Varsayılan port numarasını değiştirmek gerçekten güvenliği arttırıyor mu?

Özel uygulamalar için farklı port numaraları kullanmanız gerektiğini söyleyen tavsiyeler gördüm (örneğin intranet, özel veritabanı, yabancıların kullanmayacağı herhangi bir şey).

Güvenliği artırabileceğine ikna olmadım çünkü

1. Liman tarayıcıları var
2. Bir uygulama savunmasız ise, liman numarasından bağımsız olarak kalır.

Bir şey mi kaçırdım yoksa kendi soruma cevap verdim mi?

Hedefli bir saldırıya karşı ciddi bir savunma sağlamıyor. Sunucunuz hedefleniyorsa, dediğiniz gibi, sizi taramaya başlayacak ve kapılarınızın nerede olduğunu bulacaktır.

Bununla birlikte, SSH'yi varsayılan 22 numaralı bağlantı noktasından çıkarmak, hedeflenmemiş ve amatör senaryo kiddie tipi saldırıların bir kısmını engelleyecektir. Bunlar özellikle, özellikle 22 numaralı bağlantı noktasının açık olup olmadığını ve bir tane bulduklarında büyük bir IP adresi bloğu taraması için komut dosyaları kullanan, özellikle karmaşık olmayan kullanıcılardır ve bunlara bir tür saldırı başlatırlar (kaba kuvvet, sözlük saldırısı, vb). Makineniz taranmakta olan IP bloğundaysa ve 22 numaralı bağlantı noktasında SSH çalışmıyorsa, yanıt vermez ve bu nedenle bu komut dosyası gönderen çocuğa saldırması gereken makineler listesinde görünmez. Ergo, sağlanan bazı düşük seviyeli güvenlik var, ancak yalnızca bu tür bir fırsatçı saldırı için.

Örneğin, sunucunuzda zaman - günlüğü dalışı varsa (SSH'nin 22 numaralı bağlantı noktasında olduğu varsayılarak) ve yapabileceğiniz tüm benzersiz SSH girişimlerini çekin. Ardından SSH'yi bu bağlantı noktasından uzaklaştırın, biraz bekleyin ve tekrar dalış yapmaya başlayın. Hiç şüphesiz daha az saldırı bulacaksınız.

Fail2Ban'ı halka açık bir web sunucusunda çalıştırdım ve SSH'yi 22 numaralı limandan çıkardığımda gerçekten çok açıktı. Fırsatçı saldırıları büyüklük sırasına göre kesti.

Günlükleri temiz tutmak çok yararlıdır.

Eğer 33201 numaralı limanda çalışan sshd ile başarısız girişimler görürseniz, güvenli bir şekilde sizi hedeflediğini varsayabilir ve eğer isterseniz, uygun işlemi yapma seçeneğine sahip olduğunuzu varsayabilirsiniz. Kayıtlı kullanıcılarınızın IP'lerine veya her neyse), vb.

Varsayılan bağlantı noktasını kullanırsanız, birisinin size saldırıp saldırmadığını veya rasgele tarama yapan rastgele salakları bilmek imkansız olacaktır.

Hayır değil. Pek sayılmaz. Bunun terimi Müstehcenlik Güvenliği ve güvenilir bir uygulama değildir. Her iki noktasında da haklısın.

Müstehcenlik ile Güvenlik en iyi ihtimalle sadece bir noktada ön kapıyı açık bırakan birilerini bulabileceklerini bilerek varsayılan liman aramaya başlayan geçici girişimleri engelleyecektir . Ancak, bağlantı noktasını değiştirirken karşılaştığınız herhangi bir ciddi tehdit varsa, ilk saldırıyı en çok yavaşlatır, ancak önceden belirttiğiniz şey nedeniyle ancak bu kadar marjinal olarak.

Kendinize bir iyilik yapın ve bağlantı noktalarınızı doğru şekilde yapılandırın, ancak uygun bir güvenlik duvarı, yetkilendirmeler, ACL'ler vb. İle kilitleme önlemlerini alın.

Hafif bir gizlilik düzeyidir, ancak saldırıya çıkma yolunda önemli bir hız artışı yok. Belirli bir hizmetle konuşan her şeyin farklı liman hakkında anlatılması gerektiğinden, uzun vadeyi desteklemek daha zor bir yapılandırma.

Bir zamanlar ağ solucanlarından kaçınmak iyi bir fikirdi, çünkü bunlar sadece bir port taramaya meyilliydi. Ancak, hızla çoğalan solucanın zamanı şimdi geçmiş.

Diğerlerinin de belirttiği gibi, liman numarasının değiştirilmesi size çok fazla güvenlik sağlamaz.

Bağlantı noktası numarasını değiştirmenin güvenliğiniz için zararlı olabileceğini de eklemek isterim.

Aşağıdaki basitleştirilmiş senaryoyu hayal edin. Bir kraker 100 ana bilgisayarı tarar. Bu ev sahiplerinin doksan dokuzu bu standart limanlarda hizmet veriyor:

Port    Service
22      SSH
80      HTTP
443     HTTPS

Ama sonra kalabalığın arasından sıyrılan bir ev sahibi var, çünkü sistem sahibi hizmetlerini şaşırtmaya çalıştı.

Port    Service
2222    SSH
10080   HTTP
10443   HTTPS

Şimdi, bu bir kraker için ilginç olabilir, çünkü tarama iki şey önerir:

1. Ana bilgisayarın sahibi, bağlantı noktası numaralarını sistemlerinde gizlemeye çalışıyor. Belki de mal sahibi, sistemde değerli bir şey olduğunu düşünüyor. Bu bir fabrika çıkışı sistemi olmayabilir.
2. Sistemlerini güvence altına almak için yanlış yöntemi seçtiler. Yönetici, deneyimsiz bir yönetici olabileceğini belirten liman gizliliğine inanmakla hata yaptı. Belki uygun bir güvenlik duvarı veya uygun bir IDS yerine liman gizliliği kullandılar. Başka güvenlik hataları da yapmış olabilirler ve ek güvenlik saldırılarına karşı savunmasız olabilirler. Şimdi biraz daha ileri araştıralım mı?

Bir kraker olsaydınız, standart portlarda standart servisler yapan 99 ana bilgisayara mı yoksa port gizleme kullanan bir ana bilgisayara mı bakmayı tercih ederdiniz?

En azından kısmen genel eğilime karşı gideceğim.

Kendi başına , farklı bir limana geçmek, aranırken size birkaç saniye kazandırabilir, bu nedenle size gerçek anlamda hiçbir şey kazanamayabilirsiniz. Bununla birlikte, standart dışı bağlantı noktalarının kullanımını portscan karşıtı önlemlerle birlikte birleştirirseniz, güvenlik açısından gerçekten önemli bir artış sağlayabilir.

Sistemlerim için geçerli olan durum şudur: Halka açık olmayan hizmetler standart dışı bağlantı noktalarında yürütülmektedir. Belirli bir süre içinde başarılı bir şekilde olsa da, tek bir kaynak adresinden ikiden fazla bağlantı noktasına yapılan herhangi bir bağlantı girişimi, söz konusu kaynaktan gelen tüm trafiğin azalmasına neden olur.

Bu sistemi yenmek için ya şans (bloke edilmeden önce doğru kapıya vurmak) ya da diğer önlemleri tetikleyen dağıtılmış bir tarama ya da dikkat edilmesi ve üzerinde durulması gereken çok uzun bir zaman gerekir.

Bence bir uygulamanın çalıştığı bağlantı noktasını taşımak, yalnızca aynı uygulamanın farklı bir bağlantı noktasında (aynı güçlü ve zayıf yönleriyle) çalışmasından dolayı güvenliği artırmaz. Uygulamanızın dinlediği bağlantı noktasını farklı bir bağlantı noktasına hareket ettirmekte güçsüzlük varsa, zayıflığı ele almaz. Daha da kötüsü aktif olarak sizi zayıflığa ÇALIŞTIRMAMIZA sizi cesaretlendirir çünkü artık otomatik tarama ile sürekli çarpılmamaktadır. Çözülmesi gereken problem olan asıl sorunu gizler .

Bazı örnekler:

• "Günlükleri temizler" - O zaman günlüklerinizi nasıl kullandığınızla ilgili bir sorun yaşarsınız.
• "Bağlantı ek yükünü azaltır" - Ek yük ya önemsizdir (çoğu tarama olduğu gibi) ya da işlem sırasında yapılan bir tür filtreleme / Hizmet Reddi azaltma işlemine ihtiyacınız var
• "Bu, uygulamanın maruz kalmasını azaltır" - Uygulamanız otomatik tarama ve sömürmeye dayanamıyorsa, uygulamanızın ele alınması gereken ciddi güvenlik eksiklikleri vardır (ör. Yamalı!).

Asıl mesele idari: İnsanlar SSH'nin 22'de, MSSQL'in 1433'de olmasını bekliyorlar. Bunları hareket ettirmek, bir karmaşıklık katmanı ve gerekli belgelerdir. Bir ağa oturmak ve nmap'ı sadece işlerin nereye taşındığını bulmak için kullanmak çok can sıkıcı. Güvenliğe eklemeler en iyi şekilde geçicidir ve olumsuz taraflar önemsiz değildir. Yapma Asıl sorunu düzelt.

Çok fazla güvenlik getirmeyeceği konusunda haklısınız (TCP sunucu bağlantı noktası aralığının yalnızca 16 bit entropisi olduğundan), ancak bunu iki nedenden ötürü yapabilirsiniz:

• Diğerlerinin de söylediği gibi: çok sayıda giriş yapmayı deneyen davetsiz kişiler, günlük dosyalarınızı karıştırır (tek bir IP'den gelen sözlük saldırıları fail2ban ile engellenmiş olsa bile);
• SSH , güvenli bir tünel oluşturmak için gizli anahtarlar değiş tokuş etmek için ortak anahtar şifrelemesine ihtiyaç duyar (bu, normal şartlar altında çok sık yapılması gerekmeyen pahalı bir işlemdir); tekrarlanan SSH bağlantıları CPU gücünü boşa harcayabilir .

Not: Sunucu portunu değiştirmeniz gerektiğini söylemiyorum. Bağlantı noktası numarasını değiştirmek için sadece makul nedenleri (IMO) açıklıyorum.

Bunu yaparsanız, diğer tüm yöneticilere veya kullanıcılara bunun bir güvenlik özelliği olarak değerlendirilmemesi gerektiğini ve kullanılan bağlantı noktası numarasının bir sır olmadığını ve bunu bir güvenlik özelliği olarak tanımladığını açıkça belirtmeniz gerektiğini düşünüyorum. Bu gerçek güvenliği sağlayan kabul edilebilir bir davranış olarak kabul edilmez.

Sshd'nizi alternatif bağlantı noktasında çalıştırmada olası bir güvenlik avantajının olacağı varsayımsal bir durum görebiliyorum. Bu, çalıştırdığınız sshd yazılımında önemsiz şekilde sömürülmüş bir uzaktan güvenlik açığının keşfedildiği senaryoda olacaktır. Böyle bir senaryoda, sshd'inizi alternatif bir bağlantı noktasında çalıştırarak rastgele bir arabayla atılma hedefi olmamanız için gereken süreyi size verebilir.

Kendimi sshd'yi özel makinelerimdeki alternatif bir bağlantı noktasında çalıştırıyorum, ancak bu esas olarak /var/log/auth.log dosyasındaki yığılmayı engellemek için bir kolaylık. Çok kullanıcılı bir sistemde, yukarıda sunulan küçük varsayımsal güvenlik avantajının, standart kısımda bulunmayan sshd'den kaynaklanan ekstra güçlük için yeterli neden olduğunu düşünmüyorum.

Güvenliği biraz arttırır. Bunun için açık limanı bulan saldırganın limanda neyin çalıştığını hesaplaması gerekir. Config dosyalarınıza erişemiyorsa (henüz :-)) 12345 numaralı bağlantı noktasının http, sshd veya başka bir ortak hizmetten mi çalıştığı hakkında hiçbir fikri yok, bu nedenle ciddi olarak çalışabilmeleri için neyin çalıştığını anlamak için fazladan bir çalışma yapmaları gerekir. Saldır.

Ayrıca, diğer afişlerin işaret ettiği gibi, 22 numaralı limana giriş yapmaya çalışırken, ipucu olmayan senaryolar, zombi truva atları ve hatta bir IP adresini yanlış yazan gerçek kullanıcılar olabilir. 12345 numaralı bağlantı noktasına giriş yapma girişiminin, gerçek bir kullanıcı veya ciddi bir saldırgan olduğu kesindir.

Diğer bir strateji birkaç "bal tuzağı" portuna sahip olmaktır. Hiçbir gerçek kullanıcı bu port numaralarını bilmediğinden, herhangi bir bağlantı girişiminin kötü niyetli olduğu düşünülmelidir ve rahatsız edici IP adresini otomatik olarak engelleyebilir / bildirebilirsiniz.

Farklı bir port numarası kullanmanın sisteminizi daha güvenli hale getireceği özel bir durum var. Ağınız bir Web Sunucusu gibi bir kamu hizmeti kullanıyor ancak aynı zamanda yalnızca bir iç kullanım web sunucusu kullanıyorsa, farklı bir bağlantı noktası numarasında çalışarak ve bu bağlantı noktasından herhangi bir dış erişimi engelleyerek herhangi bir dış erişimi kesinlikle engelleyebilirsiniz .

Tek başına değil. Ancak, belirli bir uygulama için varsayılan bağlantı noktasını kullanmamak (örneğin, SQL Server), saldırganınızı bağlantı noktalarınızı taramaya zorlar; Bu davranış daha sonra güvenlik duvarınız veya diğer izleme ölçütleriniz tarafından algılanabilir ve saldırganın IP'si engellenebilir. Ayrıca, ortalama "script kiddie", kullandıkları basit araç veya komut betiği makinenizde bir SQL server örneği bulamadığında daha büyük bir olasılıkla caydırılır (çünkü araç sadece varsayılan portu kontrol eder).