Comment les ports ouverts insécurisés et vulnérables posent de sérieux risques de sécurité

Lorsque des intrus veulent s'introduire dans un établissement, ils cherchent une ouverture. Un port ouvert est l'une des ouvertures qu'un pirate informatique ou un acteur de menace recherche pour accéder à un réseau numérique. Ce port ouvert peut se trouver sur un pare-feu, un serveur ou tout autre dispositif informatique connecté au réseau. Tout comme une porte déverrouillée peut compromettre votre vie privée et permettre l'accès à un bâtiment physique, un port ouvert peut fournir un point d'entrée aux pirates pour compromettre vos systèmes, vous exposant à leurs intentions malveillantes.

Ci-dessous, nous partageons les ports les plus vulnérables et les stratégies de sécurité critiques pour se protéger contre eux.

Aperçu des vulnérabilités des ports ouverts

Un port ouvert au sein de votre réseau est une vulnérabilité. Il offre un point d'entrée potentiel pour un accès non autorisé afin de contourner vos pare-feu ou autres mesures de sécurité et accéder à votre réseau. Une fois à l'intérieur, ils peuvent lancer les attaques souhaitées ou effectuer une reconnaissance pour en savoir plus sur votre organisation et comment l'exploiter. Les ports ouverts constituent un risque de sécurité significatif et devraient être une haute priorité pour la gestion de la sécurité.

Importance de sécuriser les ports ouverts

Pour réduire votre vulnérabilité aux attaques, vous devez réduire votre surface d'attaque. Vous pouvez y parvenir en réduisant le nombre de ports ouverts dans vos systèmes. Par exemple, autoriser les connexions externes du protocole de bureau à distance (RDP, port 3389) peut fournir aux utilisateurs légitimes un accès hors site à votre réseau d'entreprise. Cependant, cela présente une opportunité pour les acteurs de menaces de rechercher activement des ports RDP ouverts à exploiter.

Qu'est-ce que les ports ?

Définition et objectif

Un port peut être vu comme une porte virtuelle qui accueille le trafic réseau vers des services et applications spécifiques. Un numéro unique identifie chaque port pour se différencier. Ces ports peuvent être gérés par des administrateurs assignés qui peuvent les ouvrir ou les fermer pour autoriser ou bloquer certains types de trafic. Par exemple, le trafic web dépend des ports 80 et 443. Si vous avez un serveur hébergeant une application web pour des utilisateurs externes, vous devez ouvrir ces ports pour leur accorder l'accès. Tous les ports inutilisés devraient être fermés.

Types de ports : TCP et UDP

Les protocoles de transport les plus courants avec les numéros de port sont le Transmission Control Protocol (TCP) et le User Datagram Protocol (UDP). Les logiciels et services sont conçus pour utiliser TCP ou UDP et se voient attribuer un numéro de port désigné.

• TCP est un protocole orienté connexion avec retransmission intégrée et récupération d'erreurs. TCP est généralement un protocole plus fiable.
• UDP est un protocole sans connexion qui ne corrige ni ne récupère les erreurs de message. Il est connu comme le protocole de meilleur effort.

États des ports

Les ports TCP et UDP se trouvent dans l'un de ces trois états en fonction de vos besoins :

• Ouvert — Le port répond aux demandes de connexion.
• Fermé — Le port est injoignable, indiquant qu'aucun service correspondant n'est en cours d'exécution.
• Filtré — Le pare-feu surveille le trafic et bloque les demandes de connexion à des ports spécifiques.

Risques de sécurité liés aux ports ouverts

Les acteurs de menaces utilisent des ports ouverts pour mener des attaques et exploiter des vulnérabilités. Ci-dessous, nous partageons certaines exploitations et attaques courantes que les acteurs malveillants utilisent, puis détaillons deux attaques célèbres via des vulnérabilités de ports ouverts.

Exploits et attaques courants

• An open RDP connection can be used to launch a credential-stuffing attack to access a server or deliver a ransomware payload.
• A Denial of service (DoS) attack sends many connection requests from various machines to disrupt a particular service. A typical example would be targeting the web ports of a web server to consume its bandwidth and resources, preventing legitimate users from accessing the service.
• Les ports des services web sont souvent utilisés comme points d'entrée pour lancer des attaques telles que l'injection SQL et la falsification de requête inter-sites afin d'exploiter les vulnérabilités au sein des applications elles-mêmes.
• Les attaques de type man-in-the-middle peuvent être utilisées pour intercepter le trafic de données non chiffrées sur des ports bien connus afin de collecter des informations sensibles. Un exemple est le détournement du trafic de données pour intercepter le trafic d'e-mails.

Études de cas : WannaCry, RDP Pipe Plumbing

L'une des attaques les plus célèbres a été l'attaque du WannaCry Ransomware lancée en 2017. L'attaque a été menée à l'échelle mondiale, affectant plus de 300 000 ordinateurs dans 150 pays. L'attaque a exploité une vulnérabilité dans le protocole SMB sur le port 445. Une fois que les attaquants ont infiltré l'organisation, ils ont chiffré ses fichiers et exigé un paiement de rançon.

RDP Pipe Plumbing est une vulnérabilité dans le Remote Desktop Protocol qui exploite les canaux nommés de Windows. Les attaquants ciblent le port RDP 3389 pour créer de fausses instances de serveur de canal portant le même nom que les légitimes. Ils utilisent ensuite ces canaux contrefaits pour intercepter les communications entre les clients et les serveurs RDP. Cette attaque de l'homme du milieu permet un accès non autorisé à des données sensibles, y compris le contenu du presse-papiers et les transferts de fichiers.

Ports vulnérables et leurs risques

Ci-dessous se trouve une liste de vulnérabilités de ports ouverts. Lisez pour apprendre lesquels sont les plus susceptibles d'être exploités.

Vulnérabilités du port 21 (FTP)

Le protocole de transfert de fichiers (FTP) utilise le port 21. FTP permet aux utilisateurs d'envoyer et de recevoir des fichiers dans une transmission non chiffrée vers et depuis des serveurs. FTP est considéré comme obsolète et non sécurisé et ne devrait pas être utilisé pour des transferts de fichiers, en particulier pour des données sensibles, car il peut être facilement exploité en utilisant l'une des méthodes suivantes :

• Forçage brutal des mots de passe
• Authentification anonyme (il est possible de se connecter au port FTP avec « anonymous » comme nom d'utilisateur et mot de passe)
• Cross-site scripting
• Attaques de traversée de répertoire
• Attaque de l'homme du milieu

Vulnérabilités du port 22 (SSH)

Le port 22 est couramment utilisé pour les connexions Secure Shell. Il est préféré à Telnet car la connexion est chiffrée. Souvent utilisé pour la gestion à distance, le port 22 est un port TCP pour garantir un accès à distance sécurisé. Malgré sa sécurité renforcée, il souffre toujours de certaines vulnérabilités de base :

• Clés SSH divulguées. Si les clés SSH ne sont pas correctement sécurisées, elles peuvent être accessibles par un attaquant pour entrer sans avoir le mot de passe requis.
• Attaque par force brute des identifiants. Les ports SSH ouverts sont facilement repérables, permettant aux attaquants de deviner les combinaisons de noms d'utilisateur et de mots de passe.

Vulnérabilités du port 23 (Telnet)

Telnet est un protocole TCP qui utilise le port 23. Il se connecte à des appareils distants utilisant des interfaces en ligne de commande telles que des commutateurs, des routeurs et des serveurs. Comme FTP, Telnet est non crypté, obsolète et considéré comme non sécurisé. Il a été remplacé par SSH. Certaines de ses vulnérabilités courantes incluent :

• Attaques par force brute des identifiants. Les attaquants exploitent les vulnérabilités des ports ouverts pour lancer des tentatives de connexion répétées contre des services exposés, dans le but d'obtenir un accès non autorisé en devinant les identifiants.
• Usurpation d'identité et capture d'identifiants. Les ports ouverts peuvent exposer des services aux attaquants qui les exploitent pour intercepter et voler des identifiants, souvent en se faisant passer pour des entités légitimes lors de la transmission des données.

Vulnérabilités du port 25 (SMTP)

Le port 25 est utilisé par le protocole Simple Mail Transfer Protocol (SMTP) pour l'envoi et la réception d'e-mails. SMTP a été développé à une époque où la cybersécurité n'était pas une préoccupation majeure, donc il peut être facilement exploité sans solutions de sécurité tierces. Sans configuration et protection adéquates, ce port TCP est vulnérable à des menaces telles que :

• Usurpation d'identité. Les attaquants peuvent falsifier les en-têtes d'e-mails pour faire croire que les messages proviennent d'une source fiable.
• Spamming. Les serveurs SMTP non protégés peuvent être exploités pour envoyer de grands volumes de courriels non sollicités, souvent en surchargeant les systèmes et en propageant des logiciels malveillants.
• Attaque de l'homme du milieu, surtout lorsque l'e-mail est envoyé en texte clair.

Vulnérabilités du port 53

Le port 53 est utilisé pour le Domain Name System (DNS), qui traduit des noms de domaine lisibles par l'homme tels que facebook.com ou linkedin.com en adresses IP. Le DNS est essentiel pour le trafic Internet, et il fonctionne en utilisant à la fois UDP et TCP pour les requêtes et les transferts, respectivement. Ce port est particulièrement vulnérable aux attaques par déni de service distribué (DDoS), où les attaquants submergent le serveur DNS avec un flot de demandes, perturbant potentiellement le service.

• Attaques par déni de service distribué. Ces attaques courantes visent à submerger le serveur avec un grand volume de paquets pour provoquer une interruption de service. Cette méthode d'attaque présente plusieurs variantes, comme le DDoS (déni de service distribué) et les attaques par amplification DNS.

Vulnérabilités des ports 137 et 139 (NetBIOS sur TCP) et 445 (SMB)

Les ports 137 et 139 (NetBIOS sur TCP) et 445 (SMB) sont couramment associés au partage de fichiers et à la communication réseau dans les environnements Windows. Cependant, ils sont également connus pour être vulnérables à plusieurs menaces de sécurité :

• Exploit EternalBlue. Cette attaque tire parti des vulnérabilités SMBv1 dans les anciennes versions des ordinateurs Microsoft. Elle est devenue célèbre suite à l'attaque rançongiciel WannaCry lancée à l'échelle mondiale en 2017.
• Capture de hachages NTLM. Les attaquants peuvent intercepter et capturer des hachages NTLM et les utiliser pour s'authentifier en tant qu'utilisateurs légitimes.
• Forçage brutal des identifiants de connexion SMB. Les attaquants peuvent essayer d'obtenir l'accès en testant systématiquement différentes combinaisons de noms d'utilisateur et de mots de passe jusqu'à ce qu'ils trouvent les bons identifiants.

Vulnérabilités des ports 80, 443, 8080 et 8443 (HTTP et HTTPS)

Toute personne ayant visité une page web a utilisé les protocoles HTTP ou HTTPS dans son navigateur web. Comme mentionné, les ports web sont souvent ciblés par les attaquants pour de nombreux types d'attaques, y compris :

• Scripting entre sites. Les attaquants injectent des scripts malveillants dans des pages web et des applications pour voler des cookies, des jetons ou des données.
• Injections SQL. Les attaquants insèrent du code SQL malveillant dans les champs de saisie pour manipuler une base de données.
• Falsificateurs de requêtes inter-sites.Un attaquant exploite la confiance entre le navigateur web d'un utilisateur et une application web pour tromper l'utilisateur afin qu'il effectue des actions sur un site web sans sa connaissance ni son consentement.
• Attaques par déni de service distribué

Vulnérabilités des ports 1433, 1434 et 3306 (Utilisés par les bases de données)

Voici les ports par défaut pour SQL Server et MySQL. Ils sont utilisés pour réaliser une variété d'actes malveillants, y compris :

• Distribution de logiciels malveillants. Les attaquants utilisent des ports ouverts pour infiltrer un réseau, distribuant des logiciels malveillants qui peuvent compromettre des systèmes, voler des données ou endommager l'infrastructure.
• Scénarios de DDoS. Les vulnérabilités des ports ouverts sont exploitées pour submerger les services avec un trafic massif lors d'attaques par déni de service distribué (DDoS), rendant les systèmes inutilisables.
• Trouvez des bases de données non protégées avec des configurations par défaut exploitables. Les ports ouverts peuvent exposer des bases de données avec des paramètres faibles ou par défaut, permettant aux attaquants d'exploiter efficacement ces dernières pour obtenir un accès non autorisé et manipuler ou voler des informations sensibles.

Vulnérabilités du port 3389 (Bureau à distance)

• Les vulnérabilités du Remote Desktop Protocol exposent le RDP à des attaques par force brute et des attaques de type homme du milieu.

• La vulnérabilité BlueKeep (CVE-2019-0708) est une faille RDP présente dans les anciens systèmes d'exploitation Microsoft tels que Windows 7 et Windows Server 2008. BlueKeep peut être exploitée pour propager des logiciels malveillants au sein d'une organisation sans intervention de l'utilisateur.

Étapes pour sécuriser les ports ouverts

Préférez les ports chiffrés aux ports non chiffrés

La plupart des services réguliers utilisés dans un environnement basé sur IP disposent maintenant d'une version chiffrée de l'ancien protocole original en texte clair. Il est conseillé de passer à la version chiffrée pour éviter toute fuite de données lors de la transmission de l'information par les câbles.

Mises à jour et correctifs réguliers

L'application de correctifs maintient vos systèmes et pare-feu à jour. Les fournisseurs publient régulièrement des correctifs qui réparent les vulnérabilités et les défauts dans leurs produits que les cybercriminels pourraient utiliser pour obtenir un accès complet à vos systèmes et données.

Outils de balayage de ports

Vous devriez également scanner et vérifier régulièrement vos ports. Il existe trois principales méthodes pour cela :

• Outils en ligne de commande. Si vous avez le temps de scanner et de vérifier les ports manuellement, utilisez des outils en ligne de commande pour repérer et scanner les ports ouverts. Des exemples incluent Netstat et Network Mapper, que vous pouvez installer sur différents systèmes d'exploitation, y compris Windows et Linux.
• Scanners de ports.Si vous souhaitez obtenir des résultats plus rapidement, envisagez d'utiliser un scanner de ports. Un programme informatique vérifie si les ports sont ouverts, fermés ou filtrés. Le processus est simple : le scanner envoie une demande de réseau pour se connecter à un port spécifique et capture la réponse.
• Outils de balayage de vulnérabilités. Les outils de balayage de vulnérabilités sont des applications automatisées qui identifient et inventorient les actifs informatiques, tels que les serveurs, les ordinateurs de bureau et les dispositifs réseau, pour détecter les faiblesses de sécurité. Ils recherchent les vulnérabilités connues résultant de mauvaises configurations ou de programmation défectueuse. Les résultats de ces scans fournissent des informations précieuses sur le niveau de risque d'une organisation et peuvent être utilisés pour recommander des stratégies d'atténuation efficaces.

Surveillance des modifications de configuration des services

Il est important de rester informé de tout changement de configuration effectué sur vos serveurs, pare-feu, commutateurs, routeurs et autres dispositifs réseau, car ces modifications peuvent introduire des vulnérabilités. De telles modifications peuvent survenir accidentellement ou intentionnellement. En utilisant Netwrix Change Tracker, vous pouvez renforcer vos systèmes en suivant les changements non autorisés et autres activités suspectes. En particulier, il offre les fonctionnalités suivantes :

• Alertes exploitables concernant les modifications de configuration
• Enregistrement, analyse, validation et vérification automatiques de chaque changement
• Surveillance des changements en temps réel
• Surveillance constante des vulnérabilités des applications

Utilisation de systèmes de détection et de prévention des intrusions (IDP et IPS)

Les systèmes IDS surveillent le trafic réseau à la recherche de signes d'activité suspecte ou de menaces connues, tandis que les systèmes IPS vont plus loin en bloquant les menaces détectées. Les deux peuvent prévenir les exploits courants qui ciblent les ports ouverts, y compris les injections SQL, les attaques par déni de service (DDoS) et d'autres menaces cybernétiques.

Mise en œuvre des clés SSH

Les clés SSH sont moins vulnérables aux attaques par force brute, au phishing et aux erreurs humaines. Ces clés chiffrées éliminent le besoin pour les utilisateurs de se souvenir et de saisir des mots de passe, réduisant ainsi la probabilité d'accès non autorisé via des ports ouverts. Il existe deux types de clés SSH :

• Clés privées ou d'identité, qui identifient les utilisateurs et leur donnent accès
• Clés publiques ou autorisées, qui déterminent qui peut accéder à votre système

Réalisation de tests de pénétration et d'évaluations de vulnérabilité

Les tests de pénétration et les évaluations de vulnérabilité devraient être utilisés pour détecter les vulnérabilités dans l'infrastructure informatique, bien que chacun utilise une approche différente. Un test de pénétration (un pen test) est réalisé par un professionnel de la sécurité qui simule une cyberattaque sur un système informatique ou un réseau pour identifier et exploiter les vulnérabilités. Il montre comment une attaque pourrait s'infiltrer activement dans votre réseau. Une évaluation de vulnérabilité, d'autre part, est un scan automatisé qui identifie et priorise les vulnérabilités connues. Ensemble, ils peuvent fournir un résumé complet de vos vulnérabilités de port.

Meilleures pratiques pour la sécurité des ports

• Évaluation des surfaces d'attaque externes. Vous devriez régulièrement évaluer l'exposition de votre réseau aux menaces externes en identifiant et en sécurisant les ports ouverts qu'un attaquant pourrait exploiter. Assurez-vous que chaque port ouvert est nécessaire. Fermez immédiatement les ports associés aux applications ou services obsolètes.
• Surveillance continue pour les risques émergents. Mettez en œuvre une surveillance constante et approfondie afin de détecter de nouvelles vulnérabilités et menaces associées aux ports ouverts. Intervenez avec une réponse et une atténuation en temps opportun lorsque nécessaire.
• Évaluation de la performance des ports ouverts.Examinez et évaluez régulièrement la sécurité et la fonctionnalité de tous les ports ouverts. Assurez-vous que les ports ouverts sont correctement mappés à leurs cibles internes désignées et que le principe du moindre privilège est appliqué à toutes les ressources concernées.
• Respecter un calendrier de correctifs cohérent.L'application régulière de correctifs peut rapporter de grands bénéfices en matière de sécurité. Assurez-vous que tous les correctifs liés à la sécurité soient déployés immédiatement après leur publication.
• Services mal configurés, non patchés et vulnérables. Des systèmes non patchés ou mal configurés peuvent conduire à un système compromis. Vérifiez que toutes les configurations suivent les meilleures pratiques de sécurité. Mettez en place un système de surveillance pour alerter votre personnel de support réseau lorsqu'un changement de configuration se produit.

Conclusion

Les ports ouverts sont comme une épée à double tranchant. D'une part, ils sont essentiels pour le fonctionnement de votre entreprise afin de permettre l'accès aux pages web, applications et services. D'autre part, ils offrent des opportunités aux acteurs de menaces d'infiltrer et d'exploiter votre réseau. Cela rend la gestion et la surveillance des ports ouverts un aspect critique de la sécurité réseau et ne saurait être trop souligné. Votre organisation devrait avoir une politique décrivant les procédures de sécurisation de tous les ports ouverts et assurant que tous les systèmes et logiciels soient régulièrement mis à jour. Les ports non sécurisés tels que Telnet et FTP devraient être dépréciés et remplacés par des solutions modernes utilisant des technologies sécurisées actuelles. Effectuez des évaluations régulières pour vous assurer que tous les ports ouverts sont nécessaires et confirmez que les configurations respectent les meilleures pratiques. N'oubliez pas qu'avec l'évolution de la technologie, vos besoins en matière de ports changeront également. Avec la stratégie et la concentration appropriées, vos ports ouverts peuvent rester des atouts fonctionnels plutôt que des vulnérabilités qui exposent votre entreprise à un risque accru.