T1599.001: 网络地址转换穿越

摘要

攻击者可能通过修改网络设备的网络地址转换（NAT）配置来桥接网络边界。对 NAT 的恶意修改可能使攻击者绕过原本用于隔离可信网络与不可信网络的流量路由限制。 连接多个网络的路由器、防火墙等网络设备可能在网络之间转发数据包的过程中实施 NAT。执行 NAT 时，网络设备会重写 IP 地址报头的源地址和/或目标地址。某些网络设计要求数据包必须经过 NAT 才能穿过边界设备。一个典型例子是内部网络使用非互联网可路由地址的环境。(Citation: RFC1918) 当攻击者获得对网络边界设备的控制权时，他们可能修改 NAT 配置以在两个被隔离的网络之间发送流量，或掩盖其活动。在需要 NAT 才能正常工作的网络设计中，此类修改使攻击者能够克服通常会阻止其访问边界设备后方受保护系统的固有路由限制。在不需要 NAT 的网络设计中，攻击者可能使用地址转换来进一步掩盖其活动，因为更改穿过网络边界设备的数据包的地址会使防御者更难以监控数据传输。 攻击者可能使用[修补系统镜像](https://attack.mitre.org/techniques/T1601/001)来更改网络设备的操作系统，实施自己的自定义 NAT 机制以进一步掩盖其活动。