usado quando as empresas subcontratam os seus sistemas a uma parte externa, permitindo o acesso direto ao servidor do fornecedor através desta configuração.
Figura 2. DMZ ligando-se a um fornecedor
Fonte: Network Warrior3
Exemplo de DMZ 3: Múltiplas DMZs ligadas a um dispositivo de terceiros
Por vezes, uma única DMZ é insuficiente para organizações que operam redes complexas. A Figura 3 ilustra uma rede com múltiplas DMZs. O design combina os dois primeiros exemplos: a Internet está do lado de fora e os utilizadores estão dentro da rede.
Figura 3. Múltiplas DMZs
Fonte: Network Warrior3
- A DMZ-1 é um ponto de acesso a um fornecedor.
- A DMZ-2 é onde os servidores de Internet estão localizados.
Os requisitos de segurança são consistentes com o exemplo anterior (Exemplo 2), mas é necessária uma consideração adicional: se é permitido à DMZ-1 iniciar ligações para a DMZ-2, e vice-versa.
Avaliar este acesso bidirecional ajuda a impor controlos de segurança granulares em ambientes de rede complexos.
Arquiteturas de DMZ
Uma DMZ pode ser configurada de várias maneiras, variando de uma única firewall a firewalls duplas ou múltiplas. A maioria das arquiteturas de DMZ atuais usa duas firewalls, que podem escalar para suportar redes complexas.
1. Firewall única
É necessária uma única firewall com pelo menos três interfaces de rede para construir uma arquitetura de rede que inclua uma DMZ.
Figura 4. Ilustração de uma arquitetura de firewall única
Fonte: SAP4
Porquê usar uma firewall única: Uma firewall única simplifica a arquitetura de rede ao consolidar o controlo de tráfego, a aplicação de políticas e o registo num único dispositivo. Isto reduz a complexidade administrativa e diminui os custos de capital e operacionais. É melhor para ambientes mais pequenos onde não há necessidade de defesas de perímetro em várias camadas.
2. Firewall dupla
Esta implementação cria uma DMZ usando duas firewalls.
Figura 5. Ilustração da arquitetura de firewall dupla
Fonte: SAP4
Porquê usar firewalls duplas: As firewalls duplas oferecem um sistema mais seguro. Em algumas empresas, as duas firewalls são fornecidas por fabricantes diferentes. Se um ataque externo conseguir violar a primeira firewall, pode demorar mais tempo a violar a segunda firewall se for construída por um fabricante diferente, tornando menos provável que seja vítima das mesmas vulnerabilidades de segurança.
Os lançamentos recentes de hardware introduziram novas opções para implementações de firewall DMZ, incluindo a Firebox M695 da WatchGuard (lançada em dezembro de 2025), que possui um processador Intel Core i7-14701E e oferece alto rendimento (45 Gbps raw) para grandes ambientes.5
Para implementações em pequenas e médias empresas, a WatchGuard Firebox T185 (lançada em janeiro de 2026) fornece desempenho multi-gigabit com aproximadamente 5.7 Gbps de rendimento bruto de firewall e funcionalidades de segurança de classe empresarial para redes de sucursais.6
Benefícios da Zona Desmilitarizada (DMZ)
O principal valor de uma DMZ reside na sua capacidade de fornecer aos utilizadores da internet pública acesso a serviços específicos voltados para o exterior, servindo como uma barreira protetora que protege a rede interna da organização.
A camada adicional traz vários benefícios:
1. Fornece controlos de acesso
Uma rede DMZ controla o acesso a serviços acessíveis pela internet que não estão dentro da rede de perímetro de uma empresa. Também adiciona uma camada de segmentação de rede, aumentando o número de barreiras que um utilizador deve superar antes de obter admissão à rede privada de uma empresa.
2. Previne o reconhecimento de rede
Uma DMZ limita a capacidade de um atacante de avaliar alvos potenciais na rede. Mesmo que uma máquina na DMZ seja pirateada, a firewall interna defende a rede privada, isolando-a da DMZ. Esta configuração torna as explorações de rede externa mais difíceis.
3. Limita a falsificação de Protocolo de Internet (IP spoofing)
A falsificação de IP envolve forjar o endereço IP de origem dos pacotes para obter acesso não autorizado. Uma DMZ ajuda a detetar e bloquear tráfego falsificado, especialmente quando combinada com medidas de segurança adicionais que validam a autenticidade do IP, protegendo ainda mais a rede interna de ataques de personificação.
As 5 principais vulnerabilidades das DMZs na segurança de rede
Uma DMZ é útil, mas tem fraquezas. Estas fraquezas podem facilitar aos atacantes encontrar problemas.
1. As partes públicas são fáceis de ver a partir da internet
Os servidores numa DMZ devem estar abertos para que as pessoas os possam usar. Os hackers podem encontrar e analisar estes sistemas voltados para o público para procurar fraquezas.
2. Configurações incorretas criam riscos
A configuração e gestão da DMZ podem ser complexas. Se as regras de firewall ou os controlos de acesso estiverem errados, os atacantes podem entrar.
3. A complexidade aumenta os erros
Uma DMZ adiciona mais dispositivos, regras e configurações para gerir. Mais complexidade significa mais hipóteses de erro humano.
4. Uma falsa sensação de segurança
Algumas pessoas pensam que uma DMZ torna uma rede totalmente segura. Não torna. Uma DMZ reduz o risco, mas não pode parar todos os ataques sozinha.
5. As DMZs podem ter dificuldades com tecnologias mais recentes
Uma DMZ assume um limite: o exterior não é confiável, o interior é confiável. Três mudanças enfraqueceram essa suposição.
- As aplicações migraram para plataformas de cloud, pelo que menos servidores web residem numa DMZ gerida pela empresa.
- Os funcionários trabalham fora do escritório, pelo que o limite já não corresponde a onde as pessoas estão.
- Os dispositivos conectados multiplicaram-se, alargando o que um perímetro tem de cobrir.
O Zero Trust responde a isto, abandonando a suposição. Verifica cada pedido em relação à identidade e ao estado do dispositivo, independentemente da origem do pedido. Uma DMZ filtra principalmente com base em endereços IP e portas; o Acesso à Rede Zero Trust (ZTNA) verifica o utilizador e o dispositivo e, em seguida, concede acesso a um recurso e a mais nada.
Os dois funcionam em conjunto na prática. Uma DMZ isola serviços voltados para o público e o Zero Trust verifica cada pedido no interior.
Leia mais sobre Zero-Trust: Soluções ZTNA, Componentes de Código Aberto ZTNA.
Em fevereiro de 2026, a Agência de Cibersegurança e Segurança das Infraestruturas dos EUA (CISA) emitiu novas orientações para operadores de infraestruturas críticas na sequência de um ciberataque à rede elétrica da Polónia.7 O aviso enfatiza a segmentação rigorosa da rede e outros controlos para ajudar a conter ameaças em redes de tecnologia operacional (OT).
Adicionar como fonte preferencialAplicações das DMZs
1. Serviços na cloud
As plataformas de cloud usam a ideia de DMZ de duas maneiras.
Entre on-premises e a cloud. Algumas empresas executam serviços parcialmente on-premises e parcialmente numa rede de cloud. Uma DMZ colocada entre os dois controla o que atravessa.
Dentro da cloud. Uma cloud privada virtual divide-se em sub-redes públicas e privadas. As sub-redes públicas contêm balanceadores de carga e gateways acessíveis a partir da internet. As sub-redes privadas contêm servidores de aplicações e bases de dados, sem rota direta de entrada. Os grupos de segurança e as listas de controlo de acesso à rede substituem as regras de firewall entre os dois.
O objetivo permanece o mesmo em ambos: um atacante que alcance um componente público não encontra um caminho direto para os dados atrás dele.
Os fornecedores de cloud também oferecem firewalls geridas para estes limites. A AWS Network Firewall é um serviço de firewall stateful gerido para VPCs. A Next-Generation Firewall da Google Cloud adiciona filtragem de URL para controlo de tráfego baseado em domínio e políticas hierárquicas para segmentação granular.
2. Redes domésticas
Uma DMZ também pode ser útil para redes domésticas que usam configurações de LAN e routers de banda larga. Vários routers domésticos incluem opções de DMZ ou definições de anfitrião DMZ. Estas opções permitem aos utilizadores ligar um dispositivo à internet.
3. A DMZ industrial (IDMZ)
As redes industriais dão à DMZ um endereço fixo. O modelo Purdue divide os sistemas industriais em níveis:8
- Níveis 0–3: tecnologia operacional, como sensores, controladores e SCADA
- Níveis 4–5: TI empresarial
- Nível 3.5: a DMZ industrial, ou IDMZ
O tráfego entre OT e TI passa pelo Nível 3.5. A NIST SP 800-82, a IEC 62443 e a NERC CIP codificaram a camada.9
O que está lá dentro
Uma IDMZ usa o design de firewall dupla: uma firewall está virada para TI, a segunda para OT. A zona entre elas contém serviços partilhados, como servidores de saltos (jump servers), servidores de patches e historiadores de réplica.
O historiador mostra o padrão. Um historiador de planta envia dados para uma réplica na IDMZ. Os sistemas de TI consultam a réplica. Nada entra na rede de controlo.
Como a IEC 62443 a enquadra
A norma usa dois termos:
- Zona: um grupo de ativos que partilham os mesmos requisitos de segurança
- Conduíte: o caminho controlado entre zonas, aplicado pelas firewalls
Cada zona possui um Nível de Segurança alvo de SL 1 a SL 4, que define quão fortes devem ser os seus controlos.
Alguns locais adicionam um díodo de dados. O hardware permite o tráfego num sentido e bloqueia fisicamente o caminho de retorno. A NERC CIP-005 e a IEC 62443-3-3 aceitam díodos como um controlo nos níveis de segurança mais elevados.
Porque é que o limite é importante
Os ataques atravessam-no. Relatórios indicam que cerca de 75% dos incidentes de OT começam no lado de TI.10 A indústria transformadora atraiu 27.7% de todos os ciberataques em 2025, a maior quota de qualquer indústria pelo quinto ano consecutivo, de acordo com o Índice IBM X-Force 2026.11
4. Alojamento web e de email
Serviços voltados para o público, como servidores web, são tipicamente implementados dentro de uma DMZ para fornecer aos utilizadores externos acesso a recursos essenciais, mantendo a segurança da rede interna.
5. Sistemas de deteção e prevenção de intrusões (IDS/IPS)
Algumas arquiteturas de segurança colocam sensores IDS/IPS na DMZ para inspecionar o tráfego de entrada e saída em busca de comportamento malicioso antes de chegar à rede interna.
6. Acesso de parceiros e fornecedores
As organizações que fornecem acesso à rede a parceiros terceiros ou fornecedores costumam usar uma DMZ para alojar serviços partilhados (por exemplo, APIs, portais SFTP). Isto limita a exposição da rede interna no caso de o acesso da parte externa ser comprometido.
7. Gateways de acesso remoto
Concentradores VPN, gateways de ambiente de trabalho remoto ou brokers de infraestrutura de ambiente de trabalho virtual (VDI) são frequentemente implementados numa DMZ para permitir o acesso remoto seguro a sistemas internos sem os expor diretamente à internet.
Cite esta pesquisa
Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Zona Desmilitarizada (DMZ): Exemplos e Arquitetura}},
year = {2026},
month = aug,
howpublished = {\url{https://aimultiple.com/dmz}},
note = {AIMultiple. Acessado em 6 Agosto 2026}
}Links de referência
O trabalho de Cem foi citado por publicações globais de destaque, incluindo Business Insider, Forbes, Washington Post, empresas globais como Deloitte, HPE e ONGs como o Fórum Econômico Mundial e organizações supranacionais como a Comissão Europeia.
Ao longo de sua carreira, Cem atuou como consultor de tecnologia, comprador de tecnologia e empreendedor de tecnologia. Ele aconselhou empresas em suas decisões de tecnologia na McKinsey & Company e na Altman Solon por mais de uma década. Ele também publicou um relatório da McKinsey sobre digitalização.
Ele liderou a estratégia de tecnologia e aquisições de uma empresa de telecomunicações, reportando-se ao CEO. Ele também liderou o crescimento comercial da empresa de tecnologia profunda Hypatos, que alcançou uma receita recorrente anual de 7 dígitos e uma avaliação de 9 dígitos partindo do zero em 2 anos. O trabalho de Cem na Hypatos foi coberto por publicações de tecnologia de destaque como TechCrunch e Business Insider.
Cem fala regularmente em conferências internacionais de tecnologia. Ele se formou na Universidade Bogazici como engenheiro de computação e possui um MBA pela Columbia Business School.
Seja o primeiro a comentar
Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.