ネットワークで開いているポートは？確認のしかたと、閉じるべきポート

開いているポートとは何か

ネットワーク上の機器はそれぞれサービスを提供できます。設定用の Web ページ、ファイル共有、リモートデスクトップ、印刷などです。各サービスは番号の付いたポートで待ち受けます。Web は 80 と 443、ファイル共有は 445、リモートデスクトップは 3389 です。機器の中でそのポートに何かが応答するとき、ポートは開いています。

開いているポート自体は問題ではありません。プリンターは印刷用のポートで応答しなければならず、ルーターは全員のために名前を解決するため 53 番で応答しなければなりません。問題なのは、誰も必要としていないのに開いているポートや、古い・暗号化されていない・推測しやすいパスワードの入口を提供しているポートです。家庭や小規模オフィスのネットワークへの侵入の多くは、まさにそこから始まります。工場出荷時の設定のまま忘れられたサービスです。

内側から見るか、外側から見るか：別々の問い

見る場所は二つあり、それぞれ違う問いに答えます。

• ネットワークの内側からは、各機器が周りの機器に提供しているものがすべて見えます。プリンターの Web ページ、NAS の共有フォルダー、PC のリモートデスクトップ。来客のスマートフォンや、乗っ取られたスマートプラグが届いてしまうのはここです。
• インターネットからは、ルーターが通すものしか見えません。誰かがポート転送を設定したり、機器が自分でルーターのポートを開けられる UPnP を有効にしたりしていなければ、通常は何も見えません。

どちらも大切です。驚きの多くは内側にあるので内側から始め、そのあとルーター自体を確認しましょう。

内側からの確認方法

ポートスキャナーは機器の一連のポートをノックし、応答したものを記録します。かかる時間と見つかるものは、次の三つの選択で決まります。

1. 対象。 まずルーター（ゲートウェイ。通常は 192.168.1.1 か 192.168.0.1）から始め、次に大切な機器、つまり NAS、PC、カメラへ進みます。
2. どのポートか。 数十個の一般的なポートで、家庭やオフィスで出会うほぼすべてのサービスをカバーでき、数秒で終わります。よく知られたポートの全範囲 1–1024 はより徹底的です。特定のものを探すときはカスタムのリストを使います。
3. TCP と UDP。 ほとんどのサービスは TCP を使いますが、DNS、NTP、SNMP、NetBIOS など重要なものの一部は UDP を使い、多くのスキャナーはこれを飛ばします。UDP ポートは機器が実際に応答したときだけ開いていると数えられるため、良いスキャナーは推測せず、プロトコルごとに本物の要求を送ります。

注意すべきポート

家庭や小規模オフィスのネットワークでは、次のポートはもう一度確認する価値があります。

ポート	サービス	注意する理由
21, 23	FTP、Telnet	パスワードを平文で送る古いプロトコル。今ではほとんど不要です。
80	暗号化されていない Web	プリンターの状態ページなら問題ありませんが、ルーターのログインページだと好ましくありません。
445, 139	Windows のファイル共有（SMB）	マルウェアが PC から PC へ広がる典型的な経路。本当にファイルを共有する PC だけに限りましょう。
3389	リモートデスクトップ	インターネットから届くと絶えず攻撃されます。内側でも必要な PC だけにしましょう。
5900	VNC	遠隔操作。パスワードが弱いか、ないことがよくあります。
1900, 5000	UPnP	機器が自分でルーターのポートを開けられるようにします。
161	SNMP	監視には便利ですが、既定のコミュニティ public のままだとネットワーク上の誰でも機器を読み取れます。
554, 8000, 8080	カメラと管理ページ	安価なカメラやガジェットは既定のパスワードのまま出荷されることがよくあります。

探しているのは食い違いです。提供する理由のない機器で動いているサービスや、存在を知らなかったサービスです。

不要なものを閉じる方法

1. 機器そのものでサービスを止める。 何も待ち受けなくなればポートは閉じます。ルーターの Telnet、何も共有していない PC のファイル共有、アプリからしか使わないカメラの Web 画面をオフにしましょう。
2. 使っていないポート転送をルーターから削除し、ゲーム機やアプリが本当に必要としない限り UPnP をオフにする。
3. 管理ページやリモートアクセスを開いたままにしているものはすべて、既定のパスワードを変更する。ルーター、NAS、カメラ、プリンター。
4. ファームウェアを更新する。 古いサービスの多くは新しいバージョンで修正されるか削除されています。
5. ルーターにゲストネットワークがあればガジェットをそちらへ移す。カメラやスマートプラグが PC にまったく届かなくなります。

そしてもう一度スキャンします。リストは短くなっているはずで、その一行一行が自分で説明できるものになっているはずです。

iPhone の NetBlade で行う

iPhone・iPad 版 NetBlade なら、アカウントなしでポケットから確認できます。

• ポートタブで任意の機器をスキャンできます。アドレスを入力するか、ルーターならゲートウェイを使用をタップし、一般、1–1024、カスタムから選びます。
• 開いているポートごとにサービス、短い説明、リスクレベルが表示され、TCP と UDP が並び、DNS、NTP、TFTP、mDNS、NetBIOS、SNMP には本物の UDP プローブを使います。
• ポートの横の CVE を検索で、そのサービスの National Vulnerability Database を開けます。
• LAN タブでは、各機器の詳細が開いているポートから 100 点満点のセキュリティスコアを出し、指摘ごとにアドバイスを添えます。
• 結果は上部のバーから共有できます。

ポートスキャンとセキュリティスコアは無料です。ルーターと大切な機器を一度スキャンし、心当たりのないものを閉じ、ネットワークを保存しておきましょう。次にアプリを開いたとき、その履歴で何が変わったかがわかります。

← すべての記事 iPhone版NetBlade →