Zona Desmilitarizada (DMZ): Exemplos e Arquitetura
Uma rede de Zona Desmilitarizada (DMZ) é uma sub-rede que contém os serviços publicamente acessíveis de uma organização. Ela serve como um ponto exposto a uma rede não confiável, geralmente a Internet.
As DMZs são usadas em vários ambientes, desde roteadores domésticos até redes empresariais, para isolar serviços voltados ao público e proteger sistemas internos. As DMZs (zonas desmilitarizadas) hospedam serviços voltados ao público enquanto os isolam da LAN interna de uma organização.1 As organizações combinam perímetros de DMZ com microssegmentação de Confiança Zero e controles de acesso rigorosos.2
Explore exemplos reais de DMZ e diferentes arquiteturas de DMZ (firewall único vs. duplo):
Por que a DMZ é importante na segurança de redes?
As DMZs adicionam uma camada de segmentação de rede para defender a rede privada interna. Ela cria uma zona de buffer entre a internet pública e as redes privadas da organização.
Essas sub-redes limitam o acesso externo a servidores e ativos internos, tornando mais difícil para os invasores penetrarem na rede interna.
Em configurações típicas (veja a figura acima), a sub-rede DMZ é colocada entre dois firewalls ou em um segmento dedicado de um único firewall com múltiplas interfaces. Isso garante que:
- O acesso não autorizado à rede interna seja bloqueado, mesmo que um serviço hospedado na DMZ seja comprometido.
- Todo o tráfego de entrada da internet seja primeiro filtrado e inspecionado antes de chegar aos servidores da DMZ.
- O tráfego da rede interna de e para a DMZ seja rigidamente controlado e monitorado.
Exemplos de DMZ
Exemplo de DMZ 1: implementação de DMZ com um firewall
Como visto na Figura 1, a rede DMZ não está nem dentro nem fora do firewall. Ela é acessível tanto pelas redes internas quanto externas.
Uma das principais vantagens deste diagrama de rede é o isolamento. Por exemplo, se o servidor de e-mail for hackeado, o invasor não conseguirá acessar a rede interna. Neste cenário, o invasor pode acessar vários servidores na DMZ, pois eles compartilham a mesma rede física.
Figura 1. Diagrama simples de DMZ
Fonte: International Journal of Wireless and Microwave Technologies3
Nesta configuração, a DMZ impõe os seguintes controles de acesso:
- Rede externa: A rede externa não pode estabelecer conexões com a rede interna, no entanto, pode iniciar conexões com a DMZ.
- Rede interna: A rede interna pode iniciar conexões com redes externas, mas a rede não pode iniciar conexões com a rede interna.
Exemplo de DMZ 2: Uma DMZ conectada a um dispositivo de terceiros
Outra abordagem típica de DMZ é conectar-se a um dispositivo de terceiros, como um fornecedor. A Figura 2 ilustra uma rede com um fornecedor conectado via um link T1 a um roteador na DMZ.
Este exemplo de DMZ pode ser usado quando as empresas terceirizam seus sistemas para uma parte externa, permitindo acesso direto ao servidor do fornecedor por meio desta configuração.
Figura 2. DMZ conectando-se a um fornecedor
Fonte: Network Varrior4
Exemplo de DMZ 3: Múltiplas DMZs conectadas a um dispositivo de terceiros
Às vezes, uma única DMZ é insuficiente para organizações que operam redes complexas. A Figura 3 ilustra uma rede com múltiplas DMZs. O design combina os dois primeiros exemplos: a Internet está do lado de fora e os usuários estão dentro da rede.
Figura 3. Múltiplas DMZs
Fonte: Network Varrior5
- DMZ-1 é um ponto de acesso a um fornecedor.
- DMZ-2 é onde os servidores de Internet estão localizados.
Os requisitos de segurança são consistentes com o exemplo anterior (Exemplo 2), mas uma consideração adicional é necessária: se a DMZ-1 pode iniciar conexões com a DMZ-2 e vice-versa.
Avaliar esse acesso bidirecional ajuda a impor controles de segurança granulares em ambientes de rede complexos.
Arquiteturas de DMZ
Uma DMZ pode ser configurada de várias maneiras, variando de um único firewall a firewalls duplos ou múltiplos. A maioria das arquiteturas de DMZ atuais inclui firewalls duplos que podem ser dimensionados para suportar redes complexas.
1. Firewall único
Um único firewall com pelo menos três interfaces de rede é necessário para construir uma arquitetura de rede que inclua uma DMZ.
Figura 4. Ilustração de uma arquitetura de firewall único
Fonte: SAP6
Por que usar um firewall único: Um firewall único simplifica a arquitetura de rede ao consolidar o controle de tráfego, a aplicação de políticas e o registro em um único dispositivo. Isso reduz a complexidade administrativa e diminui os custos de capital e operacionais. É mais adequado para ambientes menores, onde não há necessidade de defesas de perímetro em várias camadas.
2. Firewall duplo
Esta implementação cria uma DMZ usando dois firewalls.
Figura 5. Ilustração de arquitetura de firewall duplo
Fonte: SAP7
Por que usar firewalls duplos: Firewalls duplos oferecem um sistema mais seguro. Em algumas empresas, os dois firewalls são fornecidos por fabricantes diferentes. Se um ataque externo conseguir violar o primeiro firewall, pode levar mais tempo para violar o segundo se ele for construído por um fabricante diferente, tornando menos provável que ele seja vítima das mesmas vulnerabilidades de segurança.
Lançamentos recentes de hardware introduziram novas opções para implantações de firewall de DMZ, incluindo o Firebox M695 da WatchGuard (lançado em dezembro de 2025), que possui um processador Intel Core i7-14701E e oferece alta taxa de transferência (45 Gbps brutos) para ambientes grandes.8
Para implantações de pequenas e médias empresas, o WatchGuard Firebox T185 (lançado em janeiro de 2026) oferece desempenho multi-gigabit com aproximadamente 5.7 Gbps de taxa de transferência de firewall bruta e recursos de segurança de classe empresarial para redes de filiais.9
Benefícios da Zona Desmilitarizada (DMZ)
O principal valor de uma DMZ reside na sua capacidade de fornecer aos usuários da Internet pública acesso a serviços específicos voltados ao exterior, ao mesmo tempo que serve como uma barreira protetora que protege a rede interna da organização.
Esta camada adicional de segurança oferece vários benefícios importantes de segurança:
1. Fornece controles de acesso
Uma rede DMZ controla o acesso a serviços acessíveis pela internet que não estão dentro da rede perimetral de uma empresa. Ela também adiciona uma camada de segmentação de rede, aumentando o número de barreiras que um usuário deve superar antes de obter admissão à rede privada de uma empresa.
2. Previne o reconhecimento de rede
Uma DMZ limita a capacidade de um invasor de avaliar alvos potenciais na rede. Mesmo que uma máquina na DMZ seja hackeada, o firewall interno defende a rede privada isolando-a da DMZ. Esta configuração torna as explorações de rede externa mais difíceis.
3. Limita a falsificação de IP (IP spoofing)
A falsificação de IP envolve forjar o endereço IP de origem dos pacotes para obter acesso não autorizado. Uma DMZ ajuda a detectar e bloquear tráfego falsificado, especialmente quando combinada com medidas de segurança adicionais que validam a autenticidade do IP, protegendo ainda mais a rede interna contra ataques de personificação.
As 5 principais vulnerabilidades das DMZs na segurança de redes
Uma DMZ é útil, mas tem fraquezas. Essas fraquezas podem facilitar para os invasores encontrarem problemas.
1. As partes públicas são fáceis de ver a partir da internet
Os servidores em uma DMZ devem estar abertos para que as pessoas possam usá-los. Os hackers podem encontrar e escanear esses sistemas voltados ao público para procurar fraquezas.
2. A configuração incorreta cria risco
A configuração e o gerenciamento da DMZ podem ser complexos. Se as regras de firewall ou os controles de acesso estiverem errados, os invasores podem conseguir entrar.
3. A complexidade aumenta os erros
Uma DMZ adiciona mais dispositivos, regras e configurações para gerenciar. Mais complexidade significa mais chances de erro humano.
4. Uma falsa sensação de segurança
Algumas pessoas pensam que uma DMZ torna uma rede totalmente segura. Não é o caso. Uma DMZ reduz o risco, mas não pode parar todos os ataques sozinha.
5. As DMZs podem ter dificuldades com tecnologias mais novas
Os designs tradicionais de DMZ podem não se adequar bem a serviços em nuvem ou modelos de rede modernos, limitando sua utilidade.
Em fevereiro de 2026, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu novas orientações para operadores de infraestrutura crítica após um ciberataque à rede elétrica da Polônia.10 O alerta enfatiza a segmentação de rede rigorosa e outros controles para ajudar a conter ameaças em redes de tecnologia operacional (OT).
Adicionar como fonte preferencialAplicações das DMZs
1. Serviços em nuvem
Alguns serviços em nuvem empregam uma estratégia de segurança híbrida na qual uma DMZ é estabelecida entre a rede local da empresa e sua rede lógica. Esta estratégia é comumente empregada quando os serviços da empresa são executados parcialmente no local e parcialmente em uma rede lógica.
AWS e Google Cloud incluem soluções de firewall como serviço integradas. Por exemplo, a AWS fornece o AWS Network Firewall (um serviço de firewall com estado gerenciado para VPCs).11 O Cloud Next-Generation Firewall do Google Cloud inclui um serviço de filtragem de URL para controle de tráfego baseado em domínio e suporta políticas de firewall hierárquicas para segmentação de rede granular 12 .13
2. Redes domésticas
Uma DMZ também pode ser útil para redes domésticas que usam configurações de LAN e roteadores de banda larga. Vários roteadores domésticos incluem opções de DMZ ou configurações de host DMZ. Essas opções permitem que os usuários conectem um dispositivo à internet.
3. Sistemas de controle industrial (ICS)
As DMZs podem fornecer uma solução para os problemas de segurança associados aos ICS.
A maioria dos equipamentos de tecnologia operacional (OT) que se conectam à internet não é tão bem projetada para mitigar ataques quanto os dispositivos de TI. Uma DMZ pode melhorar a segmentação da rede OT, tornando mais difícil para malware, vírus ou outras ameaças de rede se infiltrarem.
As organizações estão substituindo perímetros de rede planos por modelos de Confiança Zero que usam microssegmentação e controles de acesso granulares.14 As orientações globais recentes para redes OT (lideradas pelo NCSC do Reino Unido com a colaboração da CISA) enfatizam a redução de conexões expostas e a aplicação de segmentação de rede rigorosa nos limites operacionais 15 .
4. Hospedagem web e de e-mail
Serviços voltados ao público, como servidores web, são normalmente implantados dentro de uma DMZ para fornecer aos usuários externos acesso a recursos essenciais enquanto mantêm a segurança da rede interna.
5. Sistemas de detecção e prevenção de intrusões (IDS/IPS)
Algumas arquiteturas de segurança colocam sensores de IDS/IPS na DMZ para inspecionar o tráfego de entrada e saída em busca de comportamento malicioso antes que ele alcance a rede interna.
6. Acesso de parceiros e fornecedores
As organizações que fornecem acesso à rede para parceiros ou fornecedores terceirizados costumam usar uma DMZ para hospedar serviços compartilhados (por exemplo, APIs, portais SFTP). Isso limita a exposição da rede interna caso o acesso da parte externa seja comprometido.
7. Gateways de acesso remoto
Concentradores VPN, gateways de área de trabalho remota ou brokers de infraestrutura de desktop virtual (VDI) são frequentemente implantados em uma DMZ para permitir acesso remoto seguro a sistemas internos sem expô-los diretamente à internet.
Cite esta pesquisa
Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Zona Desmilitarizada (DMZ): Exemplos e Arquitetura}},
year = {2026},
month = mar,
howpublished = {\url{https://aimultiple.com/dmz}},
note = {AIMultiple. Acessado em 6 Março 2026}
}Links de referência
Seja o primeiro a comentar
Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.