Ağ adres çevirisi, iç ağda kullanılan özel adreslerin dış ağa çıkarken genel adreslere dönüştürülmesi işlemidir. Bu dönüşüm, sınırlı sayıdaki genel adresin çok sayıda iç cihaz tarafından paylaşılmasını sağlar. Teknoloji, adres kıtlığına çözüm olarak geliştirilmiştir. Güvenlik amacı taşımaz ancak dolaylı bir koruma etkisi üretir. İç adresler dışarıdan görünmez ve dışarıdan başlatılan bağlantılar varsayılan olarak geçmez. Bu etki, bir güvenlik kontrolü sayılmamalıdır.

Dönüşüm, sınır cihazında tutulan bir tablo üzerinden yapılır. İç bir cihaz dışarı bağlantı başlattığında tabloya bir kayıt eklenir ve dönen yanıtlar bu kayıt üzerinden ilgili cihaza iletilir. Tablo dolduğunda yeni bağlantılar kurulamaz. Bu kapasite, boyutlandırmada dikkate alınmalıdır. Yoğun ortamlarda sınır oluşturabilir. İzlenmesi önerilir.

Ağ Adres Çevirisi Nedir?

Ağ adres çevirisi, iç ağdaki özel adreslerin dış ağa çıkarken genel adreslere dönüştürülmesini sağlayan ve bu dönüşümü bir tabloda izleyen mekanizmadır.

Birkaç türü bulunur. Statik çeviride bir iç adres, sabit bir genel adrese eşlenir; sunucu yayınlamada kullanılır. Dinamik çeviride bir adres havuzundan atama yapılır. Port tabanlı çeviride ise tek bir genel adres, port numaraları kullanılarak çok sayıda iç cihaz tarafından paylaşılır. Üçüncü tür en yaygın kullanılandır. Adres tasarrufu en yüksektir.

Güvenlik Etkisi

Mekanizmanın en sık dile getirilen güvenlik etkisi, dışarıdan başlatılan bağlantıların varsayılan olarak geçmemesidir. Tabloda karşılığı olmayan bir paket iletilecek iç adres bulunamadığı için düşürülür. Bu davranış, dışarıdan doğrudan erişimi engeller. Ancak bu bir güvenlik duvarı değildir. Kural tabanlı denetim yapmaz. İki mekanizma karıştırılmamalıdır.

İç adreslerin gizlenmesi de bir yan etkidir. Dışarıdan bakıldığında yalnızca genel adres görünür ve iç topoloji açığa çıkmaz. Bu gizleme, keşif çalışmasını bir miktar zorlaştırır. Yine de belirsizliğe dayanan bir koruma olduğu unutulmamalıdır. Asıl koruma erişim kontrolüyle sağlanır. Bu ayrım önemlidir.

• Statik çeviri: sabit bire bir eşleme
• Dinamik çeviri: havuzdan adres atama
• Port tabanlı çeviri: tek adresin paylaşılması
• Kaynak çevirisi: çıkış trafiği için
• Hedef çevirisi: gelen trafiğin yönlendirilmesi

Sınırları ve Yan Etkileri

Mekanizma, uçtan uca bağlantı modelini bozar. Bazı protokoller ve uygulamalar bu bozulmadan olumsuz etkilenir. Sesli görüşme ve eşler arası uygulamalar için ek çözümler gerekir. Bu çözümler karmaşıklık üretir. Tasarımda dikkate alınmalıdır. Sorun giderme zorlaşır.

İzlenebilirlik de etkilenir. Çok sayıda iç cihazın tek bir genel adresi paylaşması, dış kayıtlarda hangi cihazın hangi işlemi yaptığını belirlemeyi zorlaştırır. Bu belirleme için çeviri kayıtlarının tutulması gerekir. Bu kayıtlar yüksek hacimlidir. Saklama planlaması yapılmalıdır. Yasal yükümlülükler de değerlendirilir.

Ayrıca mekanizma, iç ağdan dışarı giden trafiği engellemez. Ele geçirilmiş bir iç cihaz, dışarıyla serbestçe iletişim kurabilir. Bu nedenle çıkış denetimi ayrıca kurulmalıdır. Güvenlik duvarı kuralları bu denetimi sağlar. İki mekanizma birlikte çalışır. Tek başına yeterli değildir.

Sunucu Yayınlamada Kullanımı

Statik çeviri, iç ağdaki bir sunucunun dışarıya açılması için kullanılır. Bir genel adres, iç bir sunucuya sabit olarak eşlenir ve tüm trafiği ona iletilir. Bu yapılandırma, sunucuyu tüm internete açar. Bu nedenle güvenlik duvarı kurallarıyla desteklenmesi zorunludur. Yalnızca gerekli portlara izin verilmelidir. Kısıtlamasız yayınlama kabul edilemez.

Yayınlanan sunucunun ayrı bir bölgede konumlandırılması da gereklidir. İç ağda bulunan bir sunucunun doğrudan yayınlanması, ele geçirme durumunda saldırganı iç ağa taşır. DMZ tasarımı bu ayrımı sağlar. Bu ilke sık ihlal edilir. Denetimlerde bulgu üretir.

Yayınlama yerine aracı katman kullanımı da tercih edilebilir. Ters proxy ya da içerik dağıtım ağı üzerinden yayın, ek filtreleme ve kayıt sağlar. Doğrudan çeviri bu yeteneklerden yoksundur. Mimari tercih güvenlik sonucunu değiştirir. Karar tasarım aşamasında verilir. Sonradan değiştirmek zordur.

Kayıt ve İzlenebilirlik

Çeviri kayıtlarının tutulması, iç cihazların dış etkinliğinin izlenebilmesi için gereklidir. Bu kayıtlar hangi iç adresin hangi zaman aralığında hangi genel adres ve portu kullandığını gösterir. Olay incelemelerinde bu eşleme kritik önemdedir. Kayıt olmadan iç cihaz belirlenemez. Hacim yüksektir. Saklama planlanmalıdır.

Bazı yargı bölgelerinde bu kayıtların belirli süre saklanması yasal yükümlülüktür. Bu yükümlülüklerin bilinmesi ve karşılanması gerekir. Saklama süresi ve kayıt içeriği mevzuata göre belirlenir. Hukuk birimi görüş vermelidir. Teknik uygulama buna göre yapılır. Denetimde sorulur.

Kayıtların merkezî toplanması da önerilir. Cihaz üzerinde tutulan kayıtlar sınırlı süre saklanır ve korelasyon için yetersizdir. Log yönetimi altyapısına aktarılmalıdır. Hacim planlaması yapılır. Filtreleme gerekebilir. Değer entegrasyonla üretilir.

Bulut Ortamlarında Karşılığı

Bulut ortamlarında bu mekanizma, ağ geçidi hizmetleriyle sağlanır. Özel alt ağdaki kaynaklar, bir çıkış ağ geçidi üzerinden internete erişir. Bu kaynaklar dışarıdan doğrudan erişilebilir değildir. Yapı, klasik tasarımın bulut karşılığıdır. İlke aynıdır. Uygulama araçları farklıdır.

Gelen erişim için ise ayrı bileşenler kullanılır. Yük dengeleyici ya da uygulama ağ geçidi, dışarıdan gelen istekleri karşılar ve iç kaynaklara iletir. Bu bileşenler ek filtreleme yetenekleri de sunar. Doğrudan adres ataması yerine bu bileşenlerin kullanılması önerilir. Güvenlik açısından fark büyüktür. Mimari tercih önemlidir.

Çıkış trafiğinin denetlenmesi bulut ortamlarında da gereklidir. Ağ geçidi üzerinden geçen trafiğin kaydedilmesi ve filtrelenmesi mümkündür. Bu kayıtlar, komuta kontrol tespiti için değerlidir. Yapılandırma çoğu ortamda eksiktir. Kontrol edilmelidir. Kayıt toplanmalıdır.

Privia Security olarak ağ sınır tasarımını ve çıkış denetimi kapsamını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.