การเปลี่ยนหมายเลขพอร์ตเริ่มต้นจะเพิ่มความปลอดภัยหรือไม่?

ฉันเห็นคำแนะนำว่าคุณควรใช้หมายเลขพอร์ตที่แตกต่างกันสำหรับแอปพลิเคชันส่วนตัว (เช่นอินทราเน็ตฐานข้อมูลส่วนตัวอะไรที่ไม่มีคนนอกใช้)

ฉันไม่เชื่ออย่างเต็มที่ว่าจะสามารถปรับปรุงความปลอดภัยได้เพราะ

1. สแกนเนอร์พอร์ตอยู่
2. หากแอพพลิเคชั่นมีความเสี่ยงจะยังคงอยู่โดยไม่คำนึงถึงหมายเลขพอร์ต

ฉันคิดถึงอะไรบางอย่างหรือว่าฉันตอบคำถามของฉันเอง?

มันไม่ได้ให้การป้องกันที่จริงจังกับการโจมตีเป้าหมาย หากเซิร์ฟเวอร์ของคุณได้รับการกำหนดเป้าหมายอย่างที่คุณพูดพวกเขาจะทำการสแกนพอร์ตและค้นหาว่าประตูของคุณอยู่ที่ไหน

อย่างไรก็ตามการย้าย SSH ออกจากพอร์ตเริ่มต้นที่ 22 จะขัดขวางการโจมตีประเภทตัวเล็กของสคริปต์ที่ไม่ใช่เป้าหมายและสมัครเล่น ผู้ใช้ที่ไม่ค่อยมีความซับซ้อนซึ่งใช้สคริปต์เพื่อสแกนพอร์ตของที่อยู่ IP จำนวนมากในแต่ละครั้งโดยเฉพาะเพื่อดูว่าพอร์ต 22 เปิดอยู่หรือไม่และพวกเขาพบที่อยู่หนึ่งหรือไม่พวกเขาจะเปิดการโจมตีบางประเภท ฯลฯ ) หากเครื่องของคุณอยู่ในบล็อกของ IP ที่กำลังสแกนและไม่ได้รัน SSH บนพอร์ต 22 เครื่องจะไม่ตอบสนองดังนั้นจะไม่ปรากฏในรายการเครื่องสำหรับสคริปต์ตัวเล็กเพื่อโจมตี ดังนั้นมีการรักษาความปลอดภัยระดับต่ำให้ แต่เฉพาะสำหรับการโจมตีแบบฉวยโอกาสนี้

ตัวอย่างเช่นถ้าคุณมีเวลา - บันทึกการดำน้ำบนเซิร์ฟเวอร์ของคุณ (สมมติว่า SSH อยู่ที่พอร์ต 22) และดึง SSH ที่ล้มเหลวทั้งหมดที่ไม่ซ้ำกันซึ่งคุณสามารถทำได้ จากนั้นย้าย SSH ออกจากพอร์ตนั้นรอสักครู่แล้วไปบันทึกการดำน้ำอีกครั้ง คุณจะพบการโจมตีน้อยลงอย่างไม่ต้องสงสัย

ฉันเคยใช้ Fail2Ban บนเว็บเซิร์ฟเวอร์สาธารณะและมันชัดเจนจริงๆเมื่อฉันย้าย SSH ออกจากพอร์ต 22 มันลดการโจมตีที่ฉวยโอกาสจากคำสั่งขนาด

มันมีประโยชน์มากในการรักษาบันทึกให้สะอาด

หากคุณเห็นความพยายามที่ล้มเหลวขณะที่ sshd ทำงานบนพอร์ต 33201 คุณสามารถสันนิษฐานได้อย่างปลอดภัยว่าบุคคลนั้นกำลังกำหนดเป้าหมายคุณและคุณมีตัวเลือกในการดำเนินการที่เหมาะสมหากคุณต้องการ .. เช่นการติดต่อกับเจ้าหน้าที่ โดยอ้างอิงข้ามกับ IP ของผู้ใช้ที่ลงทะเบียนของคุณหรืออะไรก็ตาม) ฯลฯ

หากคุณใช้พอร์ตเริ่มต้นคุณจะไม่สามารถทราบได้ว่ามีใครบางคนกำลังโจมตีคุณหรือเป็นเพียงคนโง่ที่สุ่มที่ทำการสแกนแบบสุ่ม

ไม่เลย ไม่ได้จริงๆ คำนี้คือความปลอดภัยโดยความสับสนและไม่ใช่วิธีปฏิบัติที่เชื่อถือได้ คุณถูกต้องทั้งสองประเด็น

การรักษาความปลอดภัยโดยความสับสนที่ดีที่สุดจะขัดขวางความพยายามชั่วคราวที่เพิ่งไปรอบ ๆ เพื่อค้นหาพอร์ตเริ่มต้นโดยรู้ว่าในบางครั้งพวกเขาจะพบคนที่เปิดประตูหน้าทิ้งไว้ อย่างไรก็ตามหากมีภัยคุกคามร้ายแรงใด ๆ ที่คุณต้องเผชิญกับการเปลี่ยนพอร์ต deault จะทำให้การโจมตีเริ่มต้นช้าลง แต่จะมีเพียงเล็กน้อยเท่านั้นเพราะสิ่งที่คุณได้ชี้ไปแล้ว

ทำตัวเองให้เป็นที่โปรดปรานและปล่อยให้พอร์ตของคุณกำหนดค่าไว้อย่างเหมาะสม แต่ใช้ความระมัดระวังที่เหมาะสมในการล็อคมันด้วยไฟร์วอลล์ที่เหมาะสมการอนุญาต ACL ฯลฯ

มันเป็นระดับของความสับสนเล็กน้อย แต่ไม่ใช่ความเร็วในการเจาะที่สำคัญบนท้องถนน เป็นการกำหนดค่าที่หนักกว่าที่จะสนับสนุนในระยะยาวเนื่องจากทุกสิ่งที่พูดกับบริการนั้น ๆ ต้องได้รับการบอกเล่าเกี่ยวกับพอร์ตต่าง ๆ

กาลครั้งหนึ่งมันเป็นความคิดที่ดีเพื่อหลีกเลี่ยงเวิร์มเครือข่ายเนื่องจากสิ่งเหล่านั้นมีแนวโน้มที่จะสแกนเพียงพอร์ตเดียว อย่างไรก็ตามเวลาของเวิร์มที่ทวีคูณอย่างรวดเร็วได้ผ่านพ้นไปแล้ว

ดังที่คนอื่น ๆ ชี้ให้เห็นการเปลี่ยนหมายเลขพอร์ตไม่ได้ให้ความปลอดภัยมากนัก

ฉันต้องการเพิ่มว่าการเปลี่ยนหมายเลขพอร์ตอาจเป็นอันตรายต่อความปลอดภัยของคุณ

ลองนึกภาพสถานการณ์ที่ง่ายขึ้นดังต่อไปนี้ แครกเกอร์สแกนโฮสต์ 100 รายการ เก้าสิบเก้าของโฮสต์เหล่านี้มีบริการบนพอร์ตมาตรฐานเหล่านี้:

Port    Service
22      SSH
80      HTTP
443     HTTPS

แต่มีโฮสต์หนึ่งที่โดดเด่นจากฝูงชนเพราะเจ้าของระบบพยายามทำให้บริการของพวกเขาสับสน

Port    Service
2222    SSH
10080   HTTP
10443   HTTPS

ตอนนี้สิ่งนี้อาจน่าสนใจสำหรับแครกเกอร์เพราะการสแกนแนะนำสองสิ่ง:

1. เจ้าของโฮสต์พยายามซ่อนหมายเลขพอร์ตในระบบของพวกเขา บางทีเจ้าของคิดว่ามีบางสิ่งที่มีค่าในระบบ นี่อาจไม่ใช่ระบบที่หมดสิ้นแล้ว
2. พวกเขาเลือกวิธีที่ผิดเพื่อรักษาความปลอดภัยระบบของพวกเขา ผู้ดูแลระบบทำผิดพลาดโดยเชื่อในการทำให้พอร์ตสับสนซึ่งบ่งชี้ว่าพวกเขาอาจเป็นผู้ดูแลระบบที่ไม่มีประสบการณ์ บางทีพวกเขาใช้พอร์ต obfuscation แทนไฟร์วอลล์ที่เหมาะสมหรือ IDS ที่เหมาะสม พวกเขาอาจทำผิดพลาดด้านความปลอดภัยอื่น ๆ เช่นกันและอาจเสี่ยงต่อการโจมตีความปลอดภัยเพิ่มเติม ลองสำรวจอีกหน่อยตอนนี้เราจะได้ไหม

หากคุณเป็นคนแคร็กเกอร์คุณจะเลือกดูหนึ่งใน 99 โฮสต์ที่ใช้บริการมาตรฐานบนพอร์ตมาตรฐานหรือโฮสต์นี้ซึ่งใช้พอร์ตทำให้งงงวยหรือไม่

ฉันจะไปกับแนวโน้มทั่วไปอย่างน้อยบางส่วน

ด้วยตัวของมันเองการเปลี่ยนไปใช้พอร์ตอื่นอาจทำให้คุณได้รับสองสามวินาทีในขณะที่กำลังค้นหา อย่างไรก็ตามหากคุณรวมการใช้พอร์ตที่ไม่ได้มาตรฐานร่วมกับมาตรการป้องกันพอร์ตสแกนก็สามารถเพิ่มความปลอดภัยที่คุ้มค่ามากยิ่งขึ้น

นี่คือสถานการณ์ที่ใช้กับระบบของฉัน: บริการที่ไม่ใช่แบบสาธารณะทำงานบนพอร์ตที่ไม่ได้มาตรฐาน ความพยายามในการเชื่อมต่อใด ๆ กับพอร์ตมากกว่าสองพอร์ตจากแหล่งที่อยู่เดียวซึ่งประสบความสำเร็จหรือไม่ภายในระยะเวลาที่กำหนดส่งผลให้การรับส่งข้อมูลทั้งหมดจากแหล่งนั้นถูกทิ้ง

หากต้องการเอาชนะระบบนี้จะต้องใช้โชค (การกดพอร์ตที่ถูกต้องก่อนที่จะถูกบล็อก) หรือการสแกนแบบกระจายซึ่งเป็นต้นเหตุของมาตรการอื่น ๆ หรือเป็นเวลานานซึ่งจะสังเกตเห็นและดำเนินการต่อไป

ในความคิดของฉันการย้ายพอร์ตที่แอปพลิเคชันทำงานไม่ได้เพิ่มความปลอดภัยเลยเพียงเพราะแอปพลิเคชันเดียวกันนั้นกำลังทำงานอยู่ (ด้วยจุดแข็งและจุดอ่อนเดียวกัน) บนพอร์ตอื่น หากแอปพลิเคชันของคุณมีจุดอ่อนในการย้ายพอร์ตที่ฟังไปยังพอร์ตอื่นไม่ได้ระบุจุดอ่อน ที่แย่กว่านั้นคือมันสนับสนุนให้คุณไม่พูดถึงจุดอ่อนเพราะตอนนี้มันไม่ได้ถูกใช้อย่างต่อเนื่องโดยการสแกนอัตโนมัติ มันซ่อนปัญหาจริงซึ่งเป็นปัญหาที่ควรแก้ไขจริง

ตัวอย่างบางส่วน:

• "มันล้างข้อมูลบันทึก" - จากนั้นคุณมีปัญหาเกี่ยวกับวิธีจัดการบันทึกของคุณ
• "ช่วยลดค่าใช้จ่ายในการเชื่อมต่อ" - ค่าโสหุ้ยไม่สำคัญ (ตามที่สแกนส่วนใหญ่) หรือคุณต้องการการกรอง / การปฏิเสธการรับบริการบางอย่างจากต้นทาง
• "ช่วยลดการเปิดเผยของแอปพลิเคชัน" - หากแอปพลิเคชันของคุณไม่สามารถยืนขึ้นเพื่อสแกนและใช้ประโยชน์โดยอัตโนมัติแอปพลิเคชันของคุณจะมีข้อบกพร่องด้านความปลอดภัยที่ร้ายแรงซึ่งจำเป็นต้องได้รับการแก้ไข

ปัญหาที่แท้จริงคือการบริหาร: ผู้คนคาดหวังว่า SSH จะอยู่ที่ 22, MSSQL จะอยู่ที่ 1433 เป็นต้น การเคลื่อนย้ายสิ่งเหล่านี้ไปสู่อีกชั้นหนึ่งของความซับซ้อนและเอกสารที่จำเป็น มันน่ารำคาญมากที่จะนั่งที่เครือข่ายและต้องใช้ nmap เพื่อหาว่าสิ่งใดถูกย้ายไป ส่วนเพิ่มเติมของการรักษาความปลอดภัยเป็นสิ่งที่ดีที่สุดและข้อเสียก็ไม่สำคัญ อย่าทำมัน แก้ไขปัญหาจริง

คุณถูกต้องที่จะไม่นำมาซึ่งความปลอดภัยมาก (เนื่องจากช่วงพอร์ตเซิร์ฟเวอร์ TCP มีเอนโทรปีเพียง 16 บิต) แต่คุณสามารถทำได้ด้วยเหตุผลสองประการ:

• ดังที่คนอื่น ๆ ได้กล่าวไว้แล้ว: ผู้บุกรุกที่พยายามเข้าสู่ระบบจำนวนมากสามารถทำให้ไฟล์บันทึกของคุณยุ่งเหยิง (แม้ว่าการโจมตีด้วยพจนานุกรมจาก IP เดียวสามารถถูกบล็อกด้วย fail2ban);
• SSH ต้องการการเข้ารหัสลับพับลิกคีย์เพื่อแลกเปลี่ยนคีย์ลับเพื่อสร้าง tunnel ที่ปลอดภัย (นี่เป็นการดำเนินการที่มีค่าใช้จ่ายสูงซึ่งภายใต้สภาวะปกติไม่จำเป็นต้องทำบ่อยมาก); ซ้ำแล้วซ้ำอีก Connexions SSH อาจเสียพลังงาน

หมายเหตุ: ฉันไม่ได้บอกว่าคุณควรเปลี่ยนพอร์ตเซิร์ฟเวอร์ ฉันแค่อธิบายเหตุผลที่สมเหตุสมผล (IMO) เพื่อเปลี่ยนหมายเลขพอร์ต

หากคุณทำเช่นนั้นฉันคิดว่าคุณต้องทำให้ชัดเจนต่อผู้ดูแลระบบหรือผู้ใช้ทุกคนว่านี่ไม่ควรพิจารณาคุณสมบัติความปลอดภัยและหมายเลขพอร์ตที่ใช้ไม่ได้เป็นความลับและอธิบายว่านี่เป็นคุณลักษณะด้านความปลอดภัย ที่นำมาซึ่งความปลอดภัยที่แท้จริงไม่ถือว่าเป็นพฤติกรรมที่ยอมรับได้

ฉันสามารถดูสถานการณ์สมมุติหนึ่งสถานการณ์ซึ่งจะมีประโยชน์ด้านความปลอดภัยที่อาจเกิดขึ้นในการรัน sshd ของคุณบนพอร์ตอื่น นั่นจะเป็นในสถานการณ์ที่พบช่องโหว่จากระยะไกลที่ถูกเอารัดเอาเปรียบในซอฟต์แวร์ sshd ที่คุณใช้งานอยู่ ในสถานการณ์ดังกล่าวที่เรียกใช้ sshd ของคุณบนพอร์ตทางเลือกอาจให้เวลาเพิ่มเติมที่คุณไม่จำเป็นต้องเป็นเป้าหมายแบบไดรฟ์แบบสุ่ม

ตัวฉันเองใช้ sshd บนพอร์ตทางเลือกบนเครื่องส่วนตัวของฉัน แต่นั่นก็เพื่อความสะดวกในการลดความยุ่งเหยิงใน /var/log/auth.log ในระบบที่มีผู้ใช้หลายคนฉันไม่ได้พิจารณาถึงประโยชน์ด้านความปลอดภัยที่คาดการณ์ไว้เล็กน้อยที่นำเสนอข้างต้นว่าเป็นเหตุผลเพียงพอสำหรับความยุ่งยากเพิ่มเติมที่เกิดจาก sshd ที่ไม่พบในส่วนมาตรฐาน

มันเพิ่มความปลอดภัยเล็กน้อย ในกรณีที่ผู้โจมตีพบพอร์ตที่เปิดอยู่ในขณะนี้จะต้องจัดการกับสิ่งที่เรียกใช้บนพอร์ต ไม่สามารถเข้าถึงไฟล์ปรับแต่งของคุณได้ (แต่ยัง :-)) เขาไม่รู้ว่าพอร์ต 12345 กำลังเรียกใช้ http, sshd หรือหนึ่งในพันบริการทั่วไปอื่น ๆ ดังนั้นพวกเขาจึงจำเป็นต้องทำงานพิเศษเพื่อหาว่าอะไรที่ทำงานก่อนที่พวกเขาจะจริงจัง โจมตีมัน

ในขณะที่ผู้โพสต์คนอื่นชี้ให้เห็นในขณะที่พยายามล็อกอินเข้าสู่พอร์ต 22 อาจเป็นตัวย่อสคริปต์ตัวตลกซอมบี้โทรจันหรือแม้แต่ผู้ใช้ของแท้ที่พิมพ์ที่อยู่ IP ผิดพลาด ความพยายามในการเข้าสู่พอร์ต 12345 เกือบจะแน่นอนว่าเป็นผู้ใช้ของแท้หรือผู้โจมตีที่ร้ายแรง

อีกกลยุทธ์คือการมีพอร์ต "ฮันนี่ดัก" ไม่กี่พอร์ต เนื่องจากผู้ใช้ของแท้จะไม่ทราบเกี่ยวกับหมายเลขพอร์ตเหล่านี้ดังนั้นความพยายามในการเชื่อมต่อใด ๆ จะต้องถือว่าเป็นอันตรายและคุณสามารถบล็อก / รายงานที่อยู่ IP ที่ละเมิดโดยอัตโนมัติ

มีกรณีพิเศษที่การใช้หมายเลขพอร์ตอื่นจะทำให้ระบบของคุณปลอดภัยยิ่งขึ้น หากเครือข่ายของคุณใช้บริการสาธารณะเช่นเว็บเซิร์ฟเวอร์ แต่ใช้งานเว็บเซิร์ฟเวอร์ภายในเท่านั้นคุณสามารถปิดกั้นการเข้าถึงภายนอกโดยการใช้หมายเลขพอร์ตอื่นและบล็อกการเข้าถึงภายนอกจากพอร์ตนี้

ไม่ได้ด้วยตัวเอง อย่างไรก็ตามการไม่ใช้พอร์ตเริ่มต้นสำหรับแอปพลิเคชันเฉพาะ (เช่น SQL Server) จะบังคับให้ผู้โจมตีสแกนพอร์ตของคุณโดยทั่วไป พฤติกรรมนี้สามารถตรวจพบได้โดยไฟร์วอลล์ของคุณหรือตัวชี้วัดการตรวจสอบอื่น ๆ และ IP ของผู้โจมตีถูกบล็อก นอกจากนี้ "สคริปต์ตัวเล็ก" โดยเฉลี่ยจะมีแนวโน้มมากขึ้นเมื่อเครื่องมือหรือสคริปต์คำสั่งที่ใช้ไม่พบอินสแตนซ์ของเซิร์ฟเวอร์ SQL บนเครื่องของคุณ (เนื่องจากเครื่องมือตรวจสอบพอร์ตเริ่มต้นเท่านั้น)