Offene Port-Schwachstellen: Eine vollständige Liste und Sicherheitsleitfaden

Wenn Eindringlinge versuchen, in ein Gebäude einzubrechen, suchen sie nach einer Öffnung. Ein offener Port ist eine der Öffnungen, nach denen ein Hacker oder Bedrohungsakteur sucht, um Zugang zu einem digitalen Netzwerk zu erhalten. Dieser offene Port kann sich an einer Firewall, einem Server oder einem anderen netzwerkverbundenen Computergerät befinden. So wie eine einzige unverschlossene Tür Ihre Privatsphäre gefährden und Zugang zu einem physischen Gebäude gewähren kann, kann ein einziger offener Port Hackern einen Angriffspunkt bieten, um Ihre Systeme zu durchbrechen und Sie deren bösartigen Absichten auszusetzen.

Im Folgenden teilen wir die anfälligsten Ports und entscheidende Sicherheitsstrategien zum Schutz vor ihnen.

Übersicht über offene Port-Schwachstellen

Ein offener Port in Ihrem Netzwerk ist eine Schwachstelle. Er bietet einen potenziellen Zugangspunkt für unbefugten Zugriff, um Ihre Firewalls oder andere Sicherheitsmaßnahmen zu umgehen und Zugang zu Ihrem Netzwerk zu erhalten. Einmal im Inneren, können sie die von ihnen gewünschten Angriffe starten oder Aufklärung betreiben, um mehr über Ihre Organisation zu erfahren und wie sie diese ausnutzen können. Offene Ports stellen ein erhebliches Sicherheitsrisiko dar und sollten eine hohe Priorität im Sicherheitsmanagement haben.

Bedeutung der Sicherung offener Ports

Um Ihre Anfälligkeit für Angriffe zu verringern, müssen Sie Ihre Angriffsfläche reduzieren. Dies können Sie tun, indem Sie die Anzahl der offenen Ports in Ihren Systemen verringern. Zum Beispiel kann das Zulassen externer Remote Desktop Protocol (RDP, Port 3389) Verbindungen legitimen Benutzern den Zugang zu Ihrem Unternehmensnetzwerk von außerhalb gewähren. Dennoch bietet es eine Gelegenheit für Bedrohungsakteure, aktiv nach offenen RDP-Ports zu suchen, um diese auszunutzen.

Was sind Ports?

Definition und Zweck

Ein Port kann als eine virtuelle Tür betrachtet werden, die Netzwerkverkehr für bestimmte Dienste und Anwendungen ermöglicht. Eine eindeutige Nummer identifiziert jeden Port, um sich zu unterscheiden. Diese Ports können von zugewiesenen Administratoren verwaltet werden, die sie öffnen oder schließen können, um bestimmte Arten von Verkehr zu erlauben oder zu blockieren. Zum Beispiel basiert Webverkehr auf den Ports 80 und 443. Wenn Sie einen Server haben, der eine Webanwendung für externe Benutzer hostet, müssen Sie diese Ports öffnen, um ihnen Zugang zu gewähren. Alle ungenutzten Ports sollten geschlossen werden.

Arten von Ports: TCP und UDP

Die gängigsten Transportprotokolle mit Portnummern sind das Transmission Control Protocol (TCP) und das User Datagram Protocol (UDP). Software und Dienste sind so konzipiert, dass sie TCP oder UDP verwenden und eine bestimmte Portnummer zugewiesen bekommen.

• TCP ist ein verbindungsorientiertes Protokoll mit integrierter Neuübertragung und Fehlerbehebung. TCP ist normalerweise ein zuverlässigeres Protokoll.
• UDP ist ein verbindungsloses Protokoll, das keine Fehler in Nachrichten korrigiert oder wiederherstellt. Es ist als Best-Effort-Protokoll bekannt.

Zustände der Ports

TCP- und UDP-Ports befinden sich je nach Bedarf in einem dieser drei Zustände:

• Offen — Der Port reagiert auf Verbindungsanfragen.
• Geschlossen — Der Port ist nicht erreichbar, was darauf hindeutet, dass kein entsprechender Dienst läuft.
• Gefiltert — Die Firewall überwacht den Datenverkehr und blockiert spezifische Port-Verbindungsanfragen.

Sicherheitsrisiken im Zusammenhang mit offenen Ports

Bedrohungsakteure nutzen offene Ports, um Angriffe durchzuführen und Schwachstellen auszunutzen. Im Folgenden teilen wir einige gängige Exploits und Angriffe, die bösartige Akteure ausnutzen, und gehen dann auf zwei berühmte Angriffe über offene Port-Schwachstellen im Detail ein.

Häufige Exploits und Angriffe

• Eine open RDP connection kann verwendet werden, um einen Credential-Stuffing-Angriff zu starten, um auf einen Server zuzugreifen oder eine Ransomware-Last zu übermitteln.
• Eine Denial of Service (DoS)-Attacke sendet viele Verbindungsanfragen von verschiedenen Maschinen, um einen bestimmten Dienst zu stören. Ein typisches Beispiel wäre das Ziel, die Web-Ports eines Web-Servers zu überlasten, um seine Bandbreite und Ressourcen zu verbrauchen und so legitimen Benutzern den Zugriff auf den Dienst zu verhindern.
• Webdienst-Ports werden häufig als Eintrittspunkte genutzt, um Angriffe wie SQL-Injection und Cross-Site-Request-Forgery durchzuführen, um Schwachstellen innerhalb der Anwendungen selbst auszunutzen.
• Man-in-the-middle-Angriffe können dazu verwendet werden, unverschlüsselten Datenverkehr bekannter Ports abzugreifen, um sensible Informationen zu sammeln. Ein Beispiel ist das Umleiten von Datenverkehr, um E-Mail-Verkehr abzufangen.

Fallstudien: WannaCry, RDP Pipe Plumbing

Einer der bekannteren Angriffe war der WannaCry Ransomware attack im Jahr 2017. Der Angriff wurde weltweit durchgeführt und betraf über 300.000 Computer in 150 Ländern. Der Angriff nutzte eine Schwachstelle im SMB-Protokoll auf Port 445 aus. Sobald die Angreifer in die Organisation eingedrungen waren, verschlüsselten sie deren Dateien und forderten ein Lösegeld.

RDP Pipe Plumbing ist eine Schwachstelle im Remote Desktop Protocol, die Windows-benannte Pipes ausnutzt. Angreifer zielen auf den RDP 3389 Port, um gefälschte Pipe-Serverinstanzen mit demselben Namen wie legitime zu erstellen. Anschließend nutzen sie diese gefälschten Pipes, um die Kommunikation zwischen RDP-Clients und -Servern abzufangen. Dieser Man-in-the-Middle-Angriff ermöglicht unbefugten Zugriff auf sensible Daten, einschließlich Zwischenablageinhalten und Dateiübertragungen.

Verwundbare Ports und ihre Risiken

Nachfolgend finden Sie eine Liste offener Port-Schwachstellen. Lesen Sie weiter, um zu erfahren, welche am anfälligsten für Ausnutzung sind.

Schwachstellen des Ports 21 (FTP)

Das File Transfer Protocol (FTP) verwendet den Port 21. FTP ermöglicht es Benutzern, Dateien in einer unverschlüsselten Übertragung zu senden und von Servern zu empfangen. FTP gilt als veraltet und unsicher und sollte nicht für Dateiübertragungen verwendet werden, insbesondere nicht für sensible Daten, da es leicht mit einer der folgenden Methoden ausgenutzt werden kann:

• Brute-Force-Angriffe auf Passwörter
• Anonyme Authentifizierung (es ist möglich, sich mit „anonymous“ als Benutzername und Passwort am FTP-Port anzumelden)
• Cross-Site Scripting
• Angriffe auf Verzeichnisdurchquerung
• Man-in-the-middle

Schwachstellen des Ports 22 (SSH)

Port 22 wird häufig für Secure Shell-Verbindungen verwendet. Er wird gegenüber Telnet bevorzugt, weil die Verbindung verschlüsselt ist. Oft für die Fernverwaltung verwendet, ist Port 22 ein TCP-Port, um sicheren Fernzugriff zu gewährleisten. Trotz seiner verbesserten Sicherheit weist er immer noch einige grundlegende Schwachstellen auf:

• Durchgesickerte SSH-Schlüssel. Wenn SSH-Schlüssel nicht korrekt gesichert sind, können sie von einem Angreifer genutzt werden, um ohne das erforderliche Passwort Zugang zu erlangen.
• Brute-Force-Angriffe auf Zugangsdaten. Offene SSH-Ports sind leicht auffindbar, was Angreifern ermöglicht, Benutzernamen- und Passwortkombinationen zu erraten.

Schwachstellen des Ports 23 (Telnet)

Telnet ist ein TCP-Protokoll, das Port 23 verwendet. Es stellt eine Verbindung zu entfernten Geräten her, die Befehlszeilenschnittstellen wie Switches, Router und Server nutzen. Wie FTP ist Telnet unverschlüsselt, veraltet und gilt als unsicher. Es wurde von SSH abgelöst. Zu den häufigen Schwachstellen gehören:

• Credential Brute-Forcing. Angreifer nutzen offene Port-Schwachstellen, um wiederholte Anmeldeversuche gegen exponierte Dienste zu starten und versuchen, durch Erraten von Anmeldeinformationen unbefugten Zugriff zu erlangen.
• Spoofing und Credential Sniffing. Offene Ports können Dienste für Angreifer freilegen, die sie ausnutzen, um während der Datenübertragung Credentials zu abzufangen und zu stehlen, oft indem sie sich als legitime Entitäten ausgeben.

Port 25-Schwachstellen (SMTP)

Port 25 wird vom Simple Mail Transfer Protocol (SMTP) zum Senden und Empfangen von E-Mails verwendet. SMTP wurde entwickelt, als Cybersicherheit noch keine große Rolle spielte, daher kann es ohne Drittanbieter-Sicherheitslösungen leicht ausgenutzt werden. Ohne eine ordnungsgemäße Konfiguration und Schutz ist dieser TCP-Port Bedrohungen wie folgt ausgesetzt:

• Spoofing. Angreifer können E-Mail-Header fälschen, um Nachrichten so aussehen zu lassen, als ob sie von einer vertrauenswürdigen Quelle stammen.
• Spamming. Unprotected SMTP-Server können ausgenutzt werden, um große Mengen unerwünschter E-Mails zu versenden, was oft Systeme überlastet und Malware verbreitet.
• Man-in-the-middle, insbesondere wenn die E-Mail selbst im Klartext gesendet wird.

Schwachstellen des Ports 53

Port 53 wird für das Domain Name System (DNS) verwendet, das menschenlesbare Domainnamen wie facebook.com oder linkedin.com in IP-Adressen übersetzt. DNS ist für den Internetverkehr unerlässlich und verwendet sowohl UDP als auch TCP für Abfragen und Übertragungen. Dieser Port ist besonders anfällig für Distributed Denial of Service (DDoS)-Angriffe, bei denen Angreifer den DNS-Server mit einer Flut von Anfragen überwältigen und so den Dienst stören können.

• DDoS-Angriffe. Dabei handelt es sich um gängige Angriffe, bei denen Angreifer versuchen, den Server mit einer großen Menge an Paketen zu überlasten, um einen Dienstausfall zu verursachen. Diese Angriffsart hat einige Varianten, DDoS (Distributed Denial of Service) und DNS-Verstärkungsangriffe.

Ports 137 und 139 (NetBIOS über TCP) und 445 (SMB) Schwachstellen

Ports 137 und 139 (NetBIOS über TCP) und 445 (SMB) werden häufig mit Dateifreigabe und Netzwerkkommunikation in Windows-Umgebungen in Verbindung gebracht. Sie sind jedoch auch bekannt dafür, anfällig für mehrere Sicherheitsbedrohungen zu sein:

• EternalBlue-Exploit. Dieser Angriff nutzt SMBv1-Schwachstellen in älteren Versionen von Microsoft-Computern aus. Er wurde bekannt, nachdem der WannaCry-Ransomware-Angriff 2017 weltweit gestartet wurde.
• Erfassen von NTLM-Hashes. Angreifer können NTLM-Hashes abfangen und erfassen und sie nutzen, um sich als legitime Benutzer zu authentifizieren.
• Brute-Force-Angriffe auf SMB-Anmeldeinformationen. Angreifer könnten versuchen, Zugang zu erlangen, indem sie systematisch verschiedene Benutzernamen- und Passwortkombinationen ausprobieren, bis sie die richtigen Anmeldeinformationen finden.

Ports 80, 443, 8080 und 8443 Schwachstellen (HTTP und HTTPS)

Jeder, der eine Webseite besucht hat, hat die HTTP- oder HTTPS-Protokolle in seinem Webbrowser verwendet. Wie erwähnt, werden Web-Ports häufig von Angreifern für viele Arten von Angriffen ins Visier genommen, einschließlich:

• Cross-Site Scripting. Angreifer injizieren bösartige Skripte in Webseiten und Anwendungen, um Cookies, Tokens oder Daten zu stehlen.
• SQL-Injections. Angreifer fügen bösartigen SQL-Code in Eingabefelder ein, um eine Datenbank zu manipulieren.
• Cross-Site-Request-Forgers.Ein Angreifer nutzt das Vertrauen zwischen dem Webbrowser eines Benutzers und einer Webanwendung aus, um den Benutzer dazu zu bringen, ohne dessen Wissen oder Einwilligung Aktionen auf einer Website durchzuführen.
• DDoS-Angriffe

Ports 1433, 1434 und 3306 Schwachstellen (Verwendet von Datenbanken)

Dies sind die Standardports für SQL Server und MySQL. Sie werden verwendet, um eine Vielzahl bösartiger Handlungen durchzuführen, einschließlich:

• Verbreitung von Malware. Angreifer nutzen offene Ports, um in ein Netzwerk einzudringen, verbreiten Schadsoftware, die Systeme kompromittieren, Daten stehlen oder Infrastruktur beschädigen kann.
• DDoS-Szenarien. Offene Port-Schwachstellen werden ausgenutzt, um Dienste mit massivem Datenverkehr in Distributed Denial of Service (DDoS)-Angriffen zu überwältigen, wodurch Systeme unbrauchbar gemacht werden.
• Finden Sie ungeschützte Datenbanken mit ausnutzbaren Standardkonfigurationen. Offene Ports können Datenbanken mit schwachen oder Standard-Einstellungen freilegen, was Angreifern ermöglicht, sie effizient auszunutzen, um unbefugten Zugriff zu erlangen und sensible Informationen zu manipulieren oder zu stehlen.

Schwachstellen des Ports 3389 (Remote Desktop)

• Sicherheitslücken im Remote Desktop Protocol setzen RDP Brute-Force-Angriffen und Man-in-the-Middle-Angriffen aus.

• Die BlueKeep-Schwachstelle (CVE-2019-0708) ist eine RDP-Schwachstelle, die in älteren Microsoft-Betriebssystemen wie Windows 7 und Windows Server 2008 gefunden wurde. BlueKeep kann ausgenutzt werden, um Malware ohne Benutzereingriff in einer Organisation zu verbreiten.

Schritte zur Absicherung offener Ports

Bevorzugen Sie verschlüsselte Ports gegenüber unverschlüsselten

Die meisten regulären Dienste, die in einer IP-basierten Umgebung verwendet werden, verfügen mittlerweile über eine verschlüsselte Version des älteren, ursprünglichen Protokolls im Klartext. Es ist eine gute Praxis, auf die verschlüsselte Version umzusteigen, um Datenlecks zu vermeiden, während Informationen über die Leitungen übertragen werden.

Regelmäßiges Patchen und Aktualisieren

Das Patchen hält Ihre Systeme und Firewalls auf dem neuesten Stand. Anbieter veröffentlichen regelmäßig Patches, die Schwachstellen und Fehler in ihren Produkten beheben, die Cyberkriminelle nutzen könnten, um vollen Zugriff auf Ihre Systeme und Daten zu erhalten.

Port-Scanning-Tools

Sie sollten auch regelmäßig Ihre Ports scannen und überprüfen. Es gibt drei Hauptmethoden, dies zu tun:

• Kommandozeilen-Tools. Wenn Sie Zeit haben, Ports manuell zu scannen und zu überprüfen, verwenden Sie Kommandozeilen-Tools, um offene Ports zu finden und zu scannen. Beispiele sind Netstat und Network Mapper, die Sie auf verschiedenen Betriebssystemen, einschließlich Windows und Linux, installieren können.
• Port-Scanner. Wenn Sie schnellere Ergebnisse wünschen, sollten Sie einen Port-Scanner verwenden. Ein Computerprogramm überprüft, ob Ports offen, geschlossen oder gefiltert sind. Der Prozess ist einfach: Der Scanner sendet eine Netzwerkanfrage, um eine Verbindung zu einem bestimmten Port herzustellen und erfasst die Antwort.
• Tools zum Scannen von Schwachstellen. Tools zum Scannen von Schwachstellen sind automatisierte Anwendungen, die IT-Assets wie Server, Desktops und Netzwerkgeräte identifizieren und inventarisieren, um Sicherheitsschwächen zu erkennen. Sie suchen nach bekannten Schwachstellen, die durch Fehlkonfigurationen oder fehlerhafte Programmierung entstehen. Die Ergebnisse dieser Scans liefern wertvolle Einblicke in das Risikoniveau einer Organisation und können verwendet werden, um effektive Minderungsstrategien zu empfehlen.

Überwachung von Konfigurationsänderungen des Dienstes

Es ist wichtig, über jegliche Konfigurationsänderungen an Ihren Servern, Firewalls, Switches, Routern und anderen Netzwerkgeräten auf dem Laufenden zu bleiben, da diese Änderungen Schwachstellen einführen können. Solche Modifikationen können versehentlich oder absichtlich erfolgen. Mit Netwrix Change Tracker können Sie Ihre Systeme absichern, indem Sie unbefugte Änderungen und andere verdächtige Aktivitäten verfolgen. Insbesondere bietet es folgende Funktionalitäten:

• Aktionierbare Alarmierung über Konfigurationsänderungen
• Automatische Aufzeichnung, Analyse, Validierung und Verifizierung jeder Änderung
• Echtzeit-Änderungsüberwachung
• Ständige Überwachung von Anwendungsschwachstellen

Einsatz von Intrusion-Detection- und Prevention-Systemen (IDP und IPS)

IDS überwacht den Netzwerkverkehr auf Anzeichen verdächtiger Aktivitäten oder bekannter Bedrohungen, während IPS noch einen Schritt weiter geht und erkannte Bedrohungen blockiert. Beide können gängige Exploits verhindern, die offene Ports zum Ziel haben, einschließlich SQL-Injections, DDoS-Angriffe und andere Cyber-Bedrohungen.

Implementierung von SSH-Schlüsseln

SSH-Schlüssel sind weniger anfällig für Brute-Force-Angriffe, Phishing und menschliche Fehler. Diese verschlüsselten Schlüssel machen es überflüssig, dass Benutzer sich Passwörter merken und eingeben müssen, wodurch die Wahrscheinlichkeit eines unbefugten Zugriffs über offene Ports verringert wird. Es gibt zwei Arten von SSH-Schlüsseln:

• Private oder Identitätsschlüssel, die Benutzer identifizieren und ihnen Zugang gewähren
• Öffentliche oder autorisierte Schlüssel, die bestimmen, wer auf Ihr System zugreifen kann

Durchführung von Penetrationstests und Schwachstellenbewertungen

Penetrationstests und Schwachstellenbewertungen sollten verwendet werden, um Schwachstellen in der IT-Infrastruktur zu erkennen, obwohl jeder einen anderen Ansatz verfolgt. Ein Penetrationstest (ein Pen-Test) wird von einem Sicherheitsexperten durchgeführt, der einen Cyberangriff auf ein Computersystem oder Netzwerk simuliert, um Schwachstellen zu identifizieren und auszunutzen. Es zeigt, wie ein Angriff aktiv in Ihr Netzwerk eindringen könnte. Eine Schwachstellenbewertung hingegen ist ein automatisierter Scan, der bekannte Schwachstellen identifiziert und priorisiert. Zusammen können sie eine umfassende Zusammenfassung Ihrer Portschwachstellen bieten.

Best Practices für Port-Sicherheit

• Bewertung externer Angriffsflächen. Sie sollten regelmäßig die Exposition Ihres Netzwerks gegenüber externen Bedrohungen bewerten, indem Sie offene Ports identifizieren und sichern, die ein Angreifer ausnutzen könnte. Stellen Sie sicher, dass jeder offene Port notwendig ist. Schließen Sie Ports, die mit veralteten Anwendungen oder Diensten verbunden sind, sofort.
• Kontinuierliches Monitoring für aufkommende Risiken. Führen Sie fortlaufendes und umfassendes Monitoring durch, um neue Schwachstellen und Bedrohungen im Zusammenhang mit offenen Ports zu erkennen. Reagieren und mindern Sie zeitnah, wenn nötig.
• Bewertung der Leistung offener Ports.Überprüfen und bewerten Sie regelmäßig die Sicherheit und Funktionalität aller offenen Ports. Stellen Sie sicher, dass offene Ports angemessen ihren zugewiesenen internen Zielen zugeordnet sind und dass das Prinzip der geringsten Berechtigung auf alle anwendbaren Ressourcen angewendet wird.
• Einhalten eines konsistenten Patch-Zeitplans.Regelmäßiges Patchen kann große Sicherheitsdividenden bringen. Stellen Sie sicher, dass alle sicherheitsrelevanten Patches unmittelbar nach ihrer Veröffentlichung eingesetzt werden.
• Fehlkonfigurierte, ungepatchte und anfällige Dienste. Ungepatchte oder fehlkonfigurierte Systeme können zu einem kompromittierten System führen. Stellen Sie sicher, dass alle Konfigurationen den besten Sicherheitspraktiken entsprechen. Implementieren Sie ein Überwachungssystem, um Ihr Netzwerk-Supportpersonal zu alarmieren, wenn eine Konfigurationsänderung auftritt.

Fazit

Offene Ports sind wie ein zweischneidiges Schwert. Einerseits sind sie unerlässlich für den Betrieb Ihres Unternehmens, um Webseiten, Anwendungen und Dienste zu ermöglichen. Andererseits bieten sie Bedrohungsakteuren die Möglichkeit, in Ihr Netzwerk einzudringen und es auszunutzen. Dies macht das Verwalten und Überwachen offener Ports zu einem kritischen Aspekt der Netzwerksicherheit und kann nicht genug betont werden. Ihre Organisation sollte eine Richtlinie haben, die die Verfahren zur Sicherung aller offenen Ports beschreibt und sicherstellt, dass alle Systeme und Software regelmäßig aktualisiert werden. Unsichere Ports wie Telnet und FTP sollten abgewertet und durch moderne Lösungen ersetzt werden, die moderne sichere Technologien nutzen. Führen Sie regelmäßige Bewertungen durch, um sicherzustellen, dass alle offenen Ports notwendig sind und bestätigen Sie, dass die Konfigurationen den besten Praktiken entsprechen. Denken Sie daran, dass sich Ihre Anforderungen an Ports mit der Technologieentwicklung ebenfalls ändern werden. Mit der richtigen Strategie und dem nötigen Fokus können Ihre offenen Ports weiterhin funktionierende Vermögenswerte statt Schwachstellen bleiben, die Ihr Unternehmen einem größeren Risiko aussetzen.

Offene Ports sind das, was Netzwerke funktionsfähig macht. Sie ermöglichen Webservern, Verkehr zu akzeptieren, entfernten Administratoren sich zu verbinden und Geschäftsanwendungen zu kommunizieren. Sie sind auch das Erste, wonach ein Bedrohungsakteur sucht.

Offene Ports sind für den Betrieb unerlässlich. Die Aufgabe besteht darin, zu verstehen, welche Risiken sie bergen, welche Angriffe sie ermöglichen und wie man die Exposition kontrolliert. Dieser Leitfaden behandelt die am häufigsten genutzten, verwundbarsten Ports, die Angriffstechniken, die sie ins Visier nehmen, und Schritte zur Reduzierung Ihrer Angriffsfläche.

Was sind offene Ports?

Angreifer verwenden automatisierte Tools, um das Internet nach exponierten Diensten zu durchsuchen. Finden sie einen Port mit einem ungepatchten Dienst, einem falsch konfigurierten Protokoll oder schwachen Zugangsdaten, haben sie einen direkten Weg tiefer ins Netzwerk. Laut dem Verizon 2026 Data Breach Investigations Report, stieg die Ausnutzung von Schwachstellen als initialer Zugriffsvektor im Jahresvergleich um 55 % und machte 31 % der Sicherheitsverletzungen aus.

Arten von Ports

TCP und UDP sind die beiden Transportprotokolle, die Ports verwenden. Das Verständnis des Unterschieds ist wichtig, um die Netzwerkaussetzung zu bewerten und zu kontrollieren.

TCP

Ein Port ist ein virtueller Kommunikationsendpunkt, der den Netzwerkverkehr an den entsprechenden Dienst oder die Anwendung auf einem Gerät weiterleitet. Jedes vernetzte Gerät verfügt über bis zu 65.535 TCP-Ports und 65.535 UDP-Ports, die jeweils durch eine Nummer identifiziert werden. Administratoren steuern, welche Ports eingehende Verbindungen akzeptieren, indem sie nur die für legitime Dienste benötigten öffnen und die übrigen schließen oder filtern.

Port 80 verarbeitet HTTP-Webverkehr. Port 443 verarbeitet HTTPS. Port 22 verarbeitet SSH-Verbindungen. Wenn ein Dienst läuft und ein Port offen ist, kann jedes Gerät im Netzwerk oder im Internet, falls der Port extern zugänglich ist, eine Verbindung versuchen.

UDP

Arten von Portzuständen

TCP ist verbindungsorientiert. Es stellt vor der Datenübertragung eine verifizierte Verbindung her, beinhaltet integrierte Fehlererkennung und -wiederholung und garantiert die Zustellung. Die meisten Dienste, die Zuverlässigkeit erfordern, wie Web-Browsing, Dateiübertragung und Fernzugriff, laufen über TCP.

TCP- und UDP-Ports befinden sich in einem von drei Zuständen:

UDP ist verbindungslos. Es sendet Daten ohne Bestätigung der Zustellung, was den Overhead reduziert und die Geschwindigkeit verbessert. Dienste, die Leistung über garantierte Zustellung stellen, wie DNS-Abfragen, Streaming und VoIP, verwenden häufig UDP.

• Offen: Der Port akzeptiert Verbindungsanfragen und ein Dienst hört aktiv zu.
• Gefiltert: Eine Firewall blockiert Verbindungsversuche, sodass keine Antwort den Anfragenden erreicht.

Warum offene Ports ein Sicherheitsrisiko darstellen

• Geschlossen: Der Port ist erreichbar, aber kein Dienst läuft; das Betriebssystem antwortet dennoch mit einem TCP-RST (Reset)-Paket, sodass der Versuch eine explizite Ablehnung statt Stille erhält.

Ein geschlossener Port ist eine bekannte Größe. Ein gefilterter Port verrät einem Angreifer nichts. Das Risiko liegt bei einem offenen Port mit dem falschen Dienst dahinter.

Ein offener Port ist ein direkter Kommunikationskanal vom Internet zu einem Dienst, der in Ihrer Infrastruktur läuft. Das Risiko ist messbar, wächst und steht in direktem Zusammenhang mit finanziellen Ergebnissen.

Angreifer scannen kontinuierlich nach offenen Ports

Die Ausnutzung von Ports nimmt zu

Eine schwache Port-Postur sagt direkt das Risiko einer Sicherheitsverletzung voraus

Fallstudien zu Schwachstellen offener Ports

Automatisierte Scanning-Tools durchsuchen den gesamten IPv4-Adressraum innerhalb weniger Stunden. Plattformen wie Shodan und Censys indexieren kontinuierlich exponierte Dienste, was bedeutet, dass jeder Port, der ohne entsprechende Firewall-Einschränkung geöffnet ist, innerhalb von Minuten entdeckt werden kann. Angreifer müssen Ihre Organisation nicht gezielt angreifen. Sie scannen in großem Maßstab, identifizieren Dienste mit verwundbaren Versionen und attackieren jede antwortende IP. Ein falsch konfigurierter Port, der bei Ihrem nächsten geplanten Audit auftaucht, hat möglicherweise bereits Tausende unautorisierter Verbindungsversuche erlebt.

Eine Untersuchung von Bitsight ergab, dass Organisationen mit einer schlechten Bewertung für offene Ports mehr als doppelt so häufig eine Datenpanne erleben wie solche mit starken Portkontrollen. Das finanzielle Risiko ist real. Der Netwrix Cybersecurity Trends Report 2025 ergab, dass 75 % der Organisationen finanzielle Schäden durch Sicherheitsangriffe meldeten, wobei 13 % Verluste von 200.000 $ oder mehr schätzten.

WannaCry: SMB-Port 445 und die Kosten einer ungepatchten Schwachstelle

RDP Pipe Plumbing: Man-in-the-Middle über Port 3389

Echte Vorfälle zeigen, was passiert, wenn offene Ports mit ungepatchten Diensten ohne angemessene Kontrollen dem Internet ausgesetzt sind. Zwei Angriffe auf die Ports 445 und 3389 gehören zu den meistzitierten in der Netzwerksicherheit.

Angriffe auf Netzwerkdienste nehmen zu. Laut dem Netwrix Cybersecurity Trends Report 2025, erlebten 28 % der Organisationen im vergangenen Jahr einen gezielten Angriff auf ihre lokale Infrastruktur, gegenüber 19 % im Jahr 2023. Allgemeiner bestätigten 51 % einen Sicherheitsvorfall, der in den letzten 12 Monaten eine gezielte Reaktion der Sicherheitsteams erforderte. Die Reduzierung Ihrer attack surface beginnt damit, zu kontrollieren, welche Dienste erreichbar sind, und sicherzustellen, dass jeder gepatcht und korrekt konfiguriert ist.

Verwundbare offene Ports und deren Risiken

Port 21 (FTP)

RDP Pipe Plumbing nutzt Windows named pipes über Port 3389 aus. Angreifer erstellen gefälschte Pipe-Server-Instanzen, die legitimen Namen entsprechen, und interceptieren dann RDP-Kommunikationen, um Daten zu erfassen, einschließlich Zwischenablageinhalte und Dateiübertragungen. Diese Man-in-the-Middle-Technik erfordert nur einen zugänglichen RDP-Port zur Ausführung.

Die folgenden Ports erscheinen in Angriffsdaten regelmäßig als Hochrisiko-Expositionspunkte. Jeder erklärt, was der Port macht, warum er verwundbar ist und welche spezifischen Angriffsmethoden ihn ins Visier nehmen.

Der WannaCry-Ransomware-Angriff im Mai 2017 bleibt eines der folgenreichsten Beispiele für die Ausnutzung offener Ports. Angreifer nutzten den EternalBlue-Exploit, um SMBv1 auf Port 445 anzugreifen, und verbreiteten Ransomware auf über 300.000 Systemen in 150 Ländern, ohne Benutzerinteraktion zu benötigen. Der Schaden war möglich, weil exponierte SMB-Ports aus dem Internet erreichbar waren und das zugrundeliegende Protokoll eine ungepatchte kritische Schwachstelle aufwies.

Das File Transfer Protocol verwendet Port 21 für Steuerbefehle und Port 20 für Datenübertragungen. FTP überträgt alle Daten, einschließlich Anmeldeinformationen, im Klartext, ohne integrierte Verschlüsselung oder Serververifizierung. Es gilt als veraltet, und Organisationen, die noch FTP nutzen, sollten auf SFTP oder FTPS umsteigen.

• Brute-Force-Angriffe: Automatisierte Tools versuchen systematisch Benutzername- und Passwortkombinationen beim FTP-Dienst, bis gültige Anmeldedaten gefunden werden.
• Anmeldeinformationen abfangen: FTP überträgt Benutzernamen und Passwörter im Klartext. Jeder Angreifer mit Zugriff auf den Netzwerkverkehr kann Anmeldeinformationen ohne aktive Ausnutzung erfassen.
• Missbrauch anonymer Authentifizierung: Viele FTP-Server akzeptieren standardmäßig "anonymous" als Benutzername und Passwort und gewähren so nicht authentifizierten Zugriff auf gehostete Dateien.

Port 22 (SSH)

• Verzeichnisdurchquerung: Angreifer senden speziell gestaltete Dateipfad-Anfragen, um außerhalb des FTP-Stammverzeichnisses zu navigieren und auf Dateien im zugrunde liegenden System zuzugreifen.

Port 23 (Telnet)

• Diebstahl des SSH-Schlüssels: Ein gestohlener oder unsachgemäß gespeicherter privater Schlüssel gewährt vollen Zugriff auf jedes System, das dem entsprechenden öffentlichen Schlüssel vertraut, ohne dass ein Passwort erforderlich ist.
• Missbrauch von SSH-Tunneling: Angreifer mit Erstzugang nutzen SSH-Portweiterleitung, um verschlüsselte Tunnel zu erstellen, die Firewall-Kontrollen umgehen und so Datenexfiltration oder laterale Bewegungen zu internen Systemen ermöglichen.
• Brute-Force-Angriffe: Offene SSH-Ports mit aktivierter Passwortauthentifizierung sind ein dauerhaftes Ziel. Automatisierte Tools führen tausende Anmeldeversuche pro Minute gegen Port 22 aus.

Secure Shell verwendet Port 22 für verschlüsselten Fernzugriff und Dateiübertragung und unterstützt secure remote access zu Servern und Netzwerkgeräten. SSH ersetzte Telnet als Standard für die Fernverwaltung von Systemen. Die Verschlüsselung schützt Daten während der Übertragung, aber falsch konfigurierte SSH schafft zwei gut dokumentierte Angriffsflächen.

Telnet arbeitet auf TCP-Port 23 und bietet Befehlszeilenzugriff auf entfernte Geräte, einschließlich Router, Switches und Server. Wie FTP überträgt Telnet alle Daten, einschließlich Anmeldeinformationen, im Klartext. SSH hat Telnet als sichere Alternative abgelöst, und jeder Telnet-Dienst auf einem internetseitigen System stellt ein völlig vermeidbares Risiko dar.

Port 25 (SMTP)

• Brute-Force-Angriffe: Automatisierte Tools zielen auf offene Telnet-Ports mit einer hohen Anzahl von Anmeldeversuchen, insbesondere bei Routern und Switches, die Standardanmeldedaten behalten.
• Anmeldeinformationen abfangen: Telnet überträgt Benutzernamen und Passwörter im Klartext. Jeder Angreifer zwischen Client und Server kann die Anmeldeinformationen ohne aktive Ausnutzung abfangen.

Port 25 verarbeitet das Simple Mail Transfer Protocol, den Standard für den E-Mail-Relay von Server zu Server. SMTP ist älter als moderne Sicherheitsanforderungen und schafft ohne richtige Konfiguration drei gut dokumentierte ausnutzbare Schwachstellen.

• E-Mail-Spoofing: Angreifer fälschen Absenderheader, damit Nachrichten von vertrauenswürdigen Domains zu stammen scheinen, was Phishing-Kampagnen ermöglicht, die grundlegende Absender-Reputationsfilter umgehen.

Port 53 (DNS)

• Missbrauch offener Relay-Server: Ein ungeschützter SMTP-Server ohne Relay-Beschränkungen sendet E-Mails im Namen beliebiger Absender und wird so zur Plattform für massenhaften Spam- und Malware-Versand.
• STARTTLS-Downgrade-Angriffe: Wenn ein Mailserver STARTTLS nicht erzwingt, fangen Angreifer die Verbindungsverhandlung ab und erzwingen eine unverschlüsselte Sitzung, wodurch E-Mail-Inhalte und Anmeldedaten während der Übertragung offengelegt werden.
• DNS-Tunneling: Angreifer kodieren Daten-Payloads in DNS-Anfragen und -Antworten, um Informationen zu exfiltrieren oder eine Kommando-und-Kontrolle-Kommunikation durch Firewalls aufrechtzuerhalten, die DNS-Verkehr erlauben.

Port 53 verarbeitet Domain Name System-Anfragen und übersetzt Domainnamen in IP-Adressen für den Internetverkehr. DNS verwendet UDP für Standardabfragen und TCP für Zonentransfers. Da nahezu jede Netzwerkoperation von DNS abhängt, ist es ein wertvolles Angriffsziel und ein Protokoll, das von Perimeterkontrollen häufig unbeschränkt bleibt.

• DNS-Amplifikationsangriffe: Angreifer senden kleine Anfragen mit gefälschter Quell-IP an offene Resolver. Der Resolver sendet viel größere Antworten an das Opfer zurück, was bei einem DDoS-Angriff zu unverhältnismäßig hohem Datenverkehr führt.

Ports 137, 139 und 445 (NetBIOS und SMB)

Die Ports 137 und 139 verwalten NetBIOS über TCP. Port 445 verwaltet Server Message Block (SMB), das Windows-Protokoll für Datei-, Druckerfreigabe und Netzkommunikation. Deaktivieren Sie SMBv1 auf allen Systemen. SMBv2 und SMBv3 mit aktivierter Verschlüsselung sind der aktuelle Standard.

• DNS-Cache-Poisoning: Angreifer injizieren gefälschte DNS-Antworten in den Cache eines Resolvers und leiten Benutzer ohne deren Wissen von legitimen Domains zu angreiferkontrollierten Adressen um. Die Überwachung von DNS-Einträgen auf unautorisierte Änderungen ist eine wichtige Maßnahme gegen diese Technik.

Ports 80, 443, 8080 und 8443 (HTTP und HTTPS)

• NTLM-Relay-Angriffe: Angreifer fangen NTLM-Authentifizierungsanfragen über SMB ab und leiten sie an andere Systeme im Netzwerk weiter, wobei sie sich als legitimer Benutzer authentifizieren, ohne das Passwort zu ermitteln.
• Brute-Force-Anmeldeversuche: Automatisierte Tools zielen auf exponierte SMB-Ports mit einer großen Anzahl von Anmeldeversuchen, insbesondere bei Systemen mit schwachen oder Standard-Anmeldeinformationen.
• EternalBlue-Exploit: Dieser Angriff zielt auf eine kritische Schwachstelle in SMBv1 ab und ermöglicht die Ausführung von Code aus der Ferne ohne Authentifizierung oder Benutzerinteraktion. EternalBlue war die Grundlage für die WannaCry- und NotPetya-Angriffe und wird weiterhin aktiv genutzt.
• Cross-site scripting (XSS): Angreifer injizieren schädliche Skripte in Webseiten, die im Browser der Nutzer ausgeführt werden und so Sitzungsübernahmen und Diebstahl von Zugangsdaten ermöglichen.

Webports müssen für die meisten Organisationen offen und extern zugänglich bleiben, was sie zu einem konstanten Ziel macht. HTTP (80) und dessen Alternative (8080) übertragen Daten im Klartext. HTTPS (443, 8443) verschlüsselt die Transportschicht, schützt jedoch nicht vor Angriffen auf Anwendungsebene.

Ports 1433, 1434 und 3306 (Datenbank-Ports)

• SQL-Injektion: Angreifer fügen bösartige SQL-Anweisungen in Eingabefelder von Webanwendungen ein, um die zugrunde liegende Datenbank zu manipulieren, sensible Daten zu extrahieren oder Datensätze zu ändern.
• Cross-Site Request Forgery (CSRF): Angreifer nutzen die aktive Sitzung eines authentifizierten Benutzers aus, um unautorisierte Anfragen an eine Webanwendung zu senden, wodurch Aktionen ausgelöst werden, die der Benutzer nie initiiert hat.
• DDoS-Angriffe: Angreifer überfluten Webports mit Traffic, um Serverressourcen zu erschöpfen und die Anwendung für legitime Nutzer offline zu nehmen.

Port 3389 (RDP)

• Brute-Force- und Anmeldeangriffe: Offenliegende Datenbankports akzeptieren direkte Anmeldeversuche. Automatisierte Tools zielen auf Standardanmeldedaten und schwache Passwörter bei SQL Server- und MySQL-Instanzen ab.

Port 1433 ist der Standardport für Microsoft SQL Server, Port 1434 für den SQL Server Browser-Dienst und Port 3306 für MySQL. Diese Ports ermöglichen direkten Zugriff auf Datenbankdienste. Datenbanken sollten hinter Anwendungsschichten liegen und vom Internet aus nicht zugänglich sein. Jeder exponierte Datenbankport ist eine direkte Folge von Fehlkonfiguration.

• Direkte SQL-Injektion: Angreifer, die sich direkt mit einem exponierten Datenbankport verbinden, führen SQL-Befehle aus, ohne die Anwendungsschicht zu durchlaufen, und umgehen so vollständig die Kontrollen der Web Application Firewall.
• Ausnutzung bekannter Dienst-Schwachstellen: Ungepatchte SQL Server- und MySQL-Instanzen enthalten CVEs, die Angreifer ausnutzen, sobald ein Datenbankport erreichbar ist, was die Ausführung von Remote-Code oder die Eskalation von Rechten auf dem Datenbank-Host ermöglicht.

Port 3389 verwaltet das Remote Desktop Protocol und bietet grafischen Fernzugriff auf Windows-Systeme. RDP wird in Unternehmensumgebungen häufig für Fernverwaltung, Helpdesk-Support und virtuelle Desktop-Infrastruktur eingesetzt. Diese Verbreitung macht ihn zu einem der meistangegriffenen Ports im Internet.

Port 5900 (VNC)

• BlueKeep (CVE-2019-0708): Eine wormbare Schwachstelle in Windows 7 und Windows Server 2008 R2, die Remote-Code-Ausführung ohne Authentifizierung oder Benutzerinteraktion ermöglicht. Angreifer können Malware automatisch über Netzwerke verbreiten, indem sie den exponierten Port 3389 anvisieren.
• Brute-Force- und Credential-Stuffing-Angriffe: Offene RDP-Ports sind kontinuierlichen automatisierten Anmeldeversuchen ausgesetzt. Credential Stuffing spielt Benutzername-Passwort-Kombinationen aus früheren Datenlecks direkt gegen exponierte RDP-Dienste ab.
• CVE-2024-38077: Eine kritische RCE-Schwachstelle (CVSS 9.8) im Windows Remote Desktop Licensing Service. Nicht authentifizierte Angreifer führen beliebigen Code aus, indem sie ein speziell gestaltetes Netzwerkpaket senden, ohne Benutzerinteraktion. Organisationen, die diesen Dienst betreiben, sollten dies als sofortige Patch-Priorität behandeln.
• Abfangen von Klartext-Sitzungen: Ältere VNC-Implementierungen übertragen Sitzungsdaten im Klartext. Angreifer, die den Netzwerkverkehr abfangen, können die gesamte grafische Sitzung einschließlich Tastatureingaben und Bildschirminhalt stehlen.

Port 5900 ist der Standardport für Virtual Network Computing, ein System zur Fernsteuerung von Desktops, das in IT-Support- und Verwaltungsumgebungen häufig verwendet wird. VNC bietet einen grafischen Zugriff ähnlich wie RDP, birgt jedoch spezifische Risiken durch schwache Standard-Authentifizierung und uneinheitliche Verschlüsselung in verschiedenen Implementierungen.

Zuordnung von Portangriffen zu MITRE ATT&CK

• Brute-Force-Angriffe: Viele VNC-Installationen verwenden ein gemeinsames Passwort und haben keine Kontosperr-Richtlinie, wodurch Port 5900 ein leichtes Ziel für automatisierte Anmeldeinformationen-Aufzählungen ist.

Die oben genannten Techniken entsprechen etablierten ATT&CK-Einträgen, die Sicherheitsteams bereits verfolgen:

• Ausnutzung von Standard-Anmeldeinformationen: Angreifer scannen routinemäßig den offenen Port 5900 und versuchen, mit allgemein bekannten Standard-VNC-Passwörtern Zugriff zu erhalten. Systeme, die ohne Änderung des Standardpassworts bereitgestellt werden, sind für jeden zugänglich, der den offenen Port findet.
• Erster Zugriff und Ausnutzung: EternalBlue und ähnliche Angriffe auf ungepatchte Dienste fallen unter Ausnutzung von Remote-Diensten (T1210).
• Zugangsdatenzugriff: Brute-Force- und Credential-Stuffing-Angriffe auf SSH-, RDP-, VNC- und Datenbankports sind Brute Force (T1110).
• Laterale Bewegung: RDP-, SSH- und SMB-Anmeldungen, die verwendet werden, um sich mit gültigen oder gestohlenen Anmeldedaten zwischen Systemen zu bewegen, fallen unter Remote Services (T1021).
• Man-in-the-middle: NTLM-Relay und RDP Pipe Plumbing fallen unter Adversary-in-the-Middle (T1557).
• Externe Aufklärung und interne Entdeckung: Angreifer, die das Internet nach offenen Ports scannen, das Verhalten, das die Indexierung von Shodan und Censys antreibt, fallen unter Active Scanning (T1595). Sobald sie sich in einem Netzwerk befinden, ist das Scannen nach anderen erreichbaren Diensten, um sich seitlich zu bewegen, eine separate Technik, Network Service Discovery (T1046).

Wie man nach offenen Ports scannt

• Befehl und Kontrolle und Umgehung: Angreifer, die einen offenen Port nutzen, um den Datenverkehr über einen kompromittierten Host umzuleiten oder weiterzuleiten, fallen unter Proxy (T1090), die Technik hinter dem von Ihnen markierten Fall „Redirects“. DNS-Tunneling ist Protocol Tunneling (T1572).

Befehlszeilentools

Bevor Sie offene Ports sichern, müssen Sie wissen, welche exponiert sind. Drei Hauptansätze bieten diese Sichtbarkeit:

Portscanner

Schwachstellen-Scanner

Dedizierte Port-Scanning-Tools automatisieren das Abtasten von Netzwerksegmenten. Sie senden Verbindungsanfragen, klassifizieren Antworten als offen, geschlossen oder gefiltert und erstellen ein Service-Inventar. Viele integrieren sich mit Schwachstellendatenbanken, um bekannte Risiken für entdeckte Dienste zu kennzeichnen.

Der Befehl netstat, verfügbar unter Windows und Linux, zeigt aktive Verbindungen und lauschende Ports auf einem lokalen System an. Mit netstat -an werden alle Verbindungen mit den zugehörigen Adressen angezeigt. Für netzwerkweite Sichtbarkeit ist Nmap das Standardwerkzeug. Der Befehl nmap -sV <target> scannt die Ziel-IP oder den Bereich, identifiziert offene Ports und erkennt die Service-Version auf jedem, was entscheidend für die Erkennung veralteter Software ist.

Wie man offene Ports sichert

Vulnerability-Scanning-Tools kombinieren die Port-Erkennung mit dem Abgleich in der CVE-Datenbank. Sie identifizieren offene Ports, erkennen den auf jedem Port laufenden Dienst und gleichen die Dienstversion mit bekannten Schwachstellen ab. Die Ausgabe enthält Risikobewertungen und Empfehlungen zur Behebung. Regelmäßig geplante Scans statt punktueller Bewertungen bieten fortlaufende Sichtbarkeit bei Konfigurationsänderungen.

Das Risiko offener Ports zu reduzieren erfordert mehr als eine einzelne Maßnahme. Die folgenden Schritte behandeln die häufigsten Ursachen für Schwachstellen, von veralteten Protokollen und ungepatchten Diensten bis hin zu Lücken bei Überwachung und Zugriffsverwaltung.

Verwenden Sie verschlüsselte Protokolle

Wenden Sie regelmäßig Patches und Updates an

Zugriff mit Firewalls und ACLs einschränken

Verwenden Sie Port-Scan-Tools

Ungepatchte Dienste sind der direkteste Weg von einem offenen Port zu einem kompromittierten System. Der EternalBlue-Exploit, der WannaCry antrieb, zielte auf eine Schwachstelle ab, die Microsoft bereits gepatcht hatte. Microsoft patchte CVE-2024-38077, bevor sie weit verbreitet ausgenutzt wurde. Ein konsequenter Patch-Zyklus, der unmittelbar nach Veröffentlichung angewendet wird, beseitigt die meisten bekannten Schwachstellen, bevor Angreifer sie ausnutzen können.

Ersetzen Sie Klartextprotokolle nach Möglichkeit durch verschlüsselte Äquivalente. FTP wechselt zu SFTP oder FTPS. Telnet wechselt zu SSH. HTTP leitet zu HTTPS weiter. Jeder Dienst, der Anmeldedaten über eine unverschlüsselte Verbindung überträgt, birgt ein vermeidbares Risiko. Die Netzwerksicherheits-Best-Practices, die diese Entscheidung regeln, sind gut etabliert: Wo eine verschlüsselte Version des Protokolls existiert, verwenden Sie diese.

Behandeln Sie das Port-Scanning als wiederkehrende operative Aufgabe. Geplante Scans mit Tools wie Nmap identifizieren neue Dienste, die zwischen Audits im Netzwerk erscheinen. Jeder offene Port, der keinem bekannten, autorisierten Dienst zugeordnet ist, ist ein Befund, der sofortige Untersuchung erfordert. Kombinieren Sie externe Scans mit internen, um sowohl internetseitige Exposition als auch intern zugängliche Dienste zu erfassen.

Überwachen Sie Änderungen an der Dienstkonfiguration

Begrenzen Sie, welche Quell-IP-Adressen und Netzwerksegmente einen bestimmten Port auf Host-Firewall-, Netzwerk-Firewall- und Switch-ACL-Ebenen erreichen können. Ein Datenbankport, den nur der Anwendungsserver benötigt, sollte nur von der IP dieses Servers erreichbar sein, nicht vom gesamten Subnetz.

Konfigurationsänderungen an Servern, Firewalls und Netzwerkgeräten führen häufig zu neuen Portfreigaben: eine temporäre Firewall-Regel, die nie entfernt wird, ein während der Fehlerbehebung aktivierter Dienst, der weiterläuft, eine Standardkonfiguration, die ohne Härtung bereitgestellt wurde.

SSH-Schlüssel-Authentifizierung implementieren

IDS und IPS bereitstellen

Netwrix Change Tracker überwacht die Infrastruktur auf Konfigurationsabweichungen und verfolgt Änderungen an Firewall-Regeln, Servicekonfigurationen und Systemeinstellungen in Echtzeit. Es zeichnet jede Änderung mit dem Zustand davor und danach auf, ordnet sie einem bestimmten Konto und Quellsystem zu und löst Warnungen aus, wenn Konfigurationen von genehmigten Baselines abweichen. Sicherheitsteams wissen, was sich geändert hat, wann und wer die Änderung vorgenommen hat, anstatt neue Schwachstellen nur bei periodischen Scans zu entdecken.

Durchführung von Penetrationstests und Schwachstellenbewertungen

SSH-Schlüssel bieten eine stärkere Authentifizierung als Passwörter für Dienste auf Port 22. Private Schlüssel sind rechnerisch nicht durch Brute-Force angreifbar. Die Implementierung der schlüsselbasierten Authentifizierung und das Deaktivieren der passwortbasierten Anmeldung bei SSH beseitigen die größte Kategorie von SSH-Angriffen. Schützen Sie private Schlüssel mit einer Passphrase, bewahren Sie sie sicher auf und tauschen Sie sie aus, wenn Mitarbeiter mit Zugriff die Organisation verlassen.

Intrusion Detection Systems überwachen den Netzwerkverkehr auf Anzeichen verdächtiger Aktivitäten, die auf offene Ports abzielen. Intrusion Prevention Systems gehen einen Schritt weiter und blockieren aktiv erkannte Angriffsmuster. Beide schützen vor häufigen portbasierten Exploits, einschließlich SQL-Injection, DDoS-Angriffen und Brute-Force-Anmeldeversuchen. IDS und IPS ergänzen das Patchen und Schließen von Ports, indem sie eine Erkennungs- und Blockierungsschicht zwischen einem offenen Port und einem erfolgreichen Eindringen hinzufügen.

Best Practices für die Sicherheit offener Ports

Ein Penetrationstest lässt einen Sicherheitsexperten einen echten Angriff simulieren, indem er aktiv Schwachstellen über offene Ports ausnutzt, um zu zeigen, wie weit ein Angreifer vordringen könnte. Zusammen bieten sie eine automatisierte umfassende Abdeckung plus manuelle Validierung der risikoreichsten Pfade.

Penetrationstests und Schwachstellenbewertungen adressieren das Risiko offener Ports aus verschiedenen Blickwinkeln. Eine Schwachstellenbewertung führt automatisierte Scans durch, um bekannte Schwachstellen in der Infrastruktur zu identifizieren und erstellt eine priorisierte Liste zur Behebung.

Die Sicherung offener Ports erfordert mehr als nur Patchen und Scannen. Die folgenden betrieblichen Praktiken bilden die Grundlage für eine konsistente Port-Sicherheit.

Wie Netwrix Ihnen hilft, das Risiko offener Ports zu überwachen

• Kritische Patches sofort anwenden: Das Zeitfenster zwischen Bekanntgabe einer Schwachstelle und aktiver Ausnutzung hat sich verkürzt. CVEs mit hoher Schwere, die Dienste auf offenen Ports angreifen, wie die mit 9,8 bewertete CVE-2024-38077, die RDP betrifft, erhalten innerhalb weniger Tage nach Bekanntgabe öffentlichen Proof-of-Concept-Code. Kritische Patch-Veröffentlichungen für Dienste auf offenen Ports erfordern sofortiges Handeln.
• Ordnen Sie jedem offenen Port einen Besitzer zu: Jeder offene Port sollte einen dokumentierten Besitzer haben, der für den dahinterliegenden Dienst verantwortlich ist. Veraltete Dienste mit offenen Ports sind eine der häufigsten Quellen unkontrollierter Angriffsflächen. Wenn Sie einen Dienst außer Betrieb nehmen, schließen Sie den zugehörigen Port in die Checkliste für die Außerbetriebnahme ein.
• Bewerten Sie regelmäßig Ihre externe Angriffsfläche: Jeder vom Internet sichtbare offene Port ist ein potenzieller erster Zugangspunkt. Die SANS 2025 Attack Surface Management Survey identifizierte unbekannte Assets und Dienste als größte Herausforderung für Sicherheitsteams und unterstreicht die Notwendigkeit einer kontinuierlichen, nicht nur periodischen Entdeckung. Schließen oder beschränken Sie jeden Port ohne aktive, dokumentierte geschäftliche Rechtfertigung.
• Wenden Sie das Prinzip der geringsten Rechte auf den Netzwerkzugang an: Dienste sollten nur von den IP-Adressen und Netzwerksegmenten aus zugänglich sein, die sie benötigen. Ein Datenbankport, den nur der Anwendungsserver erreichen muss, sollte nur von der IP-Adresse dieses Servers aus zugänglich sein. Diese Begrenzung minimiert den Schaden, falls ein Angreifer das Netzwerk über einen anderen Weg erreicht.

Echtzeit-Erkennung von Konfigurationsänderungen

Automatisierte Konfigurationsabweichungswarnungen

• Überwachung von Konfigurationsabweichungen: Änderungen der Portfreigabe zwischen geplanten Scans. Ein Patch-Skript, eine Entwickler-Testumgebung oder eine falsch konfigurierte Sicherheitsgruppe können einen neuen Port ohne formelle Änderungsanforderung öffnen. Kontinuierliche file integrity and configuration monitoring tools erkennen diese Änderungen nahezu in Echtzeit und verhindern, dass unentdeckte Freigaben bis zum nächsten Auditzyklus bestehen bleiben.

Die Sicherheit offener Ports versagt, wenn Konfigurationen unbemerkt abweichen. Eine Firewall-Regel wird für ein temporäres Projekt hinzugefügt und nie entfernt. Ein Dienst wird während der Fehlerbehebung aktiviert und läuft weiter. Eine Standardkonfiguration wird ohne Härtung bereitgestellt. Jeder Fall schafft einen Schwachpunkt, den manuelle Prüfungen zwischen den Zyklen übersehen.

Compliance-fertige Berichte

Netwrix Change Tracker überwacht kontinuierlich Server, Netzwerkgeräte und Firewall-Konfigurationen. Wenn eine Änderung eintritt, wie z. B. ein neuer Dienststart, eine Änderung einer Firewall-Regel oder das Öffnen eines Ports, erfasst es den Zustand vor und nach der Änderung, protokolliert Zeit und Quelle und löst eine Warnung aus. Sicherheitsteams erhalten sofortige Benachrichtigungen, wenn Konfigurationen von der genehmigten Basislinie abweichen, wodurch die Lücke geschlossen wird, die durch periodisches Scannen entsteht.

Netwrix Change Tracker vergleicht den aktuellen Infrastrukturzustand mit genehmigten Konfigurations-Baselines und markiert Abweichungen. Für die Verwaltung offener Ports erzeugt jede Dienst- oder Portkonfiguration, die vom autorisierten Zustand abweicht, eine umsetzbare Warnung mit spezifischen Änderungsdetails, die es den Teams ermöglicht, zu untersuchen und zu beheben, bevor ein Angreifer die Schwachstelle entdeckt.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihnen hilft, Konfigurationsänderungen in Ihrer offenen Port-Infrastruktur zu erkennen, bevor Angreifer dies tun.

Die Einhaltung der Kontrollen offener Ports nachzuweisen erfordert mehr als nur das Vorhandensein der Kontrollen. Prüfer benötigen dokumentierte Nachweise, dass diese Kontrollen konsequent angewendet werden. Netwrix Auditor bietet vorgefertigte Compliance-Berichtsmappings für PCI DSS, NIST 800-53, HIPAA und CMMC, die Anforderungen an Änderungssteuerung und Zugriffsüberwachung für netzwerkseitige Infrastruktur abdecken. Windows-Audit-Richtlinieneinstellungen legen die Protokollierungsbasis fest; Netwrix Auditor strukturiert diese Protokolldaten in revisionsbereite Berichte, die dokumentieren, wer was wann und von welchem System geändert hat, und liefert so die Nachweiskette, die Compliance-Prüfungen erfordern.