Come le porte aperte insicure e vulnerabili rappresentano seri rischi per la sicurezza

Quando gli intrusi vogliono introdursi in un edificio, cercano un'apertura. Una porta aperta è una delle aperture che un hacker o un attore di minaccia cerca per accedere a una rete digitale. Quella porta aperta può trovarsi su un firewall, un server o qualsiasi dispositivo informatico connesso alla rete. Proprio come una singola porta sbloccata può mettere a rischio la tua privacy e consentire l'accesso a un edificio fisico, una singola porta aperta può fornire un punto di accesso per gli hacker per violare i tuoi sistemi, esponendoti alle loro intenzioni malevole.

Di seguito, condividiamo le porte più vulnerabili e le strategie di sicurezza critiche per proteggersi da esse.

Panoramica delle vulnerabilità delle porte aperte

Una porta aperta all'interno della tua rete è una vulnerabilità. Fornisce un potenziale punto di ingresso per l'accesso non autorizzato per eludere i tuoi firewall o altre misure di sicurezza e ottenere l'accesso alla tua rete. Una volta entrati, possono lanciare gli attacchi desiderati o eseguire attività di ricognizione per saperne di più sulla tua organizzazione e su come sfruttarla. Le porte aperte rappresentano un significativo rischio per la sicurezza e dovrebbero essere una priorità alta per la gestione della sicurezza.

Importanza di proteggere le porte aperte

Per ridurre la tua vulnerabilità agli attacchi, devi ridurre la tua superficie di attacco. Puoi farlo diminuendo il numero di porte aperte nei tuoi sistemi. Ad esempio, consentire connessioni esterne Remote Desktop Protocol (RDP, porta 3389) può fornire agli utenti legittimi l'accesso remoto alla tua rete aziendale. Tuttavia, ciò presenta un'opportunità per gli attori delle minacce di cercare attivamente porte RDP aperte da sfruttare.

Cosa sono le porte?

Definizione e scopo

Una porta può essere vista come un ingresso virtuale che accomoda il traffico di rete verso servizi e applicazioni specifici. Un numero unico identifica ogni porta per differenziarsi. Queste porte possono essere gestite da amministratori assegnati che possono aprirle o chiuderle per permettere o bloccare determinati tipi di traffico. Ad esempio, il traffico web si affida alle porte 80 e 443. Se hai un server che ospita un'applicazione web per utenti esterni, devi aprire queste porte per concedere loro l'accesso. Tutte le porte inutilizzate dovrebbero essere chiuse.

Tipi di porte: TCP e UDP

I protocolli di trasporto più comuni con numeri di porta sono il Transmission Control Protocol (TCP) e il User Datagram Protocol (UDP). I software e i servizi sono progettati per utilizzare TCP o UDP e assegnati a un numero di porta designato.

• TCP è un protocollo orientato alla connessione con ritrasmissione integrata e recupero degli errori. TCP è generalmente un protocollo più affidabile.
• UDP is a connectionless protocol that doesn’t recover or correct message errors. It is known as the best effort protocol.

Stati delle porte

Le porte TCP e UDP si trovano in uno di questi tre stati a seconda delle tue esigenze:

• Aperto — La porta risponde alle richieste di connessione.
• Chiuso — La porta non è raggiungibile, il che indica che non c'è nessun servizio corrispondente in esecuzione.
• Filtrato — Il firewall monitora il traffico e blocca le richieste di connessione a porte specifiche.

Rischi di sicurezza legati alle porte aperte

Gli attori delle minacce utilizzano porte aperte per eseguire attacchi e sfruttare vulnerabilità. Di seguito, condividiamo alcuni exploit e attacchi comuni che gli attori malevoli sfruttano, e poi dettagliamo due famosi attacchi tramite vulnerabilità delle porte aperte.

Exploit e attacchi comuni

• An open RDP connection can be used to launch a credential-stuffing attack to access a server or deliver a ransomware payload.
• Un attacco di Denial of service (DoS) invia molte richieste di connessione da varie macchine per interrompere un determinato servizio. Un esempio tipico sarebbe prendere di mira le porte web di un server web per consumare la sua larghezza di banda e risorse, impedendo agli utenti legittimi di accedere al servizio.
• Le porte dei servizi web sono comunemente utilizzate come punti di ingresso per lanciare attacchi come l'iniezione SQL e il cross-site request forgery per sfruttare le vulnerabilità all'interno delle applicazioni stesse.
• Gli attacchi man-in-the-middle possono essere utilizzati per intercettare il traffico dati non crittografato di porte note al fine di raccogliere informazioni sensibili. Un esempio è il reindirizzamento del traffico dati per intercettare il traffico email.

Case studies: WannaCry, RDP Pipe Plumbing

Uno degli attacchi più famosi è stato l'attacco del ransomware WannaCry Ransomware attack lanciato nel 2017. L'attacco è stato eseguito a livello globale, colpendo oltre 300.000 computer in 150 paesi. L'attacco ha sfruttato una vulnerabilità nel protocollo SMB sulla porta 445. Una volta che gli aggressori si sono infiltrati nell'organizzazione, hanno criptato i suoi file e richiesto un pagamento del riscatto.

RDP Pipe Plumbing è una vulnerabilità nel Remote Desktop Protocol che sfrutta i named pipes di Windows. Gli aggressori prendono di mira la porta RDP 3389 per creare false istanze di server pipe con lo stesso nome di quelle legittime. Quindi utilizzano queste pipe contraffatte per intercettare le comunicazioni tra client e server RDP. Questo attacco man-in-the-middle consente l'accesso non autorizzato a dati sensibili, inclusi i contenuti degli appunti e i trasferimenti di file.

Porte vulnerabili e i loro rischi

Di seguito è riportato un elenco di vulnerabilità delle porte aperte. Leggi per scoprire quali sono più suscettibili di essere sfruttate.

Vulnerabilità della porta 21 (FTP)

Il File Transfer Protocol (FTP) è assegnato alla porta 21. FTP consente agli utenti di inviare e ricevere file in una trasmissione non crittografata da e verso i server. FTP è considerato obsoleto e insicuro e non dovrebbe essere utilizzato per alcun trasferimento di file, specialmente dati sensibili, poiché può essere facilmente sfruttato utilizzando uno dei seguenti metodi:

• Forzatura bruta delle password
• Autenticazione anonima (è possibile accedere alla porta FTP con "anonymous" come nome utente e password)
• Cross-site scripting
• Attacchi di Directory traversal
• Attacco man-in-the-middle

Vulnerabilità della porta 22 (SSH)

La porta 22 è comunemente utilizzata per le connessioni Secure Shell. È preferita rispetto a Telnet perché la connessione è criptata. Spesso utilizzata per la gestione remota, la porta 22 è una porta TCP per garantire l'accesso remoto sicuro. Nonostante la sua maggiore sicurezza, presenta ancora alcune vulnerabilità di base:

• Chiavi SSH violate. Se le chiavi SSH non sono correttamente protette, possono essere accessibili da un attaccante per ottenere l'accesso senza avere la password richiesta.
• Forzatura bruta delle credenziali. Le porte SSH aperte sono facilmente individuabili, permettendo agli attaccanti di indovinare combinazioni di username e password.

Vulnerabilità della porta 23 (Telnet)

Telnet è un protocollo TCP che utilizza la porta 23. Si connette a dispositivi remoti che utilizzano interfacce a riga di comando come switch, router e server. Come FTP, Telnet è non criptato, obsoleto e considerato insicuro. È stato superato da SSH. Alcune delle sue vulnerabilità comuni includono:

• Forzatura bruta delle credenziali. Gli aggressori sfruttano le vulnerabilità delle porte aperte per lanciare tentativi di accesso ripetuti contro servizi esposti, cercando di ottenere accesso non autorizzato indovinando le credenziali.
• Spoofing e intercettazione delle credenziali. Le porte aperte possono esporre i servizi agli attaccanti che le sfruttano per intercettare e rubare le credenziali, spesso fingendosi entità legittime durante la trasmissione dei dati.

Vulnerabilità della porta 25 (SMTP)

La porta 25 è utilizzata dal Simple Mail Transfer Protocol (SMTP) per l'invio e la ricezione di email. SMTP è stato sviluppato quando la cybersecurity non era una preoccupazione significativa, quindi può essere facilmente sfruttato senza soluzioni di sicurezza di terze parti. Senza una configurazione e protezione adeguata, questa porta TCP è vulnerabile a minacce come:

• Spoofing. Gli aggressori possono falsificare le intestazioni delle email per far sembrare che i messaggi provengano da una fonte affidabile.
• Spamming. I server SMTP non protetti possono essere sfruttati per inviare grandi volumi di email indesiderate, spesso sovraccaricando i sistemi e diffondendo malware.
• Attacco man-in-the-middle, specialmente quando l'email è inviata in chiaro.

Vulnerabilità della porta 53

La porta 53 è utilizzata per il Domain Name System (DNS), che traduce nomi di dominio leggibili dall'uomo come facebook.com o linkedin.com in indirizzi IP. Il DNS è essenziale per il traffico internet e opera utilizzando sia UDP che TCP per le query e i trasferimenti, rispettivamente. Questa porta è particolarmente vulnerabile agli attacchi Distributed Denial of Service (DDoS), dove gli aggressori sovraccaricano il server DNS con un'ondata di richieste, potenzialmente interrompendo il servizio.

• Attacchi DDoS. Questi sono attacchi comuni in cui gli aggressori cercano di sovraccaricare il server con grandi volumi di pacchetti per causare l'interruzione del servizio. Questo vettore di attacco presenta alcune varianti, DDoS (distributed denial of service) e attacchi di amplificazione DNS.

Vulnerabilità delle porte 137 e 139 (NetBIOS su TCP) e 445 (SMB)

Le porte 137 e 139 (NetBIOS su TCP) e 445 (SMB) sono comunemente associate alla condivisione di file e alla comunicazione in rete negli ambienti Windows. Tuttavia, sono anche note per essere vulnerabili a diverse minacce alla sicurezza:

• EternalBlue exploit. Questo attacco sfrutta le vulnerabilità di SMBv1 nelle versioni più vecchie dei computer Microsoft. È diventato noto dopo l'attacco ransom WannaCry lanciato su scala globale nel 2017.
• Cattura degli hash NTLM. Gli aggressori possono intercettare e catturare gli hash NTLM e utilizzarli per autenticarsi come utenti legittimi.
• Forzatura bruta delle credenziali di accesso SMB. Gli aggressori possono tentare di ottenere l'accesso provando sistematicamente diverse combinazioni di nome utente e password fino a trovare le credenziali corrette.

Vulnerabilità delle porte 80, 443, 8080 e 8443 (HTTP e HTTPS)

Chiunque abbia visitato una pagina web ha utilizzato i protocolli HTTP o HTTPS nel proprio browser web. Come accennato, le porte web sono comunemente prese di mira dagli aggressori per molti tipi di attacchi, tra cui:

• Cross-site scripting. Gli aggressori iniettano script maligni nelle pagine web e nelle applicazioni per rubare cookie, token o dati.
• Iniezioni SQL. Gli aggressori inseriscono codice SQL maligno nei campi di input per manipolare un database.
• Falsari di richieste tra siti.Un attaccante sfrutta la fiducia tra il browser web di un utente e un'applicazione web per ingannare l'utente affinché esegua azioni su un sito web senza la sua conoscenza o consenso.
• Attacchi DDoS

Vulnerabilità delle porte 1433, 1434 e 3306 (Utilizzate dai database)

Queste sono le porte predefinite per SQL Server e MySQL. Vengono utilizzate per eseguire una varietà di azioni malevole, tra cui:

• Distribuzione di malware. Gli aggressori utilizzano porte aperte per infiltrarsi in una rete, distribuendo software dannoso che può compromettere i sistemi, rubare dati o danneggiare l'infrastruttura.
• Scenari DDoS. Le vulnerabilità delle porte aperte vengono sfruttate per sovraccaricare i servizi con un traffico massiccio negli attacchi di Distributed Denial of Service (DDoS), rendendo i sistemi inutilizzabili.
• Trova database non protetti con configurazioni predefinite sfruttabili. Le porte aperte possono esporre database con impostazioni deboli o predefinite, permettendo agli attaccanti di sfruttarli efficacemente per ottenere accesso non autorizzato e manipolare o rubare informazioni sensibili.

Vulnerabilità della porta 3389 (Remote Desktop)

• Le vulnerabilità del Remote Desktop Protocol espongono RDP ad attacchi brute force e attacchi man-in-the-middle.

• La vulnerabilità BlueKeep (CVE-2019-0708) è una vulnerabilità RDP riscontrata in sistemi operativi Microsoft più vecchi come Windows 7 e Windows Server 2008. BlueKeep può essere sfruttata per diffondere malware all'interno di un'organizzazione senza l'intervento dell'utente.

Passaggi per proteggere le porte aperte

Preferite porte crittografate rispetto a quelle non crittografate

La maggior parte dei servizi regolari utilizzati in un ambiente basato su IP ora dispone di una versione crittografata del vecchio protocollo originale in chiaro. Una buona pratica è passare alla versione crittografata per evitare qualsiasi perdita di dati mentre le informazioni vengono trasmesse attraverso i cavi.

Applicazione regolare di patch e aggiornamenti

L'applicazione delle patch mantiene aggiornati i tuoi sistemi e firewall. I fornitori rilasciano regolarmente patch che riparano vulnerabilità e difetti nei loro prodotti che i criminali informatici potrebbero sfruttare per ottenere pieno accesso ai tuoi sistemi e dati.

Strumenti di scansione delle porte

Dovresti anche eseguire regolarmente la scansione e il controllo delle tue porte. Ci sono tre modi principali per farlo:

• Strumenti da riga di comando. Se hai tempo per scansionare e controllare le porte manualmente, utilizza strumenti da riga di comando per individuare e scansionare le porte aperte. Esempi includono Netstat e Network Mapper, che puoi installare su vari sistemi operativi, inclusi Windows e Linux.
• Scanner di porte.Se desideri risultati più rapidi, prendi in considerazione l'utilizzo di uno scanner di porte. Un programma per computer verifica se le porte sono aperte, chiuse o filtrate. Il processo è semplice: lo scanner invia una richiesta di rete per connettersi a una porta specifica e cattura la risposta.
• Strumenti di scansione delle vulnerabilità. Gli strumenti di scansione delle vulnerabilità sono applicazioni automatizzate che identificano e inventariano le risorse IT, come server, desktop e dispositivi di rete, per rilevare debolezze di sicurezza. Scansionano alla ricerca di vulnerabilità note derivanti da configurazioni errate o programmazione difettosa. I risultati di queste scansioni forniscono preziose informazioni sul livello di rischio di un'organizzazione e possono essere utilizzati per raccomandare strategie di mitigazione efficaci.

Monitoraggio delle modifiche alla configurazione del servizio

Rimanere aggiornati su qualsiasi modifica di configurazione apportata ai vostri server, firewall, switch, router e altri dispositivi di rete è importante, poiché queste modifiche possono introdurre vulnerabilità. Tali modifiche possono verificarsi accidentalmente o intenzionalmente. Utilizzando Netwrix Change Tracker, potete rafforzare i vostri sistemi tracciando modifiche non autorizzate e altre attività sospette. In particolare, offre le seguenti funzionalità:

• Allarmi azionabili riguardo ai cambiamenti di configurazione
• Registrazione, analisi, convalida e verifica automatica di ogni modifica
• Monitoraggio delle modifiche in tempo reale
• Monitoraggio costante delle vulnerabilità delle applicazioni

Utilizzando sistemi di rilevamento e prevenzione delle intrusioni (IDP e IPS)

IDS monitora il traffico di rete alla ricerca di segni di attività sospette o minacce note, mentre IPS va oltre bloccando le minacce rilevate. Entrambi possono prevenire exploit comuni che prendono di mira porte aperte, inclusi iniezioni SQL, attacchi DDoS e altre minacce informatiche.

Implementazione delle chiavi SSH

Le chiavi SSH sono meno vulnerabili agli attacchi di forza bruta, al phishing e agli errori umani. Queste chiavi crittografate eliminano la necessità per gli utenti di ricordare e inserire password, riducendo così la probabilità di accessi non autorizzati tramite porte aperte. Esistono due tipi di chiavi SSH:

• Chiavi private o di identità, che identificano gli utenti e concedono loro l'accesso
• Chiavi pubbliche o autorizzate, che determinano chi può accedere al tuo sistema

Conduzione di test di penetrazione e valutazioni delle vulnerabilità

I test di penetrazione e le valutazioni delle vulnerabilità dovrebbero essere utilizzati per individuare le vulnerabilità nell'infrastruttura IT, sebbene ciascuno utilizzi un approccio diverso. Un test di penetrazione (un pen test) è condotto da un professionista della sicurezza che simula un attacco informatico su un sistema informatico o una rete per identificare e sfruttare le vulnerabilità. Mostra come un attacco potrebbe infiltrarsi attivamente nella tua rete. Una valutazione delle vulnerabilità, d'altra parte, è una scansione automatizzata che identifica e dà priorità alle vulnerabilità note. Insieme, possono fornire un riassunto completo delle vulnerabilità delle tue porte.

Migliori pratiche per la sicurezza delle porte

• Valutazione delle superfici di attacco esterne. Dovresti valutare regolarmente l'esposizione della tua rete a minacce esterne identificando e proteggendo le porte aperte che un attaccante potrebbe sfruttare. Assicurati che ogni porta aperta sia necessaria. Chiudi immediatamente le porte associate ad applicazioni o servizi deprecati.
• Monitoraggio continuo per rischi emergenti. Implementare un monitoraggio costante e estensivo per rilevare nuove vulnerabilità e minacce associate a porte aperte. Intervenire tempestivamente con risposta e mitigazione quando necessario.
• Valutazione delle prestazioni delle porte aperte. Rivedere e valutare regolarmente la sicurezza e la funzionalità di tutte le porte aperte. Assicurarsi che le porte aperte siano adeguatamente mappate ai loro target interni designati e che il principio del minimo privilegio sia applicato a tutte le risorse applicabili.
• Attenersi a un programma di patch costante.L'applicazione regolare delle patch può portare grandi vantaggi in termini di sicurezza. Assicurati che tutte le patch relative alla sicurezza vengano distribuite immediatamente dopo il rilascio.
• Servizi configurati in modo errato, non aggiornati e vulnerabili. Sistemi non aggiornati o configurati in modo errato possono portare a un sistema compromesso. Verificate che tutte le configurazioni seguano le migliori pratiche di sicurezza. Implementate un sistema di monitoraggio per avvisare il personale di supporto della rete quando si verifica un cambiamento nella configurazione.

Conclusione

Le porte aperte sono come una spada a doppio taglio. Da un lato, sono essenziali per le operazioni aziendali per abilitare pagine web, applicazioni e servizi. Dall'altro lato, presentano opportunità per gli attori delle minacce di infiltrarsi e sfruttare la tua rete. Questo rende la gestione e il monitoraggio delle porte aperte un aspetto critico della sicurezza della rete e non può essere sopravvalutato. La tua organizzazione dovrebbe avere una politica che delinei le procedure per la sicurezza di tutte le porte aperte e garantire che tutti i sistemi e il software siano aggiornati regolarmente. Porte insicure come Telnet e FTP dovrebbero essere deprezzate e sostituite con soluzioni moderne che utilizzano tecnologie sicure moderne. Effettua valutazioni regolari per assicurarti che tutte le porte aperte siano necessarie e conferma che le configurazioni aderiscano alle migliori pratiche. Ricorda che man mano che la tecnologia evolve, anche i tuoi requisiti di porte cambieranno. Con la strategia e la concentrazione adeguate, le tue porte aperte possono rimanere risorse funzionanti piuttosto che vulnerabilità che espongono la tua azienda a un rischio maggiore.