Vulnerabilidades de Portas Abertas: Como Proteger Portas Abertas

As portas são usadas para identificar serviços de rede específicos. Elas têm números de porta para fins de identificação e estão vinculadas a protocolos, aplicativos ou serviços. Se as portas abertas não estiverem adequadamente protegidas, podem representar um sério risco para o seu ambiente de TI, pois atores de ameaça podem explorá-las por meio de várias técnicas. Por exemplo, em 2017, cibercriminosos exploraram uma vulnerabilidade SMB na porta 445 para espalhar a variante de ransomware WannaCry. TCP e UDP são os protocolos de transporte mais comuns que usam números de porta. O TCP é orientado a conexão e fornece recuperação de erro, enquanto o UDP é sem conexão e mais rápido. Tanto o TCP quanto o UDP usam o protocolo IP para endereçar e roteificar dados na internet. As portas podem estar abertas, fechadas ou filtradas, dependendo de sua capacidade de responder a solicitações de conexão. Este artigo se concentrará nas vulnerabilidades que acompanham portas abertas, bem como dicas para ajudar a protegê-las.

Por que portas abertas são um risco de segurança?

Portas abertas em si não são inerentemente perigosas, mas podem ser exploradas por hackers para obter acesso não autorizado a dados sensíveis. Serviços vulneráveis, desatualizados, mal configurados ou infectados em portas abertas podem fornecer um ponto de entrada para hackers se movimentarem por uma rede. Estudos mostram que organizações com uma baixa classificação de portas abertas têm maior probabilidade de sofrer uma violação.

Os atores de ameaça podem explorar portas abertas para lançar vários ciberataques, como o spoofing, em que um ator malicioso finge ser um sistema ou serviço e envia pacotes prejudiciais, muitas vezes combinados com spoofing de IP e ataques man-in-the-middle. Além disso, portas que foram intencionalmente deixadas abertas (como em um servidor web) podem ser alvo de ataques de camada de aplicação, como injeção de SQL, falsificação de solicitação entre sites e travessia de diretórios. Outra técnica popular que explora portas abertas é o ataque de negação de serviço distribuída (DDoS), onde os atacantes sobrecarregam os recursos do alvo inundando-o com um número excessivo de solicitações de conexão de várias máquinas.

Quais portos são os mais vulneráveis?

Os atores de ameaça podem atacar qualquer porta, mas certas portas são mais suscetíveis a ciberataques devido às suas deficiências, como vulnerabilidades de aplicação, credenciais fracas ou a ausência de autenticação de dois fatores. Abaixo está uma lista das portas mais vulneráveis e, portanto, frequentemente alvo, a serem observadas:

FTP (Portas 20 e 21): Estas portas permitem a transferência de arquivos através do FTP, mas são inseguras e comumente exploradas com ataques de força bruta, autenticação anônima, scripts entre sites e ataques de travessia de diretório.
DNS (Porta 53): Esta porta UDP e TCP é usada para consultas e transferências de DNS. É especialmente suscetível a ataques DDoS.
SSH (Porta 22): Esta porta TCP fornece acesso seguro a servidores, mas hackers ainda podem explorá-la por meio de ataques de força bruta ou usando chaves SSH vazadas.
HTTP e HTTPS (Portas 80, 443, 8080 e 8443): Essas portas, que são alvo de muitos ataques, são usadas para os protocolos HTTP e HTTPS e são vulneráveis a ataques como scripting entre sites, injeções SQL, falsificações de solicitação entre sites e ataques DDoS.
Telnet (Porta 23): Telnet é um protocolo TCP desatualizado e inseguro que conecta usuários a computadores remotos. Ele é vulnerável a ataques como força bruta, spoofing e sniffing.
SMTP (Porta 25): Esta porta é usada para enviar e receber e-mails através do SMTP. Sem a proteção adequada, é vulnerável a falsificação e spam.
Área de trabalho remota (Porta 3389): Esta porta é comumente explorada através de vulnerabilidades em protocolos de área de trabalho remota e autenticação de usuário fraca. Vulnerabilidades de área de trabalho remota, como a vulnerabilidade BlueKeep, são comumente exploradas por hackers.
NetBIOS sobre TCP e SMB (Portas 137, 139 e 445): Cibercriminosos exploram essas portas capturando hashes NTLM e forçando senhas de login SMB.
Bancos de Dados (Portas 1433, 1434 e 3306): Estas portas padrão para SQL Server e MySQL são frequentemente alvo de distribuição de malware ou atacadas em DDoS. Os invasores costumam procurar bancos de dados desprotegidos com configurações padrão exploráveis.

Dicas para Melhorar a Segurança das Portas Abertas

Gerenciar portas abertas em redes maiores com um fluxo constante de novos dispositivos pode ser um processo demorado e suscetível a erros. Por isso, é importante usar ferramentas de varredura de portas, que ajudam a identificar e fechar quaisquer portas abertas que estão sendo usadas para comunicação dentro da rede. No entanto, é essencial que os administradores tenham conhecimento sobre quais portas são necessárias para os serviços em uso. Algumas portas, como a porta 80 para tráfego web, são universalmente exigidas, enquanto outras são reservadas para serviços específicos. Se uma porta aberta não estiver associada a nenhum serviço conhecido na rede, ela deve ser fechada imediatamente. Também é importante garantir que os serviços que trocam informações por meio das portas abertas necessárias estejam atualizados, devidamente configurados e livres de malware. Para garantir a segurança das portas e descobrir vulnerabilidades em portas abertas, considere as seguintes dicas:

Avalie sua superfície de ataque externa: escaneie sua rede para visualizar seu ecossistema digital e identificar ativos expostos à Internet, portas abertas e serviços. Procure uma solução que ofereça um painel e notificações em tempo real para identificar prontamente potenciais ameaças.

Fique de olho nos riscos emergentes: Devido às constantes mudanças em seu ambiente de TI, é importante monitorar regularmente as mudanças relevantes em sua rede. Procure uma solução que forneça insights automáticos e contínuos sobre portas abertas, softwares mal configurados e sistemas não corrigidos.

Classifique o desempenho de suas portas abertas: Avalie a capacidade da sua rede de resistir a tentativas de intrusão atribuindo uma nota para as portas abertas. Procure uma solução que gere uma nota automática e atualizada diariamente para avaliar seu desempenho em comparação com organizações semelhantes.

Adote um cronograma consistente para a aplicação de patches: Mantenha-se protegido contra ameaças instalando rapidamente atualizações de software e patches assim que forem lançados. Isso evitará vulnerabilidades como o exploit EternalBlue, que foi famoso por ser usado para espalhar o ransomware WannaCry em 2017.

Use chaves SSH: Chaves SSH são mais seguras do que senhas e, portanto, devem ser usadas. Existem inúmeros algoritmos de criptografia de chave pública que podem facilmente gerar chaves SSH para comunicação pública e privada.

Serviços mal configurados, desatualizados e vulneráveis que utilizam portas abertas podem representar um grande risco para sua rede, especialmente portas suscetíveis a worms que estão abertas por padrão em certos sistemas operacionais. No entanto, como mencionado acima, as portas abertas em si não são inerentemente perigosas. O nível de risco depende da configuração do sistema e dos serviços expostos nessas portas. Fechar portas desnecessárias pode minimizar a superfície de ataque potencial.