DMZ区域技术实操考核试题（含详细答案）

DMZ区域技术实操考核试题（含详细答案）适用场景：网络运维、安全工程师面试/内部考核/技能自测难易程度：中等（贴合企业真实组网场景，无纯理论空话）说明：试题规避书面化套话，全部围绕企业常用DMZ架构、防护规则、故障排查出题，答案通俗易懂、落地可用一、单项选择题（共10题，每题3分，共30分）1、企业标准三区域网络架构中，DMZ区域的核心作用是？（）A、存放内网核心业务服务器，禁止外网访问B、放置对外公开服务，隔离外网与内网核心区域C、作为内网终端接入区域，统一分配IPD、专门用于设备管理、调试运维2、常规DMZ组网中，关于三个区域的访问规则，以下说法正确的是？（）A、外网可直接访问内网核心服务器B、DMZ可以主动访问内网任意业务端口C、外网仅放行DMZ对外开放端口，禁止直连内网D、内网无法访问DMZ区域服务3、以下哪种设备最适合部署在DMZ区域？（）A、财务数据库服务器B、企业官网Web服务器、公网DNS服务器C、内网OA核心数据库D、员工办公终端4、双防火墙DMZ架构中，外网防火墙（边界防火墙）的主要策略是？（）A、放行所有外网流量，仅做日志记录B、只放行DMZ对外服务端口，拦截外网主动访问内网流量C、放行DMZ访问内网的所有流量D、对内网终端做流量管控5、企业搭建DMZ的核心安全目的是？（）A、提升网络传输速度B、划分网络广播域，减少内网卡顿C、即使DMZ服务器被攻陷，攻击者也无法直接渗透内网核心D、方便员工外网远程办公6、正常组网规范中，禁止出现的流量行为是？（）A、内网主动访问DMZ服务B、外网访问DMZ的80、443端口C、DMZ服务器主动发起对内网核心数据库的连接D、内网终端访问外网网页7、以下哪种场景不允许将设备放入DMZ？（）A、企业微信对外接口服务器B、线上业务负载均衡设备C、存储客户隐私数据的核心数据库D、公网邮件收发服务器8、单防火墙三接口DMZ架构，相比双防火墙架构的主要短板是？（）A、部署复杂、成本高B、所有区域流量经过同一台设备，防护层级单一，风险集中C、网络延迟更高D、不支持端口映射9、当DMZ的Web服务器被外网黑客植入木马，最理想的防护结果是？（）A、内网全部设备断网自保B、攻击者无法通过沦陷的DMZ服务器横向移动到内网C、防火墙自动清空所有策略D、外网所有访问被拦截10、关于DMZ端口映射，以下规范正确的是？（）A、直接映射内网服务器全端口到公网B、按需映射DMZ服务器业务端口，关闭所有多余端口C、为方便维护，开启DMZ服务器远程桌面公网直通D、所有DMZ设备统一使用公网固定IP，不做端口限制二、判断题（共5题，每题2分，共10分）1、DMZ区域属于半公开、半信任区域，安全级别低于内网核心区域。（）2、为方便运维，可以直接给DMZ服务器配置内网核心网段IP。（）3、标准DMZ架构中，内网可以主动访问DMZ和外网，外网不能主动访问内网。（）4、所有对外提供服务的设备，必须统一部署在DMZ，禁止放在内网。（）5、DMZ服务器被攻击后，一定会导致内网数据泄露。（）三、简答题（共4题，每题10分，共40分）1、简述企业最常用的两种DMZ组网架构，以及各自的优缺点。2、标准DMZ三区域（外网、DMZ、内网）的四大基础访问控制规则是什么？3、为什么禁止将核心数据库、财务系统部署在DMZ区域？4、日常运维中，DMZ区域需要做哪些安全加固动作？四、场景分析题（共1题，20分）场景：某中小企业采用单防火墙DMZ架构，近期出现安全事件：运维人员为排查故障，临时在防火墙放行“DMZ主动访问内网所有端口”策略，故障处理后忘记关闭。一周后，外网攻破DMZ的官网服务器，黑客通过该服务器横向扫描，成功入侵内网OA服务器，造成数据泄露。请分析：1、本次安全事件的核心漏洞点；2、对应的整改优化方案。参考答案（详细解析，落地运维版）一、单项选择题答案及解析1、B解析：DMZ是非军事隔离区，核心用途是放置对外公开服务，充当外网和内网的缓冲隔离带，避免内网核心直接暴露公网。A是内网核心区域作用，C是终端接入区域，D是管理区域。2、C解析：标准规则：外网仅能访问DMZ开放业务端口；DMZ默认禁止主动访问内网；内网可主动访问DMZ和外网，全程隔离外网与内网的直接连通。3、B解析：所有对公网提供访问的服务（官网、DNS、邮件、对外接口）均部署DMZ；财务、OA数据库、内网终端属于内网核心资产，严禁部署DMZ。4、B解析：外网边界防火墙核心策略是最小权限放行，只开放DMZ需要对外的业务端口，彻底阻断外网到内网的所有主动访问流量。5、C解析：DMZ的核心价值是风险隔离，对外服务必然存在被攻击风险，通过DMZ隔离，就算外围设备沦陷，也能保护内网核心数据安全。6、C解析：安全红线：DMZ作为半可信区域，禁止主动向内网核心发起连接。内网可主动访问DMZ，反向流量必须全部拦截。7、C解析：核心数据库存储隐私、核心业务数据，安全等级最高，必须放在内网核心区域，绝不暴露在半公开的DMZ区域。8、B解析：单防火墙三接口架构部署简单、成本低，但所有区域流量、防护策略都依赖一台设备，一旦设备故障、策略失效或被攻破，全网防护失效，风险高度集中。9、B解析：规范DMZ架构下，内外网双向隔离，DMZ沦陷后，攻击者没有横向移动到内网的权限和通道，内网资产不受影响。10、B解析：DMZ端口映射遵循最小权限原则，只开放业务必需端口，关闭多余端口、远程运维端口，杜绝全端口映射、公网直通运维，减少攻击面。二、判断题答案及解析1、正确解析：内网是高可信区域，DMZ是半公开、低可信区域，外网是完全不可信区域，安全等级：内网>DMZ>外网。2、错误解析：DMZ必须使用独立网段，和内网网段严格区分，禁止混用IP，否则会彻底失去隔离效果，攻击可直接穿透到内网。3、正确解析：标准单向访问规则：内网主动访问外网/DMZ放行，外网无法主动访问内网，仅可访问DMZ开放服务。4、正确解析：任何需要对公网提供访问的服务，必须部署在DMZ，杜绝内网设备直接暴露公网，规避核心资产被攻击风险。5、错误解析：规范配置下，DMZ与内网有严格策略隔离，单纯DMZ被攻破，不会泄露内网数据，只有策略配置错误才会导致横向渗透。三、简答题详细答案1、两种主流DMZ组网架构及优缺点（1）单防火墙三接口架构（中小企业主流）优点：部署简单、成本低、维护工作量小，适合中小型企业、业务量不大的场景。缺点：所有安全防护依赖单台防火墙，单点故障风险高，防护层级单一，安全性一般。（2）双防火墙串联架构（大型企业、政企主流）架构：外网防火墙（边界防护）+内网防火墙（核心防护），DMZ部署在两台防火墙中间。优点：双层安全防护，层级隔离严格，外网攻破边界防火墙后，仍无法触及内网，安全性极高，无单点风险。缺点：设备成本高、组网复杂、策略配置和运维难度更大。2、DMZ三区域四大基础访问规则（1）外网→DMZ：仅放行业务必需的公开端口（80、443、邮件端口等），其余全部拦截；（2）外网→内网：默认全部禁止，绝不放行任何外网主动访问内网的流量；（3）DMZ→内网：默认全部禁止，特殊业务需要的，仅开放固定端口、固定IP，按需白名单放行；（4）内网→DMZ、内网→外网：默认放行，满足员工办公、业务数据交互需求。3、核心数据库禁止部署DMZ的原因（1）DMZ是半公开区域，直接暴露公网攻击面，极易被扫描、渗透、爆破；（2）数据库存储企业核心数据、用户隐私、财务信息，一旦被攻破，损失不可逆；（3）DMZ服务器权限较低、防护等级弱，无内网核心的多层防护、审计、备份机制；（4）合规要求：核心敏感数据严禁部署在公网可触及的隔离区域，必须留存内网高安全区域。4、DMZ区域日常安全加固措施（1）网段隔离：DMZ使用独立专属网段，与内网、外网网段严格区分，不混用IP；（2）策略最小化：仅开放业务必需端口，关闭多余端口、远程桌面、Telnet等高危端口；（3）权限收紧：DMZ服务器禁止高权限账号运行服务，定期修改密码、关闭弱密码；（4）日志审计：开启防火墙、服务器访问日志，定期筛查异常扫描、异常连接流量；（5）安全防护：部署WAF、入侵检测设备，防护Web攻击、SQL注入、XSS等常见攻击；（6）定期维护：定期更新系统补丁、业务补丁，清理木马、恶意程序，定期漏洞扫描。四、场景分析题标准答案1、本次事件核心漏洞点（1）核心策略违规：临时放行DMZ到内网全端口流量，违反DMZ单向隔离核心规则，彻底打通了横向渗透通道；（2）运维不规范：临时策略未及时清理，无策略过期、复核机制，长期残留高危配置；（3）权限管控缺失：运维人员可随意修改核心防火墙策略，无审批、无审计；（4）设备防护不足：DMZ服务器未做漏洞防护、补丁更新，轻易被外网攻破。2、落地整改优化方案（1）紧急整改：立即删除所有DMZ到内网的全通策略，仅保留业务必需的白名单端口和IP权限；（2）策略规范化：所有临时运维策略设置有效期，到期自动失效，新增安全策略