NAT et pare-feu sont des concepts complètement orthogonaux qui n'ont rien à voir l'un avec l'autre. Parce que certaines implémentations NAT fournissent accidentellement certains pare-feu, il existe un mythe persistant selon lequel NAT assure la sécurité. Il n'offre aucune sécurité. Aucun. Zéro.

Par exemple, une implémentation NAT parfaitement raisonnable pourrait, si elle n'avait qu'un seul client, transmettre tous les paquets TCP et UDP entrants à ce client. L'effet net serait exactement le même que si le client avait l'adresse externe du périphérique NAT.

Ne pensez pas que parce que la plupart des périphériques NAT ont un pare-feu intégré par conception ou en font par accident que cela signifie que NAT lui-même fournit une sécurité. C'est le pare-feu qui assure la sécurité, pas le NAT. Le but du NAT est de faire fonctionner les choses.

Vous ne devez pas supposer qu'une machine n'est pas accessible à l'extérieur simplement parce qu'elle se trouve derrière un périphérique NAT. Il n'est pas accessible à l'extérieur si un appareil est spécifiquement configuré pour ne pas lui permettre d'être accessible de l'extérieur, que cet appareil fasse du NAT ou non.

Chaque machine ayant une adresse externe mais avec un pare-feu avec état correctement configuré , géré et surveillé est largement supérieur à un boîtier SoHo NAT bon marché.

De nombreux boîtiers NAT SoHo réels transfèrent le trafic vers les hôtes internes même si aucun hôte interne n'a jamais envoyé de trafic à la source du trafic réexpédié. Le NAT permissif existe vraiment.

Ayant juste passé 7 ans dans une université avec un netblock / 16 et mis tout sur ce netblock qui n'était pas spécifiquement interdit d'être sur tel (PCI-DSS exigeait cela, jusqu'à ce qu'ils le réparent), j'ai quelques expérience avec des réseaux de cette nature.

NAT n'est pas requis. Tout ce que fait NAT est de rendre un peu plus difficile la reconnaissance d'un réseau et de forcer une entité à adopter une posture plus sécurisée par défaut. Cela dit, il est parfaitement possible de construire un réseau sécurisé sur des adresses IP publiques. Nous avions quelques sous-réseaux techniquement routables, mais rien en dehors du pare-feu de périmètre ne pouvait y accéder.

Maintenant pour vos autres points:

Demandez le service informatique dept. bloquez tout le trafic entrant vers chaque IP accessible WAN sur les pare-feu existants qu'ils ont en place

Ceci devrait être fait par défaut. Dans mon ancienne université, les stations du Student Computer Lab n'avaient pas besoin d'être adressées à partir d'Internet et elles ne l'étaient pas. Il en va de même pour les sous-réseaux contenant les données du Student Health Center. Si une machine devait être visible de l'extérieur pour une raison quelconque, il y avait un document électronique qui devait être transmis et signé avant de pouvoir être accordé; même pour les serveurs de la pile informatique centralisée.

Gardez le LAN des départements complètement isolé d'Internet. Les utilisateurs doivent partager des machines dédiées pour accéder au courrier électronique, à Internet et au système de suivi du temps.

Vous n'êtes pas obligé d'aller aussi loin. La raison d'aller aussi loin est si votre peur de l'exposition d'informations liées aux logiciels malveillants est plus élevée que le besoin de connectivité aux ressources réseau. De nos jours, les choses sont de plus en plus basées sur le cloud / réseau, de sorte que ces réseaux à vide deviennent de plus en plus difficiles à entretenir. Si vous avez vraiment besoin d'aller dans cette mesure, vous voudrez peut-être vous pencher sur certaines des options de virtualisation d'application, car cela peut limiter l'exposition aux violations si elles se produisent.

Comme d'autres l'ont souligné, NAT n'est pas une fonctionnalité de sécurité . Cependant, il offre un certain niveau de sécurité comme sous-produit: un effet secondaire du NAT est qu'aucune machine interne n'est accessible "de l'extérieur". Le même effet peut être obtenu par un pare-feu qui bloque toutes les connexions entrantes. Ce n'est pas précis, mais plutôt efficace dans la pratique, et si NAT ne venait pas avec cette protection «automatique», beaucoup plus de réseaux existants seraient attaqués et zombifiés en relais de spam (c'est le point effrayant d'IPv6, d'ailleurs : IPv6, lorsqu'il [s'il] est largement déployé, aura tendance à annuler l'effet de protection du NAT, et on peut s'attendre à une augmentation moyenne du succès des attaques).

Maintenant, avoir un pare-feu bien configuré suppose que celui qui configure le pare-feu fait correctement son travail, et, malheureusement, ce n'est pas acquis (je ne veux pas présumer des capacités de votre service informatique spécifique, mais de la qualité moyenne du travail des services informatiques du monde entier, en particulier en organisation, est moins que passionnant). L'alternative étant de s'assurer que chaque machine accessible au public résiste à toutes sortes d'attaques liées aux connexions entrantes: fermez tous les services inutiles, assurez-vous que les services qui restent ouverts sont correctement à jour et bien configurés. Envie d'appliquer des mises à jour de sécurité sur chaque poste de travail? Et sur le firmware des imprimantes compatibles réseau?

Mon conseil serait d'installer votre propre boîtier de filtre, à travers lequel toutes les communications entre votre réseau et le monde extérieur passeront. Cette boîte devrait alors filtrer les connexions entrantes; NAT et / ou pare-feu, c'est votre appel. Le NAT peut être plus facile, surtout si le service informatique est "peu coopératif".

Concernant le masquage (par opposition au NAT statique):

Cisco

• '... c'est impossible de «inverser la carte» des connexions entrantes pour d'autres ports à moins qu'une autre table ne soit configurée '

• ' .... Les NAT peuvent être placés dans un rôle en tant que composant de l'architecture de sécurité d'un site, offrant une protection contre les attaques lancées de l'extérieur vers le réseau interne. "

Sans

• '... une excellente première couche de défense ... peut encore être piratée. Mais maintenant, le pirate doit compromettre l'un de vos systèmes internes pour l'utiliser comme tête de pont sur votre réseau local »
  (Daniel Crider, Institut SANS, Salle de lecture InfoSec, 2001-11-22, A 6 -Layer Defense pour le réseau domestique d'un professionnel de l'informatique , page 5)

IBM

• ' protège vos ordinateurs personnels contre les communications initiées en dehors de votre réseau car pour que la plage NAT démarre, le trafic doit être initié en interne '

Non, ce n'est pas un substitut pour un pare-feu, ni pour d'autres parties de votre solution de sécurité. Cela améliore l'intégrité de vos systèmes.

Le NAT n'est pas important en tant que couche de sécurité et ne doit pas être considéré comme fournissant une sécurité (même s'il le rend par inadvertance plus sécurisé).

Je ne connais pas la conformité HIPPA, mais la conformité PCI nécessite des configurations très spécifiques pour les ordinateurs ayant accès aux informations de carte de crédit. Vous devez concevoir tout d'abord pour répondre aux exigences HIPPA, puis concevoir des mesures de sécurité supplémentaires. La blague de la conformité PCI est que la conformité réduit le risque d'amendes, mais pas nécessairement le risque d'exploits de sécurité.

Les règles HIPPA peuvent vous informer de la manière dont vous devez traiter les ordinateurs qui ont accès aux données HIPPA.

Même si je connais un peu les NAT et les transferts de port, je ne suis pas d'accord avec ce que David Schwartz a écrit. C'est peut-être parce qu'il était un peu impoli Lisez le deuxième paragraphe de ma réponse .

NAT n'est pas la réponse à tout. Cela rend simplement difficile la connexion des parties externes à vos services. La plupart des implémentations NAT effectuent une conversion port par port et si l'hôte dans le paquet entrant n'est pas reconnu, il n'y aura pas de règles NAT à suivre, donc la connexion sera refusée. Cela laisse encore quelques trous avec le client serveur qui vient de se connecter pour se reconnecter.

Le plus important est de vous protéger des connexions internes ainsi que des connexions externes. NAT fournit une fausse sécurité de cette manière. Vous n'avez besoin que d'un seul bogue d'une clé USB et il pourrait y avoir un transfert de connexion laissant tout le monde entrer.

Indépendamment de votre espace IP, vous devriez limiter les connexions à celles autorisées. Les postes de travail ne devraient généralement pas être autorisés à se connecter au service SQL. Personnellement, je n'aime pas les pare-feu avec état, mais chacun est le sien. Je suis plutôt le type de type de routeur abandonne tous les paquets.

NAT est un pare-feu. Et ce n'est pas une opinion. C'est un fait. Examen de la définition du pare-feu:

Un pare-feu est "un système ou une combinaison de systèmes qui impose une limite entre deux ou plusieurs réseaux."

Modèle standard de résumé fonctionnel du pare-feu de la National Computer Security Association

Un NAT crée exactement ce genre de limite.

Ce que d'autres pare-feu peuvent fournir, c'est la possibilité de bloquer les connexions sortantes , pas seulement les connexions entrantes. Belle fonctionnalité, mais pas la principale.

En parlant de fonctionnalités, une DMZ est un trou entre les réseaux. Normalement, il fournit un moyen d'exposer un service interne à Internet. Bien qu'il ne fasse pas techniquement partie de la définition NAT, c'est une fonctionnalité de tous les NAT modernes

NAT est un pare-feu et dans certaines situations, le meilleur. Les pare-feu d'inspection avec état, qui ne font pas de NAT, font pour la plupart "ouverture par défaut". J'ai travaillé pour une société "Next generation firewall" en tant que développeur. Pour effectuer la détection de protocole / application en ligne, certains paquets ont dû passer jusqu'à ce qu'ils soient détectés. Il n'y avait aucun moyen de le tamponner, sans introduire de délai. Presque toutes les solutions DPI fonctionnent comme ça.

NAT, en revanche, échoue à se fermer. Les erreurs courantes bloquent l'accès à Internet au lieu d'ouvrir l'accès à partir d'Internet.

Chaque réponse sur ce fil concernant NAT néglige un aspect important de NAT. L'implémentation de NAT crée une plage d'adresses interne, privée, non routable . Le terme «non routable» est significatif. Les pirates adorent exfiltrer les flux de données du réseau d'une organisation, et opérer avec le trafic de votre réseau interne local sur une plage d'adresses publique signifie que toute la notion de défense en profondeur est considérablement diminuée. Pourquoi quelqu'un voudrait-il créer des conditions qui permettent à votre trafic local d'être acheminé vers l'Internet mondial? Pour rendre les choses aussi simples, un attaquant malveillant pourrait pirater l'appareil et ajouter des routes - mais pourquoi voudriez-vous donner à un tel individu un obstacle de moins pour relier vos flux de données réseau internes?

En d'autres termes, si un litige venait d'une violation de la loi HIPAA, quel fou pourrait prendre la parole dans une salle d'audience et jurer sous serment que donner à un pirate un vol direct vers vos informations sensibles était un décision sensée? Les fabricants de routeurs sans fil à domicile abandonneraient-ils le NAT comme valeur par défaut habituelle parce que leur loi leur dit: «Bien sûr - Lancez les dés ... déclarent que (fondamentalement) laisse leur pantalon collectif était baissé autour de leurs chevilles! "

Je soupçonne qu'il y en a trop qui se soucient simplement d'excuser la mise en œuvre parce qu'ils ne peuvent pas ou ne prendront pas le temps de configurer un NAT ou un PAT statique ou dynamique approprié comme meilleure pratique. VEUILLEZ éviter les ridicules inutiles et les peines de prison en ignorant les normes fédérales. Si vous acceptez une assurance médicale fédérale, les minima NIST sont obligatoires . Débattez des exceptions élégantes pour une valeur aberrante donnée tout ce que vous voulez, mais ne donnons à personne l'impression que c'est une bonne idée de rendre un environnement plus vulnérable. Hormis les hypothèses, faire les bonnes choses prend plus de temps et d’efforts ... mais il y a des cas où la bonne chose est le meilleur choix.

En ce qui concerne votre question "devrais-je faire une puanteur?" Je suggérerais qu'une évaluation des risques (problème, probabilité, impact, atténuation) soit documentée et présentée aux parties prenantes. Si vous prenez une décision isolée sans la communiquer et qu'il y a une violation importante, cela pourrait être de mauvais augure pour vous.