1台のコンピューターのポートを転送するポートは、ネットワーク内の他のコンピューターも公開しますか？
ポートフォワーディングにより、コンピュータがセキュリティ違反にさらされることを読みました。 1台のコンピューターのポートを転送するポートは、ネットワーク内の他のコンピューターも公開しますか？
ルーターは、信頼できるマシンと信頼できないマシンの間の境界と見なすことができます。ポートフォワードを行うと、信頼できないマシンから信頼できるマシンへのアクセスが許可されます。これにより、マシンの信頼性が自動的に低下します。これは、ポートフォワーディングの場合、接続が確立されるたびに、信頼できないマシンが信頼できるマシンの動作に影響を与えることは許容できると言っているためです。
マシン上の特定のサービスへのアクセスのみを許可する場合があるため、影響は既知の量（Webページの提供など）に限定する必要がありますが、許可しているアプリケーションに悪用可能な脆弱性がないという保証はありません。外部の関係者がアクセスします。脆弱性が存在し、悪用された場合、最悪のケースは、他の誰かがあなたのマシンを制御していることです。彼らがあなたのマシンを制御している場合、彼らはそれをジャンプポイントとして使用して、ネットワーク内の他のマシンの脆弱性を調査することができます。
これが、企業環境では、インターネットから直接アクセスされるすべてのマシンがファイアウォールを介してネットワークの他の部分から確実に分離されるように努力している理由です。これは、攻撃者がネットワークにさらに侵入する能力を制限するのに役立ちます。
したがって、これは受け入れる必要のあるリスクであり、リスクをより適切に定義するのに役立ちます。公開されているアプリケーションの履歴、つまり重大な脆弱性が発見される頻度と、それらに対処する速度を調べる必要があります。
あなたが採用できる緩和戦略はあなたの被ばくを減らすことについてです。これは、サービスを使用する場合はポート転送のみを行うか、不要な場合はアプリケーションを閉じることで実行できます。
マシンへのポートを開くとそのマシンが危険にさらされる可能性があるという仮定を受け入れる場合は、そうです。マシンのすべてのポートは、同じネットワーク上の他のすべてのマシンに対して開かれています。したがって、ポートXをマシンYに開くと、マシンYが危険にさらされる場合、マシンYを危険にさらした人は誰でも、マシンZのポートXにアクセスできます。したがって、マシンZも危険にさらされる可能性があります。
しかし、これは、「セキュリティ違反にさらされる」などの一般的な話をするのは、あまりにも曖昧すぎて役に立たないことを示しています。マシンを接続すると、セキュリティ違反にさらされます。定量化されていないレベルのリスクに対処することは、ばかげた結論につながります。
いいえ、そうではありません-少なくとも一般的には。ただし、あるポートを1つのマシンに転送すると、この特定のアプリケーションが攻撃/悪用される可能性が高くなります。この間、ワーム/トロイの木馬などの悪意のあるコードが実行され、内部ネットワークに拡散する可能性があります。
あんまり。ポートフォワーディングがないと、宛先を判別できないため、着信パケットはルーターによってドロップされます。ポートを転送することにより、これらのパケットは特定のマシンに向けられます。これは一般的に無害です。とにかくファイアウォールは不要なパケットをドロップします。そうでない場合でも、その特定のポートをリッスンするプログラムはなく、パケットはマシンに影響を与えません。もちろん、最初にポートフォワードを設定したプログラムを除きますが、これは意図された動作です。 。
使用しているプログラムにセキュリティ上の欠陥がある可能性があります。ポートが開いていると、攻撃者はこれらの欠陥を悪用することができます。ポートを開かないことは、マシンをインターネットからアクセスしにくくすることによって保護のレベルを追加しますが、それ自体はおそらく逆効果です。これは、コンピュータの電源を永久に切るという非常に効果的なセキュリティ対策に相当します。
ネットワーク内の他のマシンは、このような攻撃にさらされることはありません。あなたが彼らの隣人に転送するかもしれない港に関係なく、彼らはまだ外の世界にアクセスできません。リスクは、露出したマシンが危険にさらされる可能性があるという事実にあります。通常NATのレイヤーで保護されているマシンは、ローカルネットワーク上の信頼されていないホストのために脆弱になります。
部分的には、この理由からNATは一般に強力なセキュリティレイヤーとは見なされておらず、そこに穴を開けてもネットワークが危険にさらされることはありません。アプリケーションが信頼できるマシンによってのみ使用される場合は、ポートフォワードではなくVPN。より一般的には、どのホストが信頼できると見なされるかに注意してください。