Які порти відкриті в моїй мережі? Як перевірити і які закрити
Що таке відкритий порт, як побачити, які порти відкривають роутер, принтер, NAS і комп'ютери, які з них небезпечні в домашній чи офісній мережі — і як їх закрити.
Що таке відкритий порт насправді
Будь-який пристрій у мережі може пропонувати служби: вебсторінку для налаштування, спільний доступ до файлів, віддалений робочий стіл, друк. Кожна служба слухає пронумерований порт: веб — 80 і 443, спільний доступ до файлів — 445, віддалений робочий стіл — 3389. Порт відкритий, коли на пристрої там щось відповідає.
Відкритий порт сам по собі не проблема. Принтер мусить відповідати на своєму порту друку, а роутер мусить відповідати на порту 53, щоб перетворювати імена для всіх. Проблема — це порт, відкритий без потреби, або порт, що дає старий, незашифрований чи легко вгадуваний вхід. Більшість зламів домашніх і невеликих офісних мереж починається саме там: із забутої служби, досі із заводськими налаштуваннями.
Зсередини чи ззовні: два різні питання
Дивитися можна з двох місць, і вони відповідають на різні питання.
- Зсередини вашої мережі ви бачите все, що кожен пристрій пропонує сусіднім: вебсторінку принтера, спільні папки NAS, віддалений робочий стіл комп’ютера. Саме до цього міг би дістатися телефон гостя або зламана розумна розетка.
- З інтернету ви бачите лише те, що пропускає роутер, — зазвичай нічого, якщо тільки хтось не налаштував переадресацію портів або не ввімкнув UPnP, який дозволяє пристроям самим відкривати порти на роутері.
Важливе і те, і те. Почніть зсередини — там найбільше сюрпризів, — а потім перевірте сам роутер.
Як перевірити зсередини
Сканер портів стукає в низку портів пристрою і записує, які відповіли. Три рішення визначають, скільки це триватиме і що він знайде:
- Ціль. Почніть із роутера (шлюзу, зазвичай
192.168.1.1або192.168.0.1), потім пристрої, які для вас найважливіші: NAS, комп’ютери, камери. - Які порти. Кілька десятків поширених портів охоплюють майже всі служби, що трапляються вдома чи в офісі, і перевіряються за секунди. Повний діапазон відомих портів, 1–1024, — ретельніший. Власний список потрібен, коли ви шукаєте щось конкретне.
- TCP і UDP. Більшість служб використовують TCP, але кілька важливих — UDP: DNS, NTP, SNMP, NetBIOS, — і багато сканерів їх пропускають. UDP-порт вважається відкритим, лише якщо пристрій справді відповів, тому добрий сканер надсилає справжній запит для кожного протоколу, а не вгадує.
Які порти заслуговують на увагу
У домашній чи невеликій офісній мережі на ці варто глянути уважніше:
| Порт | Служба | Чому це важливо |
|---|---|---|
| 21, 23 | FTP, Telnet | Старі протоколи, що передають паролі відкритим текстом. Сьогодні потрібні рідко. |
| 80 | Веб без шифрування | Нормально для сторінки стану принтера; гірше для сторінки входу роутера. |
| 445, 139 | Спільний доступ до файлів Windows (SMB) | Класичний шлях, яким шкідливі програми переходять з комп’ютера на комп’ютер. Залиште його лише на машинах, які справді діляться файлами. |
| 3389 | Віддалений робочий стіл | Постійно атакується, якщо доступний з інтернету. Усередині — лише на комп’ютерах, яким він потрібен. |
| 5900 | VNC | Віддалене керування, часто зі слабким паролем або без нього. |
| 1900, 5000 | UPnP | Дозволяє пристроям самим відкривати порти на роутері. |
| 161 | SNMP | Корисний для моніторингу, але зі стандартним community public будь-хто в мережі може читати пристрій. |
| 554, 8000, 8080 | Камери та сторінки адміністрування | Дешеві камери й гаджети часто постачаються зі стандартними паролями. |
Ви шукаєте невідповідність: службу на пристрої, який не має причин її пропонувати, або службу, про яку ви не знали.
Як закрити непотрібне
- Вимкніть службу на самому пристрої. Порт закривається, коли на ньому ніхто не слухає: вимкніть Telnet на роутері, спільний доступ до файлів на комп’ютері, який нічим не ділиться, вебінтерфейс камери, якою ви користуєтеся лише через застосунок.
- Видаліть на роутері переадресації портів, якими більше не користуєтеся, і вимкніть UPnP, якщо він справді не потрібен ігровій приставці чи застосунку.
- Змініть стандартні паролі на всьому, що тримає відкритою сторінку адміністрування або віддалений доступ: роутер, NAS, камери, принтери.
- Оновіть прошивку: багато старих служб у нових версіях виправлено або видалено.
- Переведіть гаджети в гостьову мережу, якщо вона є на роутері, щоб камера чи розумна розетка взагалі не могли дістатися до ваших комп’ютерів.
Потім проскануйте знову. Список має стати коротшим, а кожен рядок у ньому — чимось, що ви можете пояснити.
Як це зробити з NetBlade на iPhone
NetBlade для iPhone та iPad робить цю перевірку просто з кишені, без облікового запису:
- вкладка Порти сканує будь-який пристрій: введіть адресу або торкніться Використати шлюз для роутера, потім виберіть Поширені, 1–1024 або Власний;
- для кожного відкритого порту показано службу, короткий опис і рівень ризику, TCP і UDP поруч, зі справжніми UDP-запитами для DNS, NTP, TFTP, mDNS, NetBIOS і SNMP;
- Пошук CVE біля порту відкриває National Vulnerability Database для цієї служби;
- на вкладці LAN відомості про кожен пристрій перетворюють його відкриті порти на оцінку безпеки зі 100, з порадою до кожної знахідки;
- результатом можна поділитися з верхньої панелі.
Сканування портів і оцінка безпеки безкоштовні. Один раз проскануйте роутер і найважливіші пристрої, закрийте те, чого не впізнаєте, і збережіть мережу: наступного разу, коли відкриєте застосунок, її історія покаже, що змінилося.