Weryfikacja otwartych portów

Weryfikacja otwartych portów pozwala ustalić, czy instancja jest niepotrzebnie wystawiona na dostęp z sieci.

Co oznacza otwarty port sieciowy

Weryfikacja otwartych portów polega na sprawdzeniu, czy komputer lub urządzenie sieciowe przyjmuje połączenia przychodzące na określonych numerach portów TCP albo UDP. Port jest logicznym punktem komunikacji przypisanym do adresu IP. Sam fakt, że port ma numer od 0 do 65535, nie oznacza jeszcze, że jest używany. O dostępności decyduje działająca usługa, reguły zapory sieciowej oraz sposób podłączenia urządzenia do sieci.

W przypadku TCP klient najpierw nawiązuje połączenie, a serwer odpowiada w ramach mechanizmu ustanawiania sesji. Skaner może wtedy określić port jako otwarty, zamknięty albo filtrowany. Port zamknięty oznacza zwykle, że host jest osiągalny, ale nie nasłuchuje na danym porcie. Status filtrowany wskazuje, że zapora lub inne urządzenie pośredniczące nie pozwala jednoznacznie ustalić, czy za filtrem działa usługa. UDP nie ustanawia połączenia w taki sam sposób jak TCP, dlatego jego weryfikacja jest mniej jednoznaczna i może wymagać analizy odpowiedzi aplikacji.

Rozpoznanie usług nasłuchujących w systemie

Wynik skanowania numeru portu nie powinien być interpretowany bez sprawdzenia programu, który go wykorzystuje. W systemie Windows listę lokalnych połączeń i portów nasłuchujących można wyświetlić poleceniem netstat -ano. Opcja -a obejmuje połączenia oraz porty nasłuchujące, -n wyświetla adresy i porty w formie numerycznej, a -o pokazuje identyfikator procesu. Numer PID można następnie powiązać z programem w Menedżerze zadań albo poleceniem tasklist.

W nowszych wersjach Windows przydatne jest również polecenie PowerShell Get-NetTCPConnection -State Listen, które pokazuje nasłuchujące gniazda TCP. Dla konkretnego procesu można sprawdzić usługę lub aplikację, która uruchomiła dany PID. W systemach Linux często stosuje się ss -lntup; przełączniki określają odpowiednio gniazda nasłuchujące, TCP, brak rozwiązywania nazw, UDP oraz informacje o procesach. Narzędzia te pokazują stan lokalny, więc nie zastępują testu wykonywanego z innego urządzenia. Port może być dostępny tylko na interfejsie lokalnym, na przykład pod adresem 127.0.0.1, albo na adresie interfejsu sieciowego dostępnego dla innych hostów.

Test z sieci lokalnej i z Internetu

Rzetelna kontrola powinna uwzględniać punkt, z którego wykonywany jest test. Sprawdzenie komputera z tego samego urządzenia może potwierdzić lokalny nasłuch, ale nie pokaże pełnego działania zapory, routera ani przekierowania portów. Test z innego komputera w tej samej sieci pozwala ocenić dostępność usługi w sieci lokalnej. Jeżeli router przekierowuje port na konkretny adres prywatny, dodatkowo potrzebny jest test z zewnętrznej sieci, ponieważ niektóre routery nie obsługują poprawnie tzw. hairpin NAT.

Do kontrolowanego sprawdzenia pojedynczego portu TCP można użyć narzędzi takich jak Nmap, na przykład nmap -p 22,80,443 192.168.1.20 dla wskazanego hosta w sieci lokalnej. Skanowanie powinno obejmować wyłącznie urządzenia, do których właściciel ma uprawnienia. Nmap może także próbować rozpoznać usługę, lecz identyfikacja na podstawie numeru portu nie jest pewna: port 80 nie musi obsługiwać wyłącznie HTTP, a niestandardowa usługa może działać na dowolnym numerze. Dla komputera dostępnego z Internetu należy używać jego publicznego adresu IP i testować z sieci, która nie omija routera przez połączenie lokalne.

Interpretacja wyniku wymaga odróżnienia portu wystawionego bezpośrednio przez komputer od portu otwartego na routerze. Przekierowanie w routerze może kierować ruch do urządzenia znajdującego się za prywatnym adresem IPv4. Z kolei przy IPv6 urządzenie może otrzymać globalnie routowalny adres, a o dostępności decydują przede wszystkim reguły zapory IPv6. Operator może również stosować współdzielenie adresu za pomocą CGNAT, przez co klasyczne przekierowanie portów z Internetu nie będzie możliwe.

Ocena zasadności portu i ograniczenie ekspozycji

Otwarty port nie jest automatycznie dowodem infekcji ani awarii. Może być potrzebny programowi do udostępniania plików, zdalnej administracji, drukowania, gier sieciowych albo komunikacji urządzenia w sieci lokalnej. Problem pojawia się wtedy, gdy usługa działa bez potrzeby, używa nieaktualnego oprogramowania, akceptuje połączenia z niewłaściwych adresów lub korzysta z niezabezpieczonego protokołu. Dlatego po wykryciu portu trzeba ustalić nazwę procesu, właściciela konfiguracji, zakres dozwolonych adresów oraz wymagany sposób uwierzytelniania.

Najbezpieczniejszym działaniem jest wyłączenie nieużywanej usługi albo usunięcie przekierowania portu na routerze. Jeżeli usługa jest potrzebna, należy ograniczyć regułę zapory do wymaganych profili sieciowych i adresów źródłowych, zastosować aktualną wersję programu oraz używać szyfrowanego protokołu, jeżeli jest dostępny. Nie należy traktować zmiany numeru portu jako właściwego zabezpieczenia; może ona ograniczyć przypadkowy hałas skanów, ale nie usuwa podatności ani nie zastępuje uwierzytelniania. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym sprawdzaniem konfiguracji sieciowej oraz zapory podczas diagnostyki urządzenia.