Které porty jsou v mé síti otevřené? Jak to zjistit a které zavřít
Co je otevřený port, jak zjistit, které porty nabízí router, tiskárna, NAS a počítače, které jsou v domácí nebo malé kancelářské síti riskantní — a jak je zavřít.
Co vlastně je otevřený port
Každé zařízení v síti může nabízet služby: webovou stránku pro nastavení, sdílení souborů, vzdálenou plochu, tisk. Každá služba naslouchá na očíslovaném portu — web na 80 a 443, sdílení souborů na 445, vzdálená plocha na 3389. Port je otevřený, když na něm zařízení něco odpovídá.
Otevřený port sám o sobě problém není. Tiskárna musí odpovídat na svém tiskovém portu a router musí odpovídat na portu 53, aby všem překládal názvy. Problém je port, který je otevřený, i když ho nikdo nepotřebuje, nebo port, který nabízí starý, nešifrovaný či snadno uhodnutelný přístup. Většina průniků do domácích a malých kancelářských sítí začíná právě tam: u zapomenuté služby, stále s továrním nastavením.
Zevnitř, nebo zvenku: dvě různé otázky
Dívat se dá ze dvou míst a každé odpovídá na jinou otázku.
- Zevnitř sítě vidíte vše, co každé zařízení nabízí ostatním zařízením kolem sebe: webovou stránku tiskárny, sdílené složky NASu, vzdálenou plochu počítače. To je to, k čemu by se dostal telefon návštěvy nebo napadená chytrá zásuvka.
- Z internetu vidíte jen to, co router pustí dovnitř — obvykle vůbec nic, pokud někdo nenastavil přesměrování portů nebo nezapnul UPnP, které zařízením dovoluje otevírat porty na routeru samo.
Záleží na obou. Začněte zevnitř, protože tam je nejvíc překvapení, a pak zkontrolujte samotný router.
Jak to zkontrolovat zevnitř
Skener portů zaklepe na řadu portů zařízení a zapíše, které odpoví. Tři volby rozhodují, jak dlouho to trvá a co najde:
- Cíl. Začněte routerem (bránou, obvykle
192.168.1.1nebo192.168.0.1), pak zařízeními, na kterých vám nejvíc záleží: NAS, počítače, kamery. - Které porty. Několik desítek běžných portů pokryje téměř každou službu, se kterou se doma nebo v kanceláři setkáte, a trvá to pár sekund. Celý rozsah známých portů, 1–1024, je důkladnější. Vlastní seznam se hodí, když hledáte něco konkrétního.
- TCP a UDP. Většina služeb používá TCP, ale několik důležitých používá UDP — DNS, NTP, SNMP, NetBIOS — a mnoho skenerů je vynechává. Port UDP se počítá jako otevřený, jen když zařízení opravdu odpoví, takže dobrý skener posílá pro každý protokol skutečný dotaz místo hádání.
Které porty si zaslouží pozornost
V domácí nebo malé kancelářské síti si tyto zaslouží druhý pohled:
| Port | Služba | Proč na tom záleží |
|---|---|---|
| 21, 23 | FTP, Telnet | Staré protokoly, které posílají hesla v otevřeném textu. Dnes zřídka potřeba. |
| 80 | Web bez šifrování | V pořádku pro stavovou stránku tiskárny; horší pro přihlašovací stránku routeru. |
| 445, 139 | Sdílení souborů Windows (SMB) | Klasická cesta, kterou se malware šíří z počítače na počítač. Omezte ho na stroje, které opravdu sdílejí soubory. |
| 3389 | Vzdálená plocha | Neustále napadaná, když je dostupná z internetu. Uvnitř jen na počítačích, které ji potřebují. |
| 5900 | VNC | Vzdálené ovládání, často se slabým heslem nebo bez hesla. |
| 1900, 5000 | UPnP | Nechá zařízení samo otevírat porty na routeru. |
| 161 | SNMP | Užitečné pro monitoring, ale s výchozí community public může zařízení číst kdokoli v síti. |
| 554, 8000, 8080 | Kamery a administrační stránky | Levné kamery a udělátka mívají výchozí hesla. |
Hledáte nesoulad: službu na zařízení, které nemá důvod ji nabízet, nebo službu, o které jste nevěděli.
Jak zavřít, co nepotřebujete
- Vypněte službu přímo na zařízení. Port se zavře, když na něm nic nenaslouchá: vypněte Telnet na routeru, sdílení souborů na počítači, který nic nesdílí, webové rozhraní kamery, kterou používáte jen přes aplikaci.
- Odstraňte z routeru přesměrování portů, která už nepoužíváte, a vypněte UPnP, pokud ho opravdu nepotřebuje herní konzole nebo aplikace.
- Změňte výchozí hesla všude, kde zůstává otevřená administrační stránka nebo vzdálený přístup — router, NAS, kamery, tiskárny.
- Aktualizujte firmware: mnoho starých služeb je v novějších verzích opraveno nebo odstraněno.
- Přesuňte udělátka do sítě pro hosty, pokud ji router má, aby se kamera nebo chytrá zásuvka k vašim počítačům vůbec nedostaly.
Pak skenujte znovu. Seznam by měl být kratší a každý řádek by měl být něco, co umíte vysvětlit.
Jak na to s NetBlade na iPhonu
NetBlade pro iPhone a iPad tu kontrolu udělá z kapsy, bez účtu:
- karta Porty proskenuje jakékoli zařízení: zadejte adresu nebo klepněte na Použít bránu pro router a zvolte Běžné, 1–1024 nebo Vlastní;
- každý otevřený port má službu, krátký popis a úroveň rizika, TCP a UDP vedle sebe, se skutečnými sondami UDP pro DNS, NTP, TFTP, mDNS, NetBIOS a SNMP;
- Hledat CVE u portu otevře pro danou službu databázi National Vulnerability Database;
- na kartě LAN udělají podrobnosti každého zařízení z jeho otevřených portů skóre zabezpečení ze 100, s radou ke každému nálezu;
- výsledek můžete sdílet z horní lišty.
Skenování portů a skóre zabezpečení jsou zdarma. Proskenujte jednou router a nejdůležitější zařízení, zavřete, co nepoznáváte, a nechte síť uloženou: až aplikaci příště otevřete, její historie ukáže, co se změnilo.