NAT i bezpieczeństwo: Jak chronicie nasze sieci wewnętrzne?

Mauro Escalanta
Może 17, 2023
5: 12 pm
Brak komentarzy

Jeśli chodzi o bezpieczeństwo, NAT zapewnia warstwę ochrony, ukrywając prywatne adresy IP urządzeń w sieci wewnętrznej.

Załóżmy na przykład, że masz sieć domową z kilkoma podłączonymi urządzeniami, takimi jak komputery, telefony i tablety. Bez NAT każde z tych urządzeń posiadałoby publiczny adres IP, co czyni je łatwymi do zidentyfikowania i podatnymi na ataki z Internetu.

Na końcu artykułu znajdziesz mały test to ci pozwoli oceniać wiedzę zdobytą w tej lekturze

Przejdź do testu

Dzięki implementacji NAT te urządzenia wewnętrzne współdzielą jeden publiczny adres IP, co utrudnia identyfikację i atakowanie każdego urządzenia z osobna.

Ponadto, NAT działa jak podstawowa zapora sieciowa, ponieważ automatycznie blokuje niechciany ruch z Internetu do urządzeń wewnętrznych. Zatem NAT pozwala tylko na połączenia inicjowane z wewnątrz sieci, co minimalizuje ryzyko uzyskania dostępu zewnętrznego atakującego do urządzeń wewnętrznych.

Środki ochrony

Jednak sam NAT nie wystarczy, aby zapewnić bezpieczeństwo naszych sieci wewnętrznych. Dlatego też istotne jest uzupełnienie tej technologii innymi środkami ochronnymi. Niektóre z tych dodatkowych strategii obejmują:

1. Zaimplementuj zaporę sieciową

Zapora sieciowa to narzędzie zabezpieczające, które kontroluje i filtruje ruch danych pomiędzy siecią wewnętrzną a Internetem. Pomaga blokować nieautoryzowany ruch i chronić urządzenia wewnętrzne przed potencjalnymi zagrożeniami.

2. Korzystaj z oprogramowania antywirusowego

Oprogramowanie antywirusowe jest niezbędne do ochrony naszych urządzeń przed złośliwym oprogramowaniem i innymi cyberatakami. Ponadto jego aktualizacja ma kluczowe znaczenie dla zapewnienia jego skuteczności.

3. Skonfiguruj bezpiecznie swoją sieć bezprzewodową

Wiąże się to ze stosowaniem silnych haseł i włączaniem szyfrowania, np. protokołu WPA3, w celu ochrony transmisji danych.

4. Aktualizuj oprogramowanie i system operacyjny

Urządzenia wewnętrzne muszą być regularnie aktualizowane, aby naprawić możliwe luki i uniknąć ataków.

Co to znaczy, że NAT działa jak podstawowa zapora ogniowa?

NAT, pełniący funkcję podstawowej zapory sieciowej, zapewnia dodatkową warstwę bezpieczeństwa naszym sieciom wewnętrznym. Chociaż nie jest tak wszechstronna jak dedykowana zapora sieciowa, ważne jest, aby zrozumieć, w jaki sposób NAT przyczynia się do ochrony naszych urządzeń i danych.

Poniżej szczegółowo zbadamy, w jaki sposób NAT działa jako podstawowa zapora sieciowa i jakie są jej ograniczenia w zakresie bezpieczeństwa.

1. Filtrowanie pakietów

NAT pełni funkcję podstawowego filtru pakietów, automatycznie blokując niechciany ruch przychodzący z Internetu do urządzeń wewnętrznych. Osiąga się to poprzez proces translacji adresów, podczas którego NAT sprawdza, czy ruch przychodzący jest odpowiedzią na żądanie zainicjowane wcześniej z urządzenia wewnętrznego. Jeśli tak nie jest, ruch jest odrzucany, uniemożliwiając atakującym z zewnątrz bezpośredni dostęp do urządzeń wewnętrznych.

2. Ukrywanie wewnętrznych adresów IP

NAT chroni prywatne adresy IP urządzeń w sieci wewnętrznej, umożliwiając im współdzielenie jednego publicznego adresu IP. To maskowanie utrudnia zewnętrznemu atakującemu zidentyfikowanie i zaatakowanie konkretnego urządzenia, ponieważ nie może on zobaczyć prywatnych adresów IP znajdujących się za udostępnionym publicznym adresem IP.

3. Zapobieganie atakom siłowym

NAT może pomóc w zapobieganiu atakom typu brute-force na sieć wewnętrzną. Blokując niechciany ruch, NAT uniemożliwia atakującemu wypróbowanie różnych kombinacji haseł lub wyszukiwanie luk w zabezpieczeniach urządzeń wewnętrznych.

Ograniczenia NAT jako zapory sieciowej

Pomimo tych korzyści, NAT jako podstawowa zapora sieciowa ma ograniczenia:

1. Brak kontroli pakietów

W przeciwieństwie do dedykowanej zapory sieciowej, NAT nie sprawdza zawartości przechodzących przez nią pakietów danych. Dlatego nie może wykryć ani zablokować złośliwego oprogramowania, wirusów ani innych zagrożeń ukrytych w dozwolonym ruchu.

2. Brak zaawansowanych polityk bezpieczeństwa

NAT nie pozwala na wdrażanie zaawansowanych zasad bezpieczeństwa, takich jak kontrola aplikacji, filtrowanie treści internetowych czy zapobieganie włamaniom. Funkcje te są niezbędne do ochrony sieci wewnętrznej przed bardziej wyrafinowanymi zagrożeniami i są dostępne w dedykowanych zaporach ogniowych.

3. Ograniczona ochrona przed atakami wewnętrznymi

NAT koncentruje się na ochronie przed zagrożeniami zewnętrznymi, ale nie może chronić sieci wewnętrznej przed atakami inicjowanymi od wewnątrz, takimi jak niezadowoleni pracownicy lub zainfekowane urządzenia. Dodatkową ochronę w tym zakresie może zapewnić dedykowana zapora ogniowa.

Czy NAT można zhakować lub naruszyć?

Tak, chociaż NAT zapewnia podstawową warstwę bezpieczeństwa, nie jest niezawodny i może być podatny na określone typy ataków lub techniki hakerskie. Poniżej znajdują się niektóre sposoby naruszenia NAT:

1. Ataki związane z przepełnieniem tabeli NAT

Urządzenia NAT utrzymują tabelę translacji adresów, która zawiera mapowania pomiędzy wewnętrznymi adresami IP i publicznymi adresami IP. Osoba atakująca może próbować zalać tabelę NAT wieloma fałszywymi żądaniami, powodując przepełnienie tabeli i wyczerpanie zasobów urządzenia NAT. Może to skutkować odmową usługi (DoS) lub umożliwieniem atakującemu dostępu do sieci wewnętrznej.

2. Ataki odbicia i wzmocnienia

W tego typu ataku osoba atakująca wysyła sfałszowane żądania do podatnych na ataki serwerów, używając publicznego adresu IP ofiary jako adresu źródłowego. Serwery odpowiadają dużą ilością danych skierowanych do ofiary, powodując odmowę usługi (DoS). Chociaż w tym scenariuszu translacja NAT nie jest bezpośrednio zagrożona, Twój udostępniony publiczny adres IP może zostać wykorzystany do przeprowadzenia tego typu ataków.

3. Luki w implementacji protokołu

Niektóre implementacje NAT mogą zawierać luki w sposobie obsługi niektórych protokołów, takich jak protokół dynamicznej konfiguracji hosta (DHCP) lub protokół bezpiecznego przesyłania hipertekstu (HTTPS). Osoba atakująca wykorzystująca te luki może uzyskać dostęp do sieci wewnętrznej lub przechwycić poufne informacje.

4. Ataki brute-force na otwarte porty

Chociaż translacja NAT utrudnia identyfikację poszczególnych urządzeń, niektóre porty mogą być otwarte, aby umożliwić określone połączenia przychodzące, takie jak usługi gier online lub aplikacje do rozmów wideo. Osoba atakująca może próbować wykorzystać te otwarte porty za pomocą ataków siłowych lub szukając luk w aplikacjach, które z nich korzystają.

Przykłady z MikroTik RouterOS

Aby poprawić bezpieczeństwo NAT na urządzeniu MikroTik, możesz wdrożyć następujące ustawienia:

Przykład 1: Filtrowanie pakietów na zaporze sieciowej

Filtrowanie pakietów w zaporze sieciowej pomaga blokować nieautoryzowany ruch i chronić sieć wewnętrzną. Możesz skonfigurować reguły w zaporze MikroTik, aby zezwalać tylko na niezbędny ruch i blokować resztę.

Oprawa:

Uzyskaj dostęp do interfejsu internetowego swojego urządzenia MikroTik lub zaloguj się do routera za pomocą Winbox.
Przejdź do „IP” > „Firewall” > „Filtruj reguły” i kliknij przycisk „+”, aby dodać nową regułę.
Ustaw ciąg znaków na „input”, a protokół na „tcp”. Wprowadź zakres portów, które chcesz zablokować w polu „Dst. Port."
Ustaw akcję na „upuść”, aby odrzucać pakiety spełniające tę regułę.
W razie potrzeby powtórz kroki 2–4, aby dodać dodatkowe reguły.
Upewnij się, że reguły są ułożone poprawnie, z regułami „zezwól” przed regułami „blokuj”.

				
					# Reemplaza "tcp_ports" con el rango de puertos que deseas bloquear, por ejemplo, "80,443"
:local tcp_ports "tcp_ports"

/ip firewall filter
add chain=input protocol=tcp dst-port=$tcp_ports action=drop comment="Bloquear puertos específicos"

Przykład 2: Ogranicz liczbę nowych połączeń na sekundę

Ograniczanie liczby nowych połączeń na sekundę to technika chroniąca Twoje urządzenie MikroTik przed atakami związanymi z przepełnieniem tabeli NAT. To ustawienie zmniejsza ryzyko, że atakujący zaleje Twoje urządzenie fałszywymi żądaniami.

Oprawa:

Uzyskaj dostęp do interfejsu internetowego swojego urządzenia MikroTik lub zaloguj się do routera za pomocą Winbox.
Przejdź do „IP” > „Firewall” > „Filtruj reguły” i kliknij przycisk „+”, aby dodać nową regułę.
Ustaw łańcuch na „forward”, a protokół na „tcp”.
W zakładce „Zaawansowane” wybierz „flagi TCP” i zaznacz pola „syn” w „Flagach” oraz „syn,!ack,!fin,!psh,!rst,!urg” w „Bez flag”.
Na karcie „Dodatkowe” wprowadź niską wartość w polu „Limit” (na przykład 10/s), aby ograniczyć liczbę nowych połączeń na sekundę.
Ustaw akcję na „upuść”, aby odrzucać pakiety spełniające tę regułę.
Upewnij się, że reguły na liście „Filtruj reguły” są poprawnie posortowane.

				
					# Reemplaza "10" con el número de conexiones nuevas por segundo que deseas permitir
:local connections_limit "10"

/ip firewall filter
add chain=forward protocol=tcp tcp-flags=syn connection-state=new action=drop limit=$connections_limit,s src-address-list=!allowed comment="Limitar conexiones nuevas por segundo"

Przed zastosowaniem konfiguracji pamiętaj o dostosowaniu wartości do swoich potrzeb i wymagań bezpieczeństwa.

Po wprowadzeniu kodu na terminalu urządzenia MikroTik sprawdź zasady w „IP” > „Zapora sieciowa” > „Zasady filtrowania”, aby upewnić się, że zostały prawidłowo zastosowane.