DMZ とは？

外部ネットワーク（インターネット）と内部ネットワーク（社内）の間に設ける「中間地帯」だよ。Webサーバなどの外部公開サーバをここに置くことで、万が一攻撃されても内部ネットワークへの影響を防ぐ。

外部公開サーバは攻撃リスクが高い。もし侵害されたとき、サーバが内部ネットワークにある状態だと、そこを踏み台に社内の全システムに攻撃される。DMZに隔離すれば被害を限定できる。

ファイアウォールが3つのゾーンを管理する。「インターネット→DMZのHTTPS(443)はOK」「DMZ→内部ネットワークは原則NG」という設定で守る。高可用性システムでは外側と内側に2台のファイアウォールを配置することもある。

あるよ。AWSならパブリックサブネットがDMZに相当して、ALBやNATゲートウェイを置く。プライベートサブネットが内部ネットワーク。Security GroupとNACLでゾーン間のトラフィックを制御する。実はDMZの「2つのファイアウォールで挟む」構成はPCI DSS（クレジットカード業界のセキュリティ基準）で明確に要求されていて、ECサイトを運営するなら避けて通れない知識なんだ。

DMZのサーバーは「攻撃される前提」で設計するのが鉄則。不要なサービスは全部止める、OSとミドルウェアのパッチを最速で当てる、ログを内部のSIEMに転送して監視する。あと意外と見落とされるのが「DMZ→内部への通信」で、侵害されたサーバーからの横展開を防ぐために、アウトバウンドも厳しく制限しておくことが大事だよ。