Ce porturi sunt deschise în rețeaua mea? Cum verifici și pe care să le închizi
Ce este un port deschis, cum vezi ce porturi expun routerul, imprimanta, NAS-ul și calculatoarele, care sunt riscante într-o rețea de acasă sau de birou mic — și cum le închizi.
Ce este de fapt un port deschis
Fiecare dispozitiv din rețea poate oferi servicii: o pagină web pentru configurare, partajare de fișiere, desktop la distanță, imprimare. Fiecare serviciu ascultă pe un port numerotat — web pe 80 și 443, partajarea fișierelor pe 445, desktopul la distanță pe 3389. Un port este deschis când ceva de pe dispozitiv răspunde acolo.
Un port deschis nu e o problemă în sine. Imprimanta trebuie să răspundă pe portul de imprimare, iar routerul trebuie să răspundă pe 53 ca să traducă numele pentru toată lumea. Problema e un port deschis de care nu are nimeni nevoie, sau unul care oferă un acces vechi, necriptat ori cu o parolă ușor de ghicit. Cele mai multe intruziuni în rețelele de acasă și ale birourilor mici încep exact acolo: la un serviciu uitat, încă cu setările din fabrică.
Din interior sau din exterior: două întrebări diferite
Poți privi din două locuri, iar ele răspund la întrebări diferite.
- Din interiorul rețelei vezi tot ce oferă fiecare dispozitiv celorlalte din jur: pagina web a imprimantei, partajările NAS-ului, desktopul la distanță al calculatorului. Asta ar putea atinge telefonul unui musafir sau o priză inteligentă compromisă.
- Din internet vezi doar ce lasă routerul să treacă — de obicei nimic, dacă nu cumva cineva a configurat o redirecționare de porturi sau a activat UPnP, care permite dispozitivelor să deschidă singure porturi pe router.
Contează amândouă. Începe din interior, pentru că acolo sunt cele mai multe surprize, apoi verifică routerul însuși.
Cum verifici din interior
Un scanner de porturi bate la o serie de porturi ale unui dispozitiv și notează care răspund. Trei alegeri decid cât durează și ce găsește:
- Ținta. Începe cu routerul (gateway-ul, de obicei
192.168.1.1sau192.168.0.1), apoi dispozitivele care contează cel mai mult pentru tine: NAS-ul, calculatoarele, camerele. - Ce porturi. Cele câteva zeci de porturi comune acoperă aproape orice serviciu pe care îl vei întâlni acasă sau la birou și durează câteva secunde. Intervalul complet al porturilor cunoscute, 1–1024, e mai amănunțit. O listă personalizată e pentru când cauți ceva anume.
- TCP și UDP. Majoritatea serviciilor folosesc TCP, dar câteva importante folosesc UDP — DNS, NTP, SNMP, NetBIOS — iar multe scanere le sar. Un port UDP contează ca deschis doar dacă dispozitivul chiar răspunde, așa că un scanner bun trimite o cerere reală pentru fiecare protocol în loc să ghicească.
Ce porturi merită atenție
Într-o rețea de acasă sau de birou mic, acestea merită o a doua privire:
| Port | Serviciu | De ce contează |
|---|---|---|
| 21, 23 | FTP, Telnet | Protocoale vechi care trimit parolele în clar. Rareori necesare astăzi. |
| 80 | Web necriptat | E în regulă pentru pagina de stare a unei imprimante; mai rău pentru pagina de autentificare a routerului. |
| 445, 139 | Partajare fișiere Windows (SMB) | Calea clasică prin care malware-ul trece de la un calculator la altul. Limitează-l la mașinile care chiar partajează fișiere. |
| 3389 | Desktop la distanță | Atacat fără încetare când e accesibil din internet. În interior, păstrează-l doar pe calculatoarele care au nevoie de el. |
| 5900 | VNC | Control la distanță, adesea cu o parolă slabă sau fără parolă. |
| 1900, 5000 | UPnP | Permite dispozitivelor să deschidă singure porturi pe router. |
| 161 | SNMP | Util pentru monitorizare, dar cu comunitatea implicită public oricine din rețea poate citi dispozitivul. |
| 554, 8000, 8080 | Camere și pagini de administrare | Camerele și gadgeturile ieftine vin adesea cu parole implicite. |
Ce cauți e o nepotrivire: un serviciu pe un dispozitiv care nu are de ce să-l ofere, sau un serviciu despre care nu știai.
Cum închizi ce nu-ți trebuie
- Oprește serviciul chiar pe dispozitiv. Un port se închide când nimic nu mai ascultă pe el: dezactivează Telnet pe router, partajarea fișierelor pe un calculator care nu partajează nimic, interfața web a unei camere pe care o folosești doar din aplicație.
- Șterge din router redirecționările de porturi pe care nu le mai folosești și dezactivează UPnP, dacă nu are cu adevărat nevoie de el o consolă sau o aplicație.
- Schimbă parolele implicite la tot ce ține deschisă o pagină de administrare sau un acces la distanță — router, NAS, camere, imprimante.
- Actualizează firmware-ul: multe servicii vechi sunt reparate sau eliminate în versiunile noi.
- Mută gadgeturile în rețeaua pentru oaspeți, dacă routerul are una, ca o cameră sau o priză inteligentă să nu poată ajunge deloc la calculatoarele tale.
Apoi scanează din nou. Lista ar trebui să fie mai scurtă, iar fiecare rând de pe ea ar trebui să fie ceva ce poți explica.
Cum faci asta cu NetBlade pe iPhone
NetBlade pentru iPhone și iPad face verificarea din buzunar, fără cont:
- fila Porturi scanează orice dispozitiv: scrie o adresă sau atinge Folosește gateway-ul pentru router, apoi alege Comune, 1–1024 sau Personalizat;
- fiecare port deschis vine cu serviciul, o scurtă descriere și un nivel de risc, TCP și UDP unul lângă altul, cu sonde UDP reale pentru DNS, NTP, TFTP, mDNS, NetBIOS și SNMP;
- Caută CVE lângă un port deschide National Vulnerability Database pentru acel serviciu;
- în fila LAN, detaliile fiecărui dispozitiv transformă porturile lui deschise într-un scor de securitate din 100, cu un sfat pentru fiecare constatare;
- poți partaja rezultatul din bara de sus.
Scanarea porturilor și scorul de securitate sunt gratuite. Scanează o dată routerul și dispozitivele cele mai importante, închide ce nu recunoști și păstrează rețeaua salvată: data viitoare când deschizi aplicația, istoricul ei îți arată ce s-a schimbat.