DMZとは
DMZ（Demilitarized Zone）とは、社内の安全なネットワーク（組織の内部ネットワーク）と、インターネット（外部ネットワーク）の間に設けられる、どちらにも属さない中間的なネットワーク領域のことです。日本語では「非武装地帯」と呼ばれます。
インターネット上に公開するWebサーバーやメールサーバーなどは、外部からのアクセス受け入れる必要があります。しかし、これらのサーバーを社内ネットワークと同じ場所に置いておくと、万が一サーバーがハッカーに乗っ取られた際、社内のパソコンや重要データが保管されているサーバーにまで簡単に侵入されてしまいます。そこで、公開サーバーをDMZという隔離されたエリアに配置します。ファイアウォールを使って「インターネットからDMZへの通信」や「DMZから社内ネットワークへの通信」を厳しく制限することで、万が一の被害をDMZ内に留め、社内ネットワークを守る仕組みです。
具体例
ホテルの「エントランスロビー」に例えられます。ロビー（DMZ）は宿泊客や一般の訪問者（インターネットのユーザー）が自由に出入りできますが、そこから客室（社内ネットワーク）へと続くエリアにはセキュリティゲートが設けられており、ロビーでトラブルが起きても客室の安全は守られます。
【ネットワーク構成のイメージ】
[インターネット] ──＞ (外側ファイアウォール)
│
├──＞ [DMZ] (Webサーバーなどを配置)
│
(内側ファイアウォール) ──＞ [社内ネットワーク]もう少し詳しく
DMZ（Demilitarized Zone）は、インターネット（外部）と社内LAN（内部）の境界線上に配置される独立したセグメントです。
DMZを構築する主な目的は、外部公開が必要なサーバー（Webサーバー、メールサーバー、外部DNSサーバー、プロキシサーバーなど）が万が一クラッキングや不正侵入の被害に遭った場合でも、その被害が社内の基幹システムや機密データが保管された内部ネットワークに波及するのを防ぐことにあります。
DMZの実装方法には、1台のファイアウォールに3つのインターフェース（外部用、内部用、DMZ用）を持たせて制御する「3脚（Three-homed）ファイアウォール構成」や、外部とDMZの間、およびDMZと内部の間にそれぞれ異なるメーカーのファイアウォールを直列に配置する「2重ファイアウォール構成」があります。後者は、一方のファイアウォールに脆弱性が見つかって突破されても、もう一方のファイアウォールで防御できるため、より強固なセキュリティを担保できます。
試験でのポイント
試験では、DMZとファイアウォールにおける通信制御ルール（セキュリティポリシー）の設計方針について頻繁に問われます。DMZからの通信方向において、「インターネットからDMZへのアクセスは許可（Web公開のため）」「社内ネットワークからDMZへのアクセスは許可（管理やデータ更新のため）」しますが、最も重要なルールは「DMZから社内ネットワークへのアクセスは原則禁止」することです。
DMZ内のサーバーが乗っ取られた場合、そのサーバーを踏み台にして社内ネットワークに侵入されるのを防ぐため、DMZ発・社内行きの通信ルートは原則として遮断しなければなりません。この原則を理解しているかが問われます。
関連する用語
関連する用語には、境界防御を司る「ファイアウォール」、DMZ内に配置されて外部のWebアクセスを代行する「プロキシサーバー」、および境界を設けずにすべてのアカウント・デバイスを検証する新しい概念である「ゼロトラスト」があります。