Wie schützt man Netzwerkports mit hohem Risiko?

Datenpakete, die an und von nummerierten Netzwerkports übertragen werden , werden mithilfe von TCP- oder UDP-Protokollen bestimmten IP-Adressen und Endpunkten zugeordnet. Alle Ports sind gefährdet, angegriffen zu werden, kein Port ist absolut sicher.

Herr Kurt Muhl, der führende Sicherheitsberater von RedTeam, erklärte: „Jeder zugrunde liegende Port und Dienst birgt ein Risiko. Das Risiko geht von der Version des Dienstes aus, selbst wenn dieser richtig konfiguriert ist. Ist das Passwort richtig oder für den Dienst festgelegt, ist das Passwort stark.“ Genügend? Zu den weiteren Faktoren gehören: Wird der Port von Hackern für den Angriff ausgewählt, lassen Sie Malware durch den Port? Kurz gesagt: Es gibt viele Faktoren, die die Sicherheit eines Ports oder Dienstes bestimmen.“

CSO untersucht das Risiko von Netzwerk-Gateways basierend auf Anwendungen, Schwachstellen und damit verbundenen Angriffen und bietet mehrere Ansätze zum Schutz von Unternehmen vor böswilligen Hackern, die diese Schwachstellen ausnutzen.

• Umfassendes Toolset zur Netzwerküberwachung
• Die 10 wichtigsten Tools zur Fehlerbehebung im Netzwerk, die IT-Mitarbeiter kennen müssen

Was macht Netzwerk-Gateways gefährlich?

Es gibt insgesamt 65.535 TCP-Ports und weitere 65.535 UDP-Ports. Wir werden uns einige der gefährlichsten Ports ansehen. TCP-Port 21 verbindet FTP-Server mit dem Internet. Diese FTP-Server weisen viele große Schwachstellen auf, wie z. B. anonyme Authentifizierung, Verzeichnisdurchquerung und Cross-Site-Scripting, was Port 21 zu einem idealen Ziel für Hacker macht.

Während einige anfällige Dienste das Dienstprogramm weiterhin nutzen, waren ältere Dienste wie Telnet auf TCP-Port 23 von Anfang an von Natur aus unsicher. Obwohl die Bandbreite sehr gering ist (jeweils nur wenige Bytes), sendet Telnet Daten vollständig öffentlich im Klartext. Austin Norby, Informatiker beim US-Verteidigungsministerium, sagte: „Angreifer können zuhören, Zertifikate einsehen, Befehle durch [Man-in-the-Middle]-Angriffe einschleusen und schließlich Remote Code Executions (RCE) durchführen.“ (Dies ist seine eigene Meinung und gibt nicht die Ansichten einer Agentur wieder).

Während einige Netzwerk-Ports Angreifern leicht zugängliche Löcher bieten, bieten andere perfekte Fluchtwege. Ein Beispiel ist der TCP/UDP-Port 53 für DNS. Sobald sie das Netzwerk infiltriert und ihr Ziel erreicht haben, muss der Hacker nur noch vorhandene Software verwenden, um die Daten in DNS-Verkehr umzuwandeln, um an die Daten zu gelangen. „DNS wird selten überwacht und selten gefiltert“, sagte Norby. Wenn Angreifer Daten aus einem sicheren Unternehmen stehlen, senden sie die Daten einfach über einen speziell entwickelten DNS-Server, der die Daten in ihren ursprünglichen Zustand zurückübersetzt.

Je mehr Ports verwendet werden, desto einfacher ist es, Angriffe in alle anderen Pakete einzuschleusen. TCP-Port 80 für HTTP unterstützt den vom Browser empfangenen Webverkehr. Laut Norby umfassen Angriffe auf Web-Clients über Port 80 SQL-Injection-Hacks, Cross-Site-Request-Forgery, Cross-Site-Scripting und Pufferüberlauf.

Angreifer richten ihre Dienste auf separaten Ports ein. Sie verwenden den TCP-Port 1080 – der für den Socket zum Schutz von „SOCKS“-Proxys zur Unterstützung von Malware und Vorgängen verwendet wird. Trojanische Pferde und Würmer wie Mydoom und Bugbear haben Port 1080 für Angriffe genutzt. Wenn ein Netzwerkadministrator keinen SOCKS-Proxy einrichtet, sei seine Existenz eine Bedrohung, sagte Norby.

Wenn Hacker in Schwierigkeiten geraten, verwenden sie leicht zu merkende Portnummern, beispielsweise die Zahlenreihe 234, 6789 oder die gleiche Nummer wie 666 oder 8888. Einige Backdoor- und Trojaner-Softwareprogramme öffnen sich und nutzen den TCP-Port 4444 zum Abhören , kommunizieren, bösartigen Datenverkehr von außen weiterleiten und bösartige Payloads senden. Zu den weiteren Schadprogrammen, die diesen Port ebenfalls nutzen, gehören Prosiak, Swift Remote und CrackDown.

Der Webverkehr nutzt nicht nur Port 80. HTTP-Verkehr nutzt auch die TCP-Ports 8080, 8088 und 8888. Server, die eine Verbindung zu diesen Ports herstellen, sind meist ältere Boxen, die nicht verwaltet und ungeschützt sind, was sie angreifbar macht. Die Sicherheit nimmt mit der Zeit zu. Server an diesen Ports können auch HTTP-Proxys sein. Wenn Netzwerkadministratoren sie nicht installieren, können HTTP-Proxys zu einem Sicherheitsrisiko im System werden.

Elite-Angreifer nutzten die TCP- und UDP-Ports 31337 für die berühmte Hintertür Back Orifice und andere Malware-Programme. Auf dem TCP-Port können wir erwähnen: Sockdmini, Back Fire, icmp_pipe.c, Back Orifice Russian, Freak88, Baron Night und BO-Client, auf dem UDP-Port ist beispielsweise Deep BO. In „Leetspeak“ – einer Sprache, die Buchstaben und Zahlen verwendet – ist 31337 „eleet“, was „Elite“ bedeutet.

Schwache Passwörter können SSH und Port 22 anfällig für Angriffe machen. Laut David Widen – Systemingenieur bei BoxBoat Technologies: Port 22 – Secure Shell-Port ermöglicht den Zugriff auf Remote-Shells auf anfälliger Serverhardware, da hier die Authentifizierungsinformationen normalerweise der Benutzername und das Passwort sind. Standardpasswort, leicht zu erraten. Kurze Passwörter mit weniger als 8 Zeichen verwenden bekannte Phrasen mit einer Zahlenfolge, die für Angreifer zu leicht zu erraten ist.

Hacker greifen immer noch IRC an, das auf den Ports 6660 bis 6669 läuft. Widen sagte: An diesem Port gibt es viele IRC-Schwachstellen, wie z. B. Unreal IRCD, die es Angreifern ermöglichen, Remote-Angriffe durchzuführen, aber das sind normalerweise normale Angriffe, die keinen großen Wert haben.

Einige Ports und Protokolle ermöglichen Angreifern eine größere Reichweite. Beispielsweise lockt der UDP-Port 161 Angreifer wegen des SNMP-Protokolls an, das für die Verwaltung vernetzter Computer, das Abfragen von Informationen und das Senden von Datenverkehr über diesen Port nützlich ist. Muhl erklärt: Mit SNMP können Benutzer den Server abfragen, um Benutzernamen, im Netzwerk freigegebene Dateien und weitere Informationen zu erhalten. SNMP wird oft mit Standardzeichenfolgen geliefert, die als Passwörter fungieren.

Schützen Sie Ports, Dienste und Schwachstellen

Laut Widen können Unternehmen das SSH-Protokoll schützen, indem sie die Authentifizierung mit öffentlichen Schlüsseln verwenden, die Anmeldung als Root deaktivieren und SSH auf eine höhere Portnummer verschieben, damit Angreifer es nicht finden können. Wenn sich ein Benutzer über eine Portnummer von bis zu 25.000 mit SSH verbindet, wird es für einen Angreifer schwierig, die Angriffsfläche des SSH-Dienstes zu bestimmen.

Wenn Ihr Unternehmen IRC betreibt, schalten Sie zum Schutz eine Firewall ein. Erlauben Sie keinem Datenverkehr von außerhalb des Netzwerks, in die Nähe des IRC-Dienstes zu gelangen, fügte Widen hinzu. Erlauben Sie nur VPN-Benutzern den Zugriff auf das Netzwerk, um IRC zu verwenden.

Sich wiederholende Portnummern und insbesondere Zahlenfolgen stellen selten eine ordnungsgemäße Nutzung von Ports dar. Wenn Sie feststellen, dass diese Ports verwendet werden, stellen Sie sicher, dass sie authentifiziert sind, sagt Norby. Überwachen und filtern Sie DNS, um Lecks zu vermeiden, verwenden Sie Telnet nicht mehr und schließen Sie Port 23.

Die Sicherheit aller Netzwerk-Ports muss eine umfassende Verteidigung umfassen. Norby sagt: Schließen Sie alle Ports, die Sie nicht verwenden, verwenden Sie hostbasierte Firewalls auf allen Servern, führen Sie die neueste netzwerkbasierte Firewall aus, überwachen und filtern Sie den Portverkehr. Führen Sie regelmäßige Netzwerk-Port-Scans durch, um sicherzustellen, dass keine Schwachstellen am Port übersehen werden. Achten Sie besonders auf SOCKS-Proxys oder andere Dienste, die Sie noch nicht eingerichtet haben. Patchen, reparieren und stärken Sie jedes Gerät, jede Software oder jeden Dienst, der mit dem Netzwerkport verbunden ist, bis in Ihrem Netzwerk keine Schwachstellen mehr vorhanden sind. Seien Sie proaktiv, wenn neue Schwachstellen in der Software (sowohl alte als auch neue) auftreten, auf die Angreifer über Netzwerkports zugreifen können.

Nutzen Sie die neuesten Updates für jeden Dienst, den Sie unterstützen, konfigurieren Sie ihn richtig und verwenden Sie sichere Passwörter und Zugriffskontrolllisten, die Ihnen dabei helfen, den Zugriff einzuschränken, sagt MuHl. kann eine Verbindung zu Ports und Diensten herstellen. Er fügte außerdem hinzu: Häfen und Dienste sollten regelmäßig überprüft werden. Wenn Sie Dienste wie HTTP und HTTPS verwenden, gibt es viel Raum für Anpassungen, was leicht zu Fehlkonfigurationen und Sicherheitslücken führen kann.

Sicherer Hafen für Risikohäfen

Experten haben unterschiedliche Listen mit Hochrisiko-Ports erstellt, die auf unterschiedlichen Kriterien basieren, wie z. B. der Art oder Schwere der mit jedem Port verbundenen Bedrohungen oder dem Grad der Anfälligkeit der Dienste. Dienst auf bestimmten Ports. Eine vollständige Liste gibt es bislang jedoch noch nicht. Für weitere Recherchen können Sie mit den Listen auf SANS.org, SpeedGuide.net und GaryKessler.net beginnen.

Artikel gekürzt aus „Securing risky network ports“, veröffentlicht von CSO.

• Die 8 besten sicheren WLAN-Router
• Wie machen Sie Ihr VPN sicherer?
• Wie sichern Sie Ihre Konten mit U2F-Sicherheitsschlüsseln?