Quali porte sono aperte sulla mia rete? Come controllarle e quali chiudere
Cos'è una porta aperta, come vedere quali espongono router, stampante, NAS e PC, quali sono rischiose in una rete di casa o di un piccolo ufficio, e come chiuderle.
Cos’è davvero una porta aperta
Ogni dispositivo in rete può offrire dei servizi: una pagina web per configurarlo, la condivisione dei file, il desktop remoto, la stampa. Ogni servizio ascolta su una porta numerata: il web sulla 80 e sulla 443, la condivisione dei file sulla 445, il desktop remoto sulla 3389. Una porta è aperta quando sul dispositivo qualcosa risponde lì.
Una porta aperta non è un problema di per sé. La stampante deve rispondere sulla sua porta di stampa, e il router deve rispondere sulla 53 per risolvere i nomi per tutti. Il problema è una porta aperta quando non serve a nessuno, o una che offre un accesso vecchio, non cifrato o con una password facile da indovinare. La maggior parte delle intrusioni nelle reti di casa e dei piccoli uffici comincia proprio lì: un servizio dimenticato, ancora con le impostazioni di fabbrica.
Da dentro o da fuori: due domande diverse
Si può guardare da due punti, e rispondono a domande diverse.
- Dall’interno della rete vedi tutto quello che ogni dispositivo offre agli altri intorno a lui: la pagina web della stampante, le cartelle condivise del NAS, il desktop remoto del PC. È quello che potrebbe raggiungere il telefono di un ospite, o una presa smart compromessa.
- Da internet vedi solo quello che il router lascia passare: di solito niente, a meno che qualcuno non abbia impostato un port forwarding o attivato l’UPnP, che permette ai dispositivi di aprire porte sul router da soli.
Contano entrambe. Comincia dall’interno, perché è lì che ci sono più sorprese, poi controlla il router.
Come controllare dall’interno
Uno scanner di porte bussa a una serie di porte di un dispositivo e annota quali rispondono. Tre scelte decidono quanto tempo ci vuole e cosa trova:
- L’obiettivo. Comincia dal router (il gateway, di solito
192.168.1.1o192.168.0.1), poi passa ai dispositivi che ti stanno più a cuore: il NAS, i PC, le telecamere. - Quali porte. Le poche decine di porte comuni coprono quasi tutti i servizi che si incontrano a casa o in ufficio, e bastano pochi secondi. L’intervallo completo delle porte note, 1–1024, è più accurato. Un elenco personalizzato serve quando cerchi qualcosa di preciso.
- TCP e UDP. La maggior parte dei servizi usa TCP, ma alcuni importanti usano UDP (DNS, NTP, SNMP, NetBIOS) e molti scanner li saltano. Una porta UDP conta come aperta solo se il dispositivo risponde davvero, quindi un buon scanner manda una richiesta vera per ogni protocollo invece di tirare a indovinare.
Le porte che meritano attenzione
In una rete di casa o di un piccolo ufficio, queste meritano una seconda occhiata:
| Porta | Servizio | Perché conta |
|---|---|---|
| 21, 23 | FTP, Telnet | Protocolli vecchi che mandano le password in chiaro. Oggi servono di rado. |
| 80 | Web, non cifrato | Va bene per la pagina di stato di una stampante; peggio per la pagina di accesso del router. |
| 445, 139 | Condivisione file di Windows (SMB) | La via classica con cui un malware passa da un PC all’altro. Limitala ai computer che condividono davvero dei file. |
| 3389 | Desktop remoto | Attaccato di continuo quando è raggiungibile da internet. All’interno, tienilo solo sui PC che ne hanno bisogno. |
| 5900 | VNC | Controllo remoto, spesso con una password debole o senza password. |
| 1900, 5000 | UPnP | Permette ai dispositivi di aprire porte sul router per conto loro. |
| 161 | SNMP | Utile per il monitoraggio, ma con la community predefinita public chiunque sulla rete può leggere il dispositivo. |
| 554, 8000, 8080 | Telecamere e pagine di amministrazione | Telecamere e gadget economici escono spesso con password predefinite. |
Quello che cerchi è una stonatura: un servizio su un dispositivo che non ha motivo di offrirlo, o un servizio che non sapevi ci fosse.
Come chiudere quello che non serve
- Spegni il servizio sul dispositivo stesso. Una porta si chiude quando niente ci ascolta più: disattiva Telnet sul router, la condivisione dei file su un PC che non condivide niente, l’interfaccia web di una telecamera che usi solo dalla sua app.
- Togli dal router i port forwarding che non usi più e disattiva l’UPnP, a meno che una console o un’app non ne abbiano davvero bisogno.
- Cambia le password predefinite di tutto ciò che tiene aperta una pagina di amministrazione o un accesso remoto: router, NAS, telecamere, stampanti.
- Aggiorna il firmware: molti servizi vecchi vengono corretti o tolti nelle versioni nuove.
- Sposta i gadget sulla rete ospiti, se il router ne ha una, così una telecamera o una presa smart non possono proprio raggiungere i tuoi PC.
Poi ripeti la scansione. L’elenco dovrebbe essere più corto, e ogni riga dovrebbe essere qualcosa che sai spiegare.
Farlo con NetBlade su iPhone
NetBlade per iPhone e iPad fa il controllo dalla tasca, senza account:
- la scheda Porte analizza qualunque dispositivo: scrivi un indirizzo o tocca Usa gateway per il router, poi scegli Comuni, 1–1024 o Personalizzata;
- ogni porta aperta arriva con servizio, una breve descrizione e un livello di rischio, TCP e UDP fianco a fianco, con sonde UDP vere per DNS, NTP, TFTP, mDNS, NetBIOS e SNMP;
- Cerca CVE accanto a una porta apre il National Vulnerability Database per quel servizio;
- nella scheda LAN, i dettagli di ogni dispositivo trasformano le sue porte aperte in un punteggio di sicurezza su 100, con un consiglio per ogni rilievo;
- puoi condividere il risultato dalla barra in alto.
La scansione delle porte e il punteggio di sicurezza sono gratuiti. Analizza una volta il router e i dispositivi più importanti, chiudi quello che non riconosci e tieni la rete salvata: la prossima volta che apri l’app, la sua cronologia ti mostra cosa è cambiato.