NAT e firewall sono concetti completamente ortogonali che non hanno nulla a che fare l'uno con l'altro. Poiché alcune implementazioni NAT forniscono accidentalmente alcuni firewall, esiste un mito persistente che NAT fornisce sicurezza. Non fornisce nessuna sicurezza di sorta. Nessuna. Zero.

Ad esempio, un'implementazione NAT perfettamente ragionevole potrebbe, se avesse un solo client, inoltrare tutti i pacchetti TCP e UDP in entrata a quel client. L'effetto netto sarebbe esattamente lo stesso come se il client avesse l'indirizzo esterno del dispositivo NAT.

Non pensarlo, poiché la maggior parte dei dispositivi NAT ha un firewall integrato per progettazione o lo fa per sbaglio questo significa che NAT stesso fornisce qualsiasi sicurezza. È il firewall che fornisce la sicurezza, non il NAT. Lo scopo del NAT è far funzionare le cose.

Non devi presumere che una macchina non sia accessibile dall'esterno solo perché si trova dietro un dispositivo NAT. Non è accessibile dall'esterno se un dispositivo è specificamente configurato per non consentire l'accesso dall'esterno, indipendentemente dal fatto che quel dispositivo abbia NAT o meno.

Ogni macchina ha un indirizzo esterno ma con un firewall stateful configurato correttamente , gestito e monitorato è di gran lunga superiore a una scatola NAT SoHo economica.

Molte scatole NAT SoHo effettive inoltrano il traffico agli host interni nonostante nessun host interno abbia mai inviato traffico alla sorgente del traffico inoltrato. Il NAT permissivo esiste davvero.

Dopo aver appena trascorso 7 anni in un'università con un netblock / 16 e aver messo tutto su quel netblock che non era specificamente proibito essere su tale (PCI-DSS lo richiedeva, finché non lo risolvevano), ne ho esperienza con reti di questa natura.

NAT non è richiesto. Tutto ciò che fa NAT è rendere un po 'più difficile riconnettere una rete e costringere un'entità a una postura più sicura per impostazione predefinita. Detto questo, è perfettamente possibile costruire una rete sicura su indirizzi IP pubblici. C'erano un paio di sottoreti che erano tecnicamente instradabili, ma niente al di fuori del firewall perimetrale poteva arrivarci.

Ora per gli altri punti:

Richiedi l'IT Dipartimento. blocca tutto il traffico in entrata a ogni IP accessibile wan su qualunque firewall esistente che hanno in atto

Questo dovrebbe essere fatto per impostazione predefinita. Nella mia vecchia università, le postazioni dello Student Computer Lab non avevano bisogno di essere indirizzabili da Internet e non lo erano. Lo stesso valeva per le sottoreti che contenevano i dati dello Student Health Center. Se una macchina doveva essere visibile esternamente per qualche motivo, c'era un documento elettronico che doveva essere passato e firmato prima che potesse essere concesso; anche per i server nello stack IT centralizzato.

Mantieni la LAN dei reparti completamente isolata da Internet. Gli utenti devono condividere macchine dedicate per accedere alla posta elettronica, a Internet e al sistema di monitoraggio del tempo.

Non devi andare così lontano. Il motivo per arrivare a questo punto è se la tua paura dell'esposizione alle informazioni relative al malware è maggiore della necessità di connettività alle risorse di rete. Oggigiorno le cose sono sempre più basate su cloud / rete, quindi tali reti con air gap stanno diventando sempre più difficili da mantenere. Se hai davvero bisogno di arrivare a questo punto, potresti voler esaminare alcune delle opzioni di Application Virtualization disponibili, in quanto ciò può limitare l'esposizione delle violazioni nel caso si verifichino.

Come altri hanno sottolineato, NAT non è una funzione di sicurezza . Tuttavia, offre un certo livello di sicurezza come sottoprodotto: un effetto collaterale del NAT è che nessuna delle macchine interne è accessibile "dall'esterno". Lo stesso effetto può essere ottenuto da un firewall che blocca tutte le connessioni in entrata. Questo non è granulare, ma piuttosto efficace nella pratica, e se NAT non fosse dotato di quella protezione "automatica", molte più reti esistenti verrebbero attaccate e zombificate in spam relay (questo è il punto spaventoso di IPv6, tra l'altro : IPv6, quando [se] ampiamente distribuito, avrà la tendenza ad annullare l'effetto di protezione del NAT e ci si può aspettare un aumento medio del successo dell'attacco).

Ora avere un firewall ben configurato presuppone che chi configura il firewall fa correttamente il suo lavoro e, purtroppo, non è un dato di fatto (non voglio presumere sulle capacità del tuo specifico reparto IT, ma sulla qualità media del lavoro dei reparti IT di tutto il mondo, soprattutto in grandi organizzazione, è meno che emozionante). L'alternativa è fare in modo che ogni singola macchina accessibile pubblicamente resista a tutti i tipi di attacchi legati alle connessioni in entrata: chiudi tutti i servizi non necessari, assicurati che i servizi che restano aperti siano adeguatamente aggiornati e ben configurati. Desideri applicare gli aggiornamenti di sicurezza su ogni singola workstation? E sul firmware delle stampanti in grado di connettersi in rete?

Il mio consiglio sarebbe di installare la tua scatola filtro, attraverso la quale passeranno tutte le comunicazioni tra la tua rete e il mondo esterno. Quella casella dovrebbe quindi filtrare le connessioni in entrata; NAT e / o firewall, questa è la tua chiamata. NAT può essere più semplice, soprattutto se il reparto IT è "non collaborativo".

Per quanto riguarda il masquerading (al contrario del NAT statico):

Cisco

• '... è non è possibile "invertire" le connessioni in entrata per altre porte a meno che non sia configurata un'altra tabella '

• ' .... I NAT possono essere inseriti in un ruolo come componente dell'architettura di sicurezza di un sito, fornendo protezione dagli attacchi lanciati dall'esterno verso la rete interna. "

Sans

• '... un eccellente primo livello di difesa ... può ancora essere violato. Ma ora l'hacker deve compromettere uno dei tuoi sistemi interni da utilizzare come testa di ponte sulla tua rete locale "
  (Daniel Crider, SANS Institute, InfoSec Reading Room, 2001-11-22, A 6 -Layer Defense per la rete domestica di un professionista IT , pagina 5)

IBM

• " protegge i tuoi personal computer dalla comunicazione che viene avviata al di fuori della tua rete perché per avviare l'intervallo NAT, il traffico deve essere avviato internamente "

No, non è un sostituto per un firewall, né per altre parti della soluzione di sicurezza. Migliora l'integrità dei tuoi sistemi.

NAT non è importante come livello di sicurezza e non dovrebbe essere pensato come una garanzia di sicurezza (anche quando inavvertitamente lo rende più sicuro).

Non conosco la conformità HIPPA, ma la conformità PCI richiede configurazioni molto specifiche per i computer che hanno accesso alle informazioni della carta di credito. È necessario progettare prima di soddisfare i requisiti HIPPA e quindi progettare misure di sicurezza aggiuntive. Lo scherzo della conformità PCI è che la conformità riduce il rischio di multe, ma non necessariamente riduce il rischio di exploit di sicurezza.

Le regole HIPPA potrebbero informarti su come devi trattare i computer che hanno accesso ai dati HIPPA.

Anche se conosco un po 'di NAT e di port forwarding, non sono d'accordo per la maggior parte di ciò che ha scritto David Schwartz. Potrebbe essere perché era un po 'scortese Leggi il secondo paragrafo della mia risposta .

NAT non è la risposta a tutto. Rende solo difficile per le parti esterne connettersi ai tuoi servizi. La maggior parte delle implementazioni NAT esegue la conversione porta per porta e se l'host nel pacchetto in entrata non viene riconosciuto non ci saranno regole NAT da seguire, quindi connessione negata. Questo lascia ancora alcuni buchi con il client del server appena connesso per riconnettersi.

Più importante è proteggersi dalle connessioni interne così come dalle connessioni esterne. NAT fornisce una falsa sicurezza in questo modo. Hai solo bisogno di un bug da una chiavetta USB e potrebbe esserci un inoltro della connessione che consente a tutti di entrare.

Indipendentemente dal tuo spazio IP, dovresti limitare le connessioni a quelle consentite. Le workstation di solito non dovrebbero essere autorizzate a connettersi al servizio SQL. Personalmente non mi piacciono i firewall con stato ma ognuno per conto suo. Sono più un tipo di tipo router rilascia tutti i pacchetti.

NAT è un firewall. E non è un'opinione. È un fatto. Esaminando la definizione di Firewall:

Un firewall è "un sistema o una combinazione di sistemi che impone un confine tra due o più reti".

Modello di riepilogo funzionale del firewall standard della National Computer Security Association

Un NAT crea esattamente quel tipo di confine.

Ciò che altri firewall potrebbero fornire è la capacità di bloccare le connessioni in uscita , non solo le connessioni in entrata. Bella caratteristica, ma non quella principale.

Parlando di funzionalità, una DMZ è un buco tra le reti. Normalmente fornisce un modo per esporre un servizio interno a Internet. Anche se tecnicamente non fa parte della definizione NAT, è una caratteristica di tutti i NAT moderni

NAT è un firewall e in alcune situazioni, il migliore. I firewall di ispezione con stato, che non eseguono NAT, eseguono per lo più "fail-open". Ho lavorato per un'azienda di "firewall di nuova generazione" come sviluppatore. Per eseguire il rilevamento del protocollo / dell'applicazione in linea, alcuni pacchetti dovevano passare fino a quando non venivano rilevati. Non c'era modo di bufferizzarlo, senza introdurre ritardi. Quasi tutte le soluzioni DPI funzionano in questo modo.

NAT, d'altra parte, non si chiude. Errori comuni interrompono l'accesso a Internet anziché aprire l'accesso da Internet.

Ogni risposta su questo thread riguardo al NAT trascura un aspetto importante del NAT. L'implementazione di NAT crea un intervallo di indirizzi interno, privato e non instradabile . Il termine "non instradabile" è significativo. Gli hacker amano esfiltrare i flussi di dati di rete di un'organizzazione e operare con il traffico di rete interno locale su un intervallo di indirizzi pubblici significa che l'intera nozione di difesa in profondità è notevolmente ridotta. Perché chiunque dovrebbe voler creare condizioni che consentano al tuo traffico locale di essere instradato a Internet globale? Per semplificare le cose, un malintenzionato potrebbe hackerare il dispositivo e aggiungere percorsi, ma perché vorresti dare a tale individuo un ostacolo in meno per eseguire il backhaul dei tuoi flussi di dati di rete interni?

In altre parole, se un contenzioso dovesse sorgere da una violazione HIPAA, ciò che pazzo potrebbe prendere qualsiasi posizione in tribunale e giurare sotto giuramento che dare a un hacker un volo diretto verso le tue informazioni sensibili è stato un decisione sensata? I produttori di router wireless domestici interrompono il NAT come impostazione predefinita perché la loro legge dice loro: "Certo - Lancia i dadi ... Dovremmo bruciare il nostro budget legale per il decennio difendendo un caso in cui abbiamo messo sistemi residenziali personali in innumerevoli famiglie in un affermare che (in pratica) le foglie i loro pantaloni collettivi erano giù intorno alle caviglie! "

Sospetto che ce ne siano troppi che si preoccupano semplicemente di scusare l'implementazione perché non possono o non si prenderanno il tempo per configurare NAT o PAT statico o dinamico appropriato come best practice. PER FAVORE, evita inutili scherni e prigione ignorando gli standard federali. Se accetti un'assicurazione medica federale, i requisiti minimi NIST sono richiesti . Discuti le eccezioni eleganti per un dato valore anomalo tecnologico quanto vuoi, ma non daremo a nessuno l'impressione che sia una buona idea rendere un ambiente più vulnerabile. A parte le ipotesi, fare le cose giuste fa richiede più tempo e impegno ... ma ci sono casi in cui la cosa giusta è la scelta migliore.

Per quanto riguarda la tua domanda "dovrei fare schifo?" Suggerirei di documentare e presentare agli stakeholder una valutazione del rischio (problema, probabilità, impatto, mitigazione). Se prendi una decisione solitaria senza comunicarla e si verifica una violazione significativa, potrebbe essere di cattivo auspicio per te.