Netzwerksicherheit Was macht diese Netzwerk-Ports so riskant?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Netzwerk-Ports sind potenziell angriffsgefährdet. Kein Port ist automatisch gesichert. Während einige Netzwerk-Ports ideale Einstiegspunkte für Angreifer bieten, eignen sich andere wiederum gut als Fluchtwege. Wie können sich Anwender absichern?

Datenpakete werden über nummerierte Netzwerk-Ports, die bestimmten IP-Adressen und Endpunkten zugeordnet sind, unter Verwendung der Transport-Schichtprotokolle TCP oder UDP übertragen. So viel ist sicher: Im Prinzip können alle Ports ein Ziel von Hacker-Angriffen werden. Denn jeder Port und jeder zugrundeliegende Service birgt Risiken.

Das Risiko ergibt sich im Wesentlichen aus der Version und Konfiguration des Services sowie der Sicherheit der Passwörter für den Service. Weitere Risikofaktoren könnten sein: Ob es sich um einen Port handelt, den Hacker speziell ausgewählt haben, um ihre Angriffe und Malware durchzuschleusen, und ob der Port vom Anwender offen gelassen wurde.

Gefährliche Ports der FTP-Server

Über den TCP-Port 21 werden FTP-Server mit dem Web verbunden. FTP-Server weisen zahlreiche Schwachstellen auf. Dazu zählen beispielsweise anonyme Authentifizierungsfunktionen, Directory Traversals und Cross-Site Scripting, was den Port 21 zu einem idealen Ziel für Hacker macht. So sind zum Beispiel auch ältere Services wie Telnet am TCP-Port 23 grundsätzlich unsicher.

Obwohl die Bandbreite mit jeweils nur wenigen Bytes sehr gering ist, sendet Telnet Daten völlig unmaskiert im Klartext. Hacker können quasi mithören, sich nach Anmeldeinformationen umsehen, Befehle über Man-in-the-Middle-Attacken einschleusen und schließlich Remote Code Executions (RCE) ausführen.

Während einige Netzwerk-Ports gute Einstiegspunkte für Angreifer sind, eignen sich andere wiederum gut als Exit-Strategien. Der TCP/UDP-Port 53 für DNS bietet dafür beste Ansatzpunkte. Wenn Hacker innerhalb des Netzwerks erfolgreich waren, brauchen sie nur noch eine leicht erhältliche Software zu verwenden, die Daten in DNS-Verkehr umwandelt, um sie nach draußen zu schaffen. Denn DNS wird selten überwacht und noch seltener gefiltert.

Hacker fokussieren einzelne Ports

Je häufiger ein Port verwendet wird, desto leichter lassen sich Angriffe mit allen anderen Paketen durchschleusen. Der TCP-Port 80 für HTTP unterstützt den Webverkehr, der von einem Webbrowser empfangen wird. Zu den Hacker-Attacken auf Web-Clients, die über Port 80 laufen, gehören SQL-Injections, Cross-Site Request Forgeries, Cross-Site Scripting und Buffer Overruns.

Hacker richten ihre Services gerne auf einzelnen Ports ein. Sie bevorzugen dafür unter anderem den TCP-Port 1080, den die Industrie für sockelsichere SOCKS-Proxys vorgesehen hat, zur Unterstützung ihrer bösartigen Aktivitäten. Trojaner und Würmer wie Mydoom und Bugbear liefen beispielsweise über den Port 1080 für die erfolgten Angriffe. Wenn ein Administrator den SOCKS-Proxy nicht eingerichtet hat, könnte seine Existenz auf bösartige Aktivitäten verweisen.

Der Webverkehr nutzt nicht nur Port 80, sondern auch die TCP-Ports 8080, 8088 und 8888. Server, die an diese Ports angeschlossen sind, sind größtenteils ältere Systeme, die nicht verwaltet werden bzw. ungeschützt sind, wodurch sie mit der Zeit immer anfälliger werden. Bei solchen Servern kann es sich auch um HTTP-Proxys handeln, die, wenn Admins sie nicht installiert haben, ein Sicherheitsproblem innerhalb des Systems sein könnten.

Vorsicht bei Ports mit großen Reichweiten

Mit schwachen Passwörtern werden SSH und Port 22 zu sehr einfachen Zielen. Der Port 22 bzw. Secure Shell-Port, der den Zugriff auf Remote Shells auf physischer Server-Hardware ermöglicht, gilt als anfällig, wenn die Anmeldedaten Standard sind oder leicht zu erratende Benutzernamen und Passwörter enthalten. Kurze Passwörter mit weniger als acht Zeichen, die eine bekannte Phrase zusammen mit einer Zahlenfolge verwenden, sind für Angreifer viel zu leicht zu knacken.

Nach wie vor greifen Hacker Internet Relay Chats (IRC) an, die über die Ports 6660 bis 6669 laufen. Dazu gibt es viele IRC-Schwachstellen wie beispielsweise Unreal IRCD, die eine triviale Remote-Ausführung durch Angreifer ermöglichen.

Einige Ports und Protokolle können Hackern zudem eine große Reichweite bieten. So ist beispielsweise der UDP-Port 161 für Angreifer sehr interessant, da das SNMP-Protokoll, das für die Verwaltung von Netzwerkcomputern und die Abfrage von Informationen nützlich ist, Daten über diesen Port sendet. Mit SNMP können sie den Server nach Benutzernamen, Netzwerkfreigaben und anderen Informationen abfragen. SNMP wird oft mit Standard-Strings ausgeliefert, die wie Passwörter funktionieren.

Wichtige Maßnahmen der Absicherung

Anwender können SSH schützen, indem sie die Authentifizierung mit dem öffentlichen SSH-Schlüssel verwenden, die Anmeldung als Root deaktivieren und SSH auf eine höhere Portnummer verschieben, damit Angreifer es nicht so leicht finden können. Wenn ein Anwender beispielsweise eine Verbindung zu SSH über eine hohe Portnummer wie 25.000 herstellt, ist es für den Hacker schwieriger, die Angriffsfläche für den SSH-Service zu finden.

Wenn das Unternehmen IRC nutzt, sollte es hinter der Firewall gehalten werden. Es darf kein Datenverkehr zum IRC-Service zugelassen werden, der von außerhalb des Netzwerks kommt. Die User müssen sich per VPN in das Netzwerk einwählen, um IRC zu nutzen.

Sich wiederholende Portnummern und vor allem lange Nummernfolgen stellen selten eine legitime Verwendung von Ports dar. Wenn der Anwender entdeckt, dass diese Ports verwendet werden, sollte er sicherstellen, dass sie echt sind. DNS muss überwacht und gefiltert werden, um eine Exfiltration zu vermeiden. Zudem sollte Telnet eingestellt und Port 23 geschlossen werden.

Ganzheitliches Verteidigungskonzept etablieren

Die Sicherheit aller Netzwerk-Ports sollte auf einem umfassenden Verteidigungskonzept aufbauen. Dafür sind alle nicht genutzten Ports zu schließen, hostbasierte Firewalls auf jedem Host sowie eine moderne netzwerkbasierte Firewall zu installieren. Des Weiteren muss der Port-Verkehr regelmäßig überwacht und gefiltert werden.

Für den Anwender empfiehlt es sich, im Rahmen von Pen-Tests regelmäßige Port-Scans durchzuführen, um sicherzustellen, dass es auf keinem Port ungeprüfte Sicherheitslücken gibt. Dabei ist besonders auf SOCKS-Proxys oder andere Services zu achten, die nicht von Admins eingerichtet wurden. Grundregel: Jedes Gerät, jede Software und jeder Service, der mit dem Port verbunden ist, ist zu patchen!

Es ist stets die neueste Version jedes unterstützten Services zu verwenden. Mithilfe von Zugriffs-Kontrolllisten wird bestimmt, wer eine Verbindung zu Ports und Diensten herstellen darf. Ports und Services sind regelmäßig zu testen. Gerade bei Services wie HTTP und HTTPS kann es schnell passieren, dass sie falsch konfiguriert und damit versehentlich eine Schwachstelle bieten.

(ID:48773952)