Cualquier aplicación en la DMZ es, en el mejor de los casos, solo semi-confiable. Lo ideal es que las aplicaciones en la zona DMZ NO tengan acceso a la red interna, los datos se deben enviar, no para que los firewalls solo tengan que abrir desde la red más segura a la menos segura, no al revés.
Si eso no es posible por alguna razón (¡y tendría que ser una buena razón!), debes asegurarte de que la aplicación DMZ tenga el mínimo acceso posible a cualquier cosa.
Además, realmente no quieres que nada se extienda si puedes evitarlo. Cada conexión es un riesgo potencial.
En la mayoría de los casos, incluso crearía una red paralela para el tráfico de administración, de modo que pueda limitar y reducir aún más las ventanas de ataque disponibles.
Bloqueo de amenazas internas
Restringir las redes internas para bloquear las amenazas internas es una idea sensata, pero no pierda de vista el valor de sus datos y los riesgos relativos involucrados. La mayoría de las formas de seguridad tienen un costo tal vez $$$, pero tal vez en gastos generales de administración y gastos generales de usuario, así que tenga cuidado.
Dicho esto, es muy importante separar los activos de diferentes valores y seguridad. Por lo tanto, los datos de alta seguridad, como su infraestructura PKI central o los registros de pacientes, etc. deben mantenerse separados de los datos menos importantes, como la información de gestión, tal vez (depende de su negocio). Segmentar los datos de esta manera puede reducir los costos en algunos casos porque, aunque los costos administrativos y de infraestructura pueden ser más altos, los costos generales de protección física pueden ser menores que tener que proteger todo.
Realmente no hay una solución única para esto.
Otra consideración más. Los controles internos no consisten de ninguna manera en detener las amenazas internas. Recuerde que la mayoría de las intrusiones en los datos de grandes empresas no se han descubierto en 12m o más y, a menudo, solo las descubren terceros. Es una práctica común que los malhechores entren en algo inocuo y luego trabajen lentamente hacia la cadena alimenticia, manteniéndose por debajo del radar de detección de intrusos.