リスクの高いネットワークポートを保護するにはどうすればよいですか?

番号付きネットワークポートとの間で送受信されるデータパケットは、TCP または UDP プロトコルを使用して、特定の IP アドレスおよびエンドポイントに関連付けられます。すべての港は攻撃される危険にさらされており、絶対に安全な港はありません。

RedTeam の主要なセキュリティコンサルタントである Kurt Muhl 氏は次のように説明しました。「基盤となるすべてのポートとサービスにはリスクがあります。リスクは、サービスが正しく設定されている場合でも、サービスのバージョンによってもたらされます。サービスのパスワードが正しく設定されているか、そのパスワードは強力ですか十分ですか? 他の要因としては、ハッカーが攻撃するポートを選択しているか、そのポートをマルウェアに通過させているかなどが挙げられます。要するに、繰り返しになりますが、ポートやサービスのセキュリティを決定する要因は数多くあります。」

CSO は、アプリケーション、脆弱性、および関連する攻撃に基づいてネットワークゲートウェイのリスクを調査し、これらの脆弱性を悪用する悪意のあるハッカーから企業を保護するための複数のアプローチを提供します。

包括的なネットワーク監視ツールセット
IT担当者が知っておくべき基本的なネットワークトラブルシューティングツールトップ10

ネットワークゲートウェイを危険にしているものは何ですか?

合計 65,535 個の TCP ポートとさらに 65,535 個の UDP ポートがあります。最も危険なポートのいくつかを見ていきます。 TCP ポート 21 は、FTP サーバーをインターネットに接続します。これらの FTP サーバーには、匿名認証、ディレクトリトラバーサル、クロスサイトスクリプティングなどの重大な脆弱性が多数あり、ポート 21 がハッカーにとって理想的な標的となっています。

一部の脆弱なサービスは引き続きこのユーティリティを使用していますが、TCP ポート 23 の Telnet などのレガシーサービスは、そもそも本質的に安全ではありませんでした。 Telnet の帯域幅は非常に小さく、一度に数バイトしか送信できませんが、Telnet はデータを完全にクリアテキストでパブリックに送信します。米国国防総省のコンピューター科学者であるオースティン・ノービー氏は、「攻撃者は、[中間者]攻撃を通じて傍受し、証明書を閲覧し、コマンドを挿入し、最後にリモートコード実行(RCE)を実行する可能性がある」と述べた。（これは彼自身の意見であり、いかなる機関の見解を表すものでもありません）。

ネットワークポートの中には、攻撃者が簡単に侵入できる穴を作るものもありますが、完全な逃げ道を作るものもあります。 DNS 用の TCP/UDP ポート 53 は一例です。ネットワークに侵入して目的を達成したら、ハッカーがデータを取り出すために必要なのは、既存のソフトウェアを使用してデータを DNS トラフィックに変換することだけです。「DNSはほとんど監視されず、フィルタリングされることもほとんどない」とノービー氏は語った。攻撃者が安全な企業からデータを盗む場合、データを元の状態に変換する特別に設計された DNS サーバーを介してデータを送信するだけです。

使用するポートが増えるほど、他のすべてのパケットにこっそり攻撃が入りやすくなります。 HTTP 用の TCP ポート 80 は、ブラウザが受信する Web トラフィックをサポートします。 Norby 氏によると、ポート 80 を介した Web クライアントへの攻撃には、SQL インジェクションハッキング、クロスサイトリクエストフォージェリ、クロスサイトスクリプティング、バッファオーバーフローが含まれます。

リスクの高いネットワークポートを保護するにはどうすればよいですか?

攻撃者は別のポートにサービスをセットアップします。これらは TCP ポート 1080 を使用します。これは、マルウェアと操作をサポートする「SOCKS」プロキシを保護するソケットに使用されます。 Mydoom や Bugbear などのトロイの木馬やワームは、攻撃にポート 1080 を使用しています。ネットワーク管理者が SOCKS プロキシを設定しない場合、その存在は脅威になると Norby 氏は言います。

ハッカーは、問題に陥った場合、234、6789 の一連の数字、または 666 や 8888 と同じ数字など、覚えやすいポート番号を使用します。一部のバックドアソフトウェアやトロイの木馬ソフトウェアは、TCP ポート 4444 を開いてリッスンするために使用します。、通信し、外部からの悪意のあるトラフィックを転送し、悪意のあるペイロードを送信します。このポートを使用する他のマルウェアには、Prosiak、Swift Remote、CrackDown などがあります。

Web トラフィックはポート 80 だけを使用しません。HTTP トラフィックも TCP ポート 8080、8088、および 8888 を使用します。これらのポートに接続するサーバーのほとんどは管理されておらず、保護されていない古いボックスであるため、脆弱になっています。セキュリティは時間の経過とともに強化されます。これらのポート上のサーバーは HTTP プロキシにすることもできます。ネットワーク管理者が HTTP プロキシをインストールしないと、HTTP プロキシがシステムのセキュリティ上の問題になる可能性があります。

エリート攻撃者は、有名なバックドアである Back Orifice やその他のマルウェアプログラムに TCP および UDP ポート 31337 を使用しました。 TCP ポートでは、Sockdmini、Back Fire、icmp_pipe.c、Back Orifice Russian、Freak88、Baron Night、BO クライアントを挙げることができます。たとえば、UDP ポートでは Deep BO です。文字と数字を使用する言語「リーツピーク」では、31337 はエリートを意味する「eleet」です。

パスワードが弱いと、SSH とポート 22 が攻撃に対して脆弱になる可能性があります。 BoxBoat Technologies のシステムエンジニアである David Widen 氏によると、ポート 22 - セキュアシェルポートを使用すると、脆弱なサーバーハードウェア上のリモートシェルへのアクセスが可能になります。これは、ここでの認証情報が通常はユーザー名とパスワードであるためです。デフォルトのパスワードは推測しやすいためです。 8 文字未満の短いパスワードでは、攻撃者にとって推測しやすい数字の文字列を含むおなじみのフレーズが使用されます。

ハッカーは依然としてポート 6660 ～ 6669 で実行されている IRC を攻撃しています。ワイデン氏は次のように述べています。「このポートには、攻撃者がリモート攻撃を実行できるようにする Unreal IRCD など、多くの IRC 脆弱性があります。しかし、これらは通常、通常の攻撃であり、あまり価値がありません。」

一部のポートとプロトコルでは、攻撃者の到達範囲が広がります。たとえば、UDP ポート 161 は、ネットワークに接続されたコンピュータの管理、情報のポーリング、このポートを介したトラフィックの送信に役立つ SNMP プロトコルが原因で攻撃者を引き寄せています。 Muhl 氏は次のように説明しています。SNMP を使用すると、ユーザーはサーバーにクエリを実行して、ユーザー名、ネットワーク上で共有されているファイル、その他の情報を取得できます。 SNMP には、多くの場合、パスワードとして機能するデフォルトの文字列が付属しています。

ポート、サービス、脆弱性を保護する

Widen 氏によると、企業は公開キー認証を使用し、root としてのログインを無効にし、攻撃者が見つけられないように SSH をより高いポート番号に移動することで SSH プロトコルを保護できます。ユーザーが 25,000 もの高いポート番号で SSH に接続すると、攻撃者が SSH サービスの攻撃対象領域を特定することが困難になります。

企業で IRC を実行している場合は、ファイアウォールを有効にして保護してください。ネットワーク外部からのトラフィックが IRC サービスに近づくことを許可しないでください、と Widen 氏は付け加えました。ネットワーク上の VPN ユーザーのみに IRC の使用を許可します。

ポート番号の繰り返し、特に一連の番号がポートの適切な使用を表すことはほとんどありません。これらのポートが使用されている場合は、それらが認証されていることを確認してください、と Norby 氏は言います。 DNS を監視およびフィルタリングして漏洩を回避し、Telnet の使用を停止してポート 23 を閉じます。

すべてのネットワークポートのセキュリティには多層防御が含まれる必要があります。 Norby 氏は次のように述べています。使用しないポートをすべて閉じ、すべてのサーバーでホストベースのファイアウォールを使用し、最新のネットワークベースのファイアウォールを実行し、ポートのトラフィックを監視およびフィルタリングします。定期的なネットワークポートスキャンを実行して、ポートに脆弱性が見落とされていないことを確認します。 SOCKS プロキシやまだ設定していないその他のサービスには特に注意してください。ネットワークに脆弱性が残らなくなるまで、ネットワークポートに接続されているデバイス、ソフトウェア、またはサービスにパッチを適用し、修復し、強化します。攻撃者がネットワークポートを介してアクセスできるソフトウェア (新旧両方) に新しい脆弱性が出現した場合は、事前に対処してください。

サポートするサービスの最新アップデートを使用し、適切に設定し、アクセス権を持つユーザーを制限するのに役立つ強力なパスワードとアクセス制御リストを使用すると、MuHl. はポートやサービスに接続できると述べています。同氏はまた、「ポートとサービスは定期的にチェックする必要がある」とも付け加えた。 HTTP や HTTPS などのサービスを使用する場合、カスタマイズの余地が多くあるため、構成ミスやセキュリティの脆弱性が容易に発生する可能性があります。

リスク港の安全港

専門家は、各ポートに関連する脅威の種類や重大度、特定のポート上のサービスの脆弱性レベルなど、さまざまな基準に基づいて、高リスクポートのさまざまなリストを作成しています。しかし、現時点ではまだ完全なリストはありません。さらに調査するには、SANS.org、SpeedGuide.net、GaryKessler.net のリストから始めることができます。

CSO が発行した「危険なネットワークポートの確保」から抜粋した記事。