Mely portok vannak nyitva a hálózatomon? Hogyan ellenőrizd, és melyiket zárd be
Mi az a nyitott port, hogyan látod, mely portokat kínál a router, a nyomtató, a NAS és a számítógépek, melyek kockázatosak egy otthoni vagy kisirodai hálózaton – és hogyan zárd be őket.
Mi is valójában egy nyitott port
A hálózat minden eszköze kínálhat szolgáltatásokat: weboldalt a beállításához, fájlmegosztást, távoli asztalt, nyomtatást. Minden szolgáltatás egy számozott porton figyel – a web a 80-ason és a 443-ason, a fájlmegosztás a 445-ösön, a távoli asztal a 3389-esen. Egy port akkor nyitott, ha az eszközön ott valami válaszol.
Egy nyitott port önmagában nem gond. A nyomtatónak válaszolnia kell a nyomtatási portján, és a routernek válaszolnia kell az 53-ason, hogy mindenkinek feloldja a neveket. A gond az a port, amely nyitva van, pedig senkinek sem kell, vagy amely régi, titkosítatlan vagy könnyen kitalálható jelszavú hozzáférést kínál. Az otthoni és kisirodai hálózatokba való betörések többsége pontosan itt kezdődik: egy elfelejtett szolgáltatásnál, amely még gyári beállításokkal fut.
Belülről vagy kívülről: két különböző kérdés
Két helyről lehet nézni, és mindkettő más kérdésre felel.
- A hálózatodon belülről mindent látsz, amit az egyes eszközök a körülöttük lévőknek kínálnak: a nyomtató weboldalát, a NAS megosztásait, a gép távoli asztalát. Ezt érhetné el egy vendég telefonja vagy egy feltört okoskonnektor.
- Az internet felől csak azt látod, amit a router átenged – általában semmit, hacsak valaki be nem állított porttovábbítást vagy be nem kapcsolta az UPnP-t, amellyel az eszközök maguktól nyithatnak portot a routeren.
Mindkettő számít. Kezdd belülről, mert ott van a legtöbb meglepetés, aztán ellenőrizd magát a routert.
Hogyan ellenőrizd belülről
A portszkenner végigkopogtat egy eszköz portjain, és feljegyzi, melyik válaszol. Három döntés határozza meg, mennyi ideig tart és mit talál:
- A cél. Kezdd a routerrel (az átjáróval, általában
192.168.1.1vagy192.168.0.1), aztán jöhetnek a számodra legfontosabb eszközök: a NAS, a számítógépek, a kamerák. - Mely portok. Az a néhány tucat gyakori port szinte minden szolgáltatást lefed, amellyel otthon vagy az irodában találkozol, és pár másodperc. A jól ismert portok teljes tartománya, 1–1024, alaposabb. Az egyéni lista akkor jó, ha valami konkrétat keresel.
- TCP és UDP. A legtöbb szolgáltatás TCP-t használ, de néhány fontos UDP-t – DNS, NTP, SNMP, NetBIOS –, és sok szkenner kihagyja őket. Egy UDP-port csak akkor számít nyitottnak, ha az eszköz tényleg válaszol, ezért egy jó szkenner minden protokollhoz valódi kérést küld, ahelyett hogy találgatna.
Mely portok érdemelnek figyelmet
Egy otthoni vagy kisirodai hálózaton ezek megérnek egy második pillantást:
| Port | Szolgáltatás | Miért számít |
|---|---|---|
| 21, 23 | FTP, Telnet | Régi protokollok, amelyek nyílt szövegként küldik a jelszavakat. Ma ritkán kellenek. |
| 80 | Titkosítatlan web | Rendben van egy nyomtató állapotoldalán; rosszabb a router bejelentkezési oldalán. |
| 445, 139 | Windows-fájlmegosztás (SMB) | A klasszikus út, amelyen a kártevő gépről gépre terjed. Korlátozd azokra a gépekre, amelyek tényleg osztanak meg fájlokat. |
| 3389 | Távoli asztal | Folyamatosan támadják, ha az internetről elérhető. Belül csak azokon a gépeken legyen, amelyeknek kell. |
| 5900 | VNC | Távvezérlés, gyakran gyenge jelszóval vagy jelszó nélkül. |
| 1900, 5000 | UPnP | Hagyja, hogy az eszközök maguktól nyissanak portot a routeren. |
| 161 | SNMP | Hasznos a megfigyeléshez, de az alapértelmezett public community-vel bárki kiolvashatja az eszközt a hálózaton. |
| 554, 8000, 8080 | Kamerák és adminoldalak | Az olcsó kamerák és kütyük gyakran alapértelmezett jelszóval érkeznek. |
Amit keresel, az ellentmondás: egy szolgáltatás olyan eszközön, amelynek nincs oka kínálni, vagy egy szolgáltatás, amelyről nem is tudtál.
Hogyan zárd be, ami nem kell
- Kapcsold ki a szolgáltatást magán az eszközön. Egy port akkor zárul be, ha semmi sem figyel rajta: kapcsold ki a Telnetet a routeren, a fájlmegosztást egy gépen, amely semmit sem oszt meg, egy kamera webes felületét, ha csak az alkalmazásán át használod.
- Töröld a routerből a porttovábbításokat, amelyeket már nem használsz, és kapcsold ki az UPnP-t, hacsak egy játékkonzolnak vagy alkalmazásnak tényleg nincs rá szüksége.
- Változtasd meg az alapértelmezett jelszavakat mindenen, ami adminoldalt vagy távoli hozzáférést tart nyitva – router, NAS, kamerák, nyomtatók.
- Frissítsd a firmware-t: sok régi szolgáltatást az újabb verziók javítanak vagy eltávolítanak.
- Tedd a kütyüket a vendéghálózatra, ha a routered tud ilyet, hogy egy kamera vagy okoskonnektor egyáltalán ne érje el a gépeidet.
Aztán szkennelj újra. A listának rövidebbnek kell lennie, és minden sorának olyasminek, amit meg tudsz magyarázni.
Így megy a NetBlade-del iPhone-on
Az iPhone-os és iPades NetBlade a zsebedből végzi el az ellenőrzést, fiók nélkül:
- a Portok lap bármely eszközt átvizsgál: írj be egy címet, vagy koppints az Átjáró használata gombra a routerhez, majd válaszd a Gyakori, 1–1024 vagy Egyéni lehetőséget;
- minden nyitott port mellett ott a szolgáltatás, egy rövid leírás és a kockázati szint, TCP és UDP egymás mellett, valódi UDP-próbákkal DNS-hez, NTP-hez, TFTP-hez, mDNS-hez, NetBIOS-hoz és SNMP-hez;
- a port melletti CVE keresése megnyitja a National Vulnerability Database-t az adott szolgáltatáshoz;
- a LAN lapon minden eszköz részletei a nyitott portjaiból 100 pontos biztonsági pontszámot készítenek, minden megállapításhoz tanáccsal;
- az eredményt a felső sávból megoszthatod.
A portszkennelés és a biztonsági pontszám ingyenes. Szkenneld át egyszer a routert és a legfontosabb eszközeidet, zárd be, amit nem ismersz fel, és tartsd elmentve a hálózatot: amikor legközelebb megnyitod az alkalmazást, az előzményei megmutatják, mi változott.