Vulnérabilités des Ports Ouverts : Liste Complète et Guide de Sécurité

Lorsque des intrus veulent s'introduire dans un établissement, ils cherchent une ouverture. Un port ouvert est l'une des ouvertures qu'un pirate informatique ou un acteur de menace recherche pour accéder à un réseau numérique. Ce port ouvert peut se trouver sur un pare-feu, un serveur ou tout autre dispositif informatique connecté au réseau. Tout comme une porte déverrouillée peut compromettre votre vie privée et permettre l'accès à un bâtiment physique, un port ouvert peut fournir un point d'entrée aux pirates pour compromettre vos systèmes, vous exposant à leurs intentions malveillantes.

Ci-dessous, nous partageons les ports les plus vulnérables et les stratégies de sécurité critiques pour se protéger contre eux.

Aperçu des vulnérabilités des ports ouverts

Un port ouvert au sein de votre réseau est une vulnérabilité. Il offre un point d'entrée potentiel pour un accès non autorisé afin de contourner vos pare-feu ou autres mesures de sécurité et accéder à votre réseau. Une fois à l'intérieur, ils peuvent lancer les attaques souhaitées ou effectuer une reconnaissance pour en savoir plus sur votre organisation et comment l'exploiter. Les ports ouverts constituent un risque de sécurité significatif et devraient être une haute priorité pour la gestion de la sécurité.

Importance de sécuriser les ports ouverts

Pour réduire votre vulnérabilité aux attaques, vous devez réduire votre surface d'attaque. Vous pouvez y parvenir en réduisant le nombre de ports ouverts dans vos systèmes. Par exemple, autoriser les connexions externes du protocole de bureau à distance (RDP, port 3389) peut fournir aux utilisateurs légitimes un accès hors site à votre réseau d'entreprise. Cependant, cela présente une opportunité pour les acteurs de menaces de rechercher activement des ports RDP ouverts à exploiter.

Qu'est-ce que les ports ?

Définition et objectif

Un port peut être vu comme une porte virtuelle qui accueille le trafic réseau vers des services et applications spécifiques. Un numéro unique identifie chaque port pour se différencier. Ces ports peuvent être gérés par des administrateurs assignés qui peuvent les ouvrir ou les fermer pour autoriser ou bloquer certains types de trafic. Par exemple, le trafic web dépend des ports 80 et 443. Si vous avez un serveur hébergeant une application web pour des utilisateurs externes, vous devez ouvrir ces ports pour leur accorder l'accès. Tous les ports inutilisés devraient être fermés.

Types de ports : TCP et UDP

Les protocoles de transport les plus courants avec les numéros de port sont le Transmission Control Protocol (TCP) et le User Datagram Protocol (UDP). Les logiciels et services sont conçus pour utiliser TCP ou UDP et se voient attribuer un numéro de port désigné.

• TCP est un protocole orienté connexion avec retransmission intégrée et récupération d'erreurs. TCP est généralement un protocole plus fiable.
• UDP est un protocole sans connexion qui ne corrige ni ne récupère les erreurs de message. Il est connu comme le protocole de meilleur effort.

États des ports

Les ports TCP et UDP se trouvent dans l'un de ces trois états en fonction de vos besoins :

• Ouvert — Le port répond aux demandes de connexion.
• Fermé — Le port est injoignable, indiquant qu'aucun service correspondant n'est en cours d'exécution.
• Filtré — Le pare-feu surveille le trafic et bloque les demandes de connexion à des ports spécifiques.

Risques de sécurité liés aux ports ouverts

Les acteurs de menaces utilisent des ports ouverts pour mener des attaques et exploiter des vulnérabilités. Ci-dessous, nous partageons certaines exploitations et attaques courantes que les acteurs malveillants utilisent, puis détaillons deux attaques célèbres via des vulnérabilités de ports ouverts.

Exploits et attaques courants

• An open RDP connection can be used to launch a credential-stuffing attack to access a server or deliver a ransomware payload.
• A Denial of service (DoS) attack sends many connection requests from various machines to disrupt a particular service. A typical example would be targeting the web ports of a web server to consume its bandwidth and resources, preventing legitimate users from accessing the service.
• Les ports des services web sont souvent utilisés comme points d'entrée pour lancer des attaques telles que l'injection SQL et la falsification de requête inter-sites afin d'exploiter les vulnérabilités au sein des applications elles-mêmes.
• Les attaques de type man-in-the-middle peuvent être utilisées pour intercepter le trafic de données non chiffrées sur des ports bien connus afin de collecter des informations sensibles. Un exemple est le détournement du trafic de données pour intercepter le trafic d'e-mails.

Études de cas : WannaCry, RDP Pipe Plumbing

L'une des attaques les plus célèbres a été l'attaque du WannaCry Ransomware lancée en 2017. L'attaque a été menée à l'échelle mondiale, affectant plus de 300 000 ordinateurs dans 150 pays. L'attaque a exploité une vulnérabilité dans le protocole SMB sur le port 445. Une fois que les attaquants ont infiltré l'organisation, ils ont chiffré ses fichiers et exigé un paiement de rançon.

RDP Pipe Plumbing est une vulnérabilité dans le Remote Desktop Protocol qui exploite les canaux nommés de Windows. Les attaquants ciblent le port RDP 3389 pour créer de fausses instances de serveur de canal portant le même nom que les légitimes. Ils utilisent ensuite ces canaux contrefaits pour intercepter les communications entre les clients et les serveurs RDP. Cette attaque de l'homme du milieu permet un accès non autorisé à des données sensibles, y compris le contenu du presse-papiers et les transferts de fichiers.

Ports vulnérables et leurs risques

Ci-dessous se trouve une liste de vulnérabilités de ports ouverts. Lisez pour apprendre lesquels sont les plus susceptibles d'être exploités.

Vulnérabilités du port 21 (FTP)

Le protocole de transfert de fichiers (FTP) utilise le port 21. FTP permet aux utilisateurs d'envoyer et de recevoir des fichiers dans une transmission non chiffrée vers et depuis des serveurs. FTP est considéré comme obsolète et non sécurisé et ne devrait pas être utilisé pour des transferts de fichiers, en particulier pour des données sensibles, car il peut être facilement exploité en utilisant l'une des méthodes suivantes :

• Forçage brutal des mots de passe
• Authentification anonyme (il est possible de se connecter au port FTP avec « anonymous » comme nom d'utilisateur et mot de passe)
• Cross-site scripting
• Attaques de traversée de répertoire
• Attaque de l'homme du milieu

Vulnérabilités du port 22 (SSH)

Le port 22 est couramment utilisé pour les connexions Secure Shell. Il est préféré à Telnet car la connexion est chiffrée. Souvent utilisé pour la gestion à distance, le port 22 est un port TCP pour garantir un accès à distance sécurisé. Malgré sa sécurité renforcée, il souffre toujours de certaines vulnérabilités de base :

• Clés SSH divulguées. Si les clés SSH ne sont pas correctement sécurisées, elles peuvent être accessibles par un attaquant pour entrer sans avoir le mot de passe requis.
• Attaque par force brute des identifiants. Les ports SSH ouverts sont facilement repérables, permettant aux attaquants de deviner les combinaisons de noms d'utilisateur et de mots de passe.

Vulnérabilités du port 23 (Telnet)

Telnet est un protocole TCP qui utilise le port 23. Il se connecte à des appareils distants utilisant des interfaces en ligne de commande telles que des commutateurs, des routeurs et des serveurs. Comme FTP, Telnet est non crypté, obsolète et considéré comme non sécurisé. Il a été remplacé par SSH. Certaines de ses vulnérabilités courantes incluent :

• Attaques par force brute des identifiants. Les attaquants exploitent les vulnérabilités des ports ouverts pour lancer des tentatives de connexion répétées contre des services exposés, dans le but d'obtenir un accès non autorisé en devinant les identifiants.
• Usurpation d'identité et capture d'identifiants. Les ports ouverts peuvent exposer des services aux attaquants qui les exploitent pour intercepter et voler des identifiants, souvent en se faisant passer pour des entités légitimes lors de la transmission des données.

Vulnérabilités du port 25 (SMTP)

Le port 25 est utilisé par le protocole Simple Mail Transfer Protocol (SMTP) pour l'envoi et la réception d'e-mails. SMTP a été développé à une époque où la cybersécurité n'était pas une préoccupation majeure, donc il peut être facilement exploité sans solutions de sécurité tierces. Sans configuration et protection adéquates, ce port TCP est vulnérable à des menaces telles que :

• Usurpation d'identité. Les attaquants peuvent falsifier les en-têtes d'e-mails pour faire croire que les messages proviennent d'une source fiable.
• Spamming. Les serveurs SMTP non protégés peuvent être exploités pour envoyer de grands volumes de courriels non sollicités, souvent en surchargeant les systèmes et en propageant des logiciels malveillants.
• Attaque de l'homme du milieu, surtout lorsque l'e-mail est envoyé en texte clair.

Vulnérabilités du port 53

Le port 53 est utilisé pour le Domain Name System (DNS), qui traduit des noms de domaine lisibles par l'homme tels que facebook.com ou linkedin.com en adresses IP. Le DNS est essentiel pour le trafic Internet, et il fonctionne en utilisant à la fois UDP et TCP pour les requêtes et les transferts, respectivement. Ce port est particulièrement vulnérable aux attaques par déni de service distribué (DDoS), où les attaquants submergent le serveur DNS avec un flot de demandes, perturbant potentiellement le service.

• Attaques par déni de service distribué. Ces attaques courantes visent à submerger le serveur avec un grand volume de paquets pour provoquer une interruption de service. Cette méthode d'attaque présente plusieurs variantes, comme le DDoS (déni de service distribué) et les attaques par amplification DNS.

Vulnérabilités des ports 137 et 139 (NetBIOS sur TCP) et 445 (SMB)

Les ports 137 et 139 (NetBIOS sur TCP) et 445 (SMB) sont couramment associés au partage de fichiers et à la communication réseau dans les environnements Windows. Cependant, ils sont également connus pour être vulnérables à plusieurs menaces de sécurité :

• Exploit EternalBlue. Cette attaque tire parti des vulnérabilités SMBv1 dans les anciennes versions des ordinateurs Microsoft. Elle est devenue célèbre suite à l'attaque rançongiciel WannaCry lancée à l'échelle mondiale en 2017.
• Capture de hachages NTLM. Les attaquants peuvent intercepter et capturer des hachages NTLM et les utiliser pour s'authentifier en tant qu'utilisateurs légitimes.
• Forçage brutal des identifiants de connexion SMB. Les attaquants peuvent essayer d'obtenir l'accès en testant systématiquement différentes combinaisons de noms d'utilisateur et de mots de passe jusqu'à ce qu'ils trouvent les bons identifiants.

Vulnérabilités des ports 80, 443, 8080 et 8443 (HTTP et HTTPS)

Toute personne ayant visité une page web a utilisé les protocoles HTTP ou HTTPS dans son navigateur web. Comme mentionné, les ports web sont souvent ciblés par les attaquants pour de nombreux types d'attaques, y compris :

• Scripting entre sites. Les attaquants injectent des scripts malveillants dans des pages web et des applications pour voler des cookies, des jetons ou des données.
• Injections SQL. Les attaquants insèrent du code SQL malveillant dans les champs de saisie pour manipuler une base de données.
• Falsificateurs de requêtes inter-sites.Un attaquant exploite la confiance entre le navigateur web d'un utilisateur et une application web pour tromper l'utilisateur afin qu'il effectue des actions sur un site web sans sa connaissance ni son consentement.
• Attaques par déni de service distribué

Vulnérabilités des ports 1433, 1434 et 3306 (Utilisés par les bases de données)

Voici les ports par défaut pour SQL Server et MySQL. Ils sont utilisés pour réaliser une variété d'actes malveillants, y compris :

• Distribution de logiciels malveillants. Les attaquants utilisent des ports ouverts pour infiltrer un réseau, distribuant des logiciels malveillants qui peuvent compromettre des systèmes, voler des données ou endommager l'infrastructure.
• Scénarios de DDoS. Les vulnérabilités des ports ouverts sont exploitées pour submerger les services avec un trafic massif lors d'attaques par déni de service distribué (DDoS), rendant les systèmes inutilisables.
• Trouvez des bases de données non protégées avec des configurations par défaut exploitables. Les ports ouverts peuvent exposer des bases de données avec des paramètres faibles ou par défaut, permettant aux attaquants d'exploiter efficacement ces dernières pour obtenir un accès non autorisé et manipuler ou voler des informations sensibles.

Vulnérabilités du port 3389 (Bureau à distance)

• Les vulnérabilités du Remote Desktop Protocol exposent le RDP à des attaques par force brute et des attaques de type homme du milieu.

• La vulnérabilité BlueKeep (CVE-2019-0708) est une faille RDP présente dans les anciens systèmes d'exploitation Microsoft tels que Windows 7 et Windows Server 2008. BlueKeep peut être exploitée pour propager des logiciels malveillants au sein d'une organisation sans intervention de l'utilisateur.

Étapes pour sécuriser les ports ouverts

Préférez les ports chiffrés aux ports non chiffrés

La plupart des services réguliers utilisés dans un environnement basé sur IP disposent maintenant d'une version chiffrée de l'ancien protocole original en texte clair. Il est conseillé de passer à la version chiffrée pour éviter toute fuite de données lors de la transmission de l'information par les câbles.

Mises à jour et correctifs réguliers

L'application de correctifs maintient vos systèmes et pare-feu à jour. Les fournisseurs publient régulièrement des correctifs qui réparent les vulnérabilités et les défauts dans leurs produits que les cybercriminels pourraient utiliser pour obtenir un accès complet à vos systèmes et données.

Outils de balayage de ports

Vous devriez également scanner et vérifier régulièrement vos ports. Il existe trois principales méthodes pour cela :

• Outils en ligne de commande. Si vous avez le temps de scanner et de vérifier les ports manuellement, utilisez des outils en ligne de commande pour repérer et scanner les ports ouverts. Des exemples incluent Netstat et Network Mapper, que vous pouvez installer sur différents systèmes d'exploitation, y compris Windows et Linux.
• Scanners de ports.Si vous souhaitez obtenir des résultats plus rapidement, envisagez d'utiliser un scanner de ports. Un programme informatique vérifie si les ports sont ouverts, fermés ou filtrés. Le processus est simple : le scanner envoie une demande de réseau pour se connecter à un port spécifique et capture la réponse.
• Outils de balayage de vulnérabilités. Les outils de balayage de vulnérabilités sont des applications automatisées qui identifient et inventorient les actifs informatiques, tels que les serveurs, les ordinateurs de bureau et les dispositifs réseau, pour détecter les faiblesses de sécurité. Ils recherchent les vulnérabilités connues résultant de mauvaises configurations ou de programmation défectueuse. Les résultats de ces scans fournissent des informations précieuses sur le niveau de risque d'une organisation et peuvent être utilisés pour recommander des stratégies d'atténuation efficaces.

Surveillance des modifications de configuration des services

Il est important de rester informé de tout changement de configuration effectué sur vos serveurs, pare-feu, commutateurs, routeurs et autres dispositifs réseau, car ces modifications peuvent introduire des vulnérabilités. De telles modifications peuvent survenir accidentellement ou intentionnellement. En utilisant Netwrix Change Tracker, vous pouvez renforcer vos systèmes en suivant les changements non autorisés et autres activités suspectes. En particulier, il offre les fonctionnalités suivantes :

• Alertes exploitables concernant les modifications de configuration
• Enregistrement, analyse, validation et vérification automatiques de chaque changement
• Surveillance des changements en temps réel
• Surveillance constante des vulnérabilités des applications

Utilisation de systèmes de détection et de prévention des intrusions (IDP et IPS)

Les systèmes IDS surveillent le trafic réseau à la recherche de signes d'activité suspecte ou de menaces connues, tandis que les systèmes IPS vont plus loin en bloquant les menaces détectées. Les deux peuvent prévenir les exploits courants qui ciblent les ports ouverts, y compris les injections SQL, les attaques par déni de service (DDoS) et d'autres menaces cybernétiques.

Mise en œuvre des clés SSH

Les clés SSH sont moins vulnérables aux attaques par force brute, au phishing et aux erreurs humaines. Ces clés chiffrées éliminent le besoin pour les utilisateurs de se souvenir et de saisir des mots de passe, réduisant ainsi la probabilité d'accès non autorisé via des ports ouverts. Il existe deux types de clés SSH :

• Clés privées ou d'identité, qui identifient les utilisateurs et leur donnent accès
• Clés publiques ou autorisées, qui déterminent qui peut accéder à votre système

Réalisation de tests de pénétration et d'évaluations de vulnérabilité

Les tests de pénétration et les évaluations de vulnérabilité devraient être utilisés pour détecter les vulnérabilités dans l'infrastructure informatique, bien que chacun utilise une approche différente. Un test de pénétration (un pen test) est réalisé par un professionnel de la sécurité qui simule une cyberattaque sur un système informatique ou un réseau pour identifier et exploiter les vulnérabilités. Il montre comment une attaque pourrait s'infiltrer activement dans votre réseau. Une évaluation de vulnérabilité, d'autre part, est un scan automatisé qui identifie et priorise les vulnérabilités connues. Ensemble, ils peuvent fournir un résumé complet de vos vulnérabilités de port.

Meilleures pratiques pour la sécurité des ports

• Évaluation des surfaces d'attaque externes. Vous devriez régulièrement évaluer l'exposition de votre réseau aux menaces externes en identifiant et en sécurisant les ports ouverts qu'un attaquant pourrait exploiter. Assurez-vous que chaque port ouvert est nécessaire. Fermez immédiatement les ports associés aux applications ou services obsolètes.
• Surveillance continue pour les risques émergents. Mettez en œuvre une surveillance constante et approfondie afin de détecter de nouvelles vulnérabilités et menaces associées aux ports ouverts. Intervenez avec une réponse et une atténuation en temps opportun lorsque nécessaire.
• Évaluation de la performance des ports ouverts.Examinez et évaluez régulièrement la sécurité et la fonctionnalité de tous les ports ouverts. Assurez-vous que les ports ouverts sont correctement mappés à leurs cibles internes désignées et que le principe du moindre privilège est appliqué à toutes les ressources concernées.
• Respecter un calendrier de correctifs cohérent.L'application régulière de correctifs peut rapporter de grands bénéfices en matière de sécurité. Assurez-vous que tous les correctifs liés à la sécurité soient déployés immédiatement après leur publication.
• Services mal configurés, non patchés et vulnérables. Des systèmes non patchés ou mal configurés peuvent conduire à un système compromis. Vérifiez que toutes les configurations suivent les meilleures pratiques de sécurité. Mettez en place un système de surveillance pour alerter votre personnel de support réseau lorsqu'un changement de configuration se produit.

Conclusion

Les ports ouverts sont comme une épée à double tranchant. D'une part, ils sont essentiels pour le fonctionnement de votre entreprise afin de permettre l'accès aux pages web, applications et services. D'autre part, ils offrent des opportunités aux acteurs de menaces d'infiltrer et d'exploiter votre réseau. Cela rend la gestion et la surveillance des ports ouverts un aspect critique de la sécurité réseau et ne saurait être trop souligné. Votre organisation devrait avoir une politique décrivant les procédures de sécurisation de tous les ports ouverts et assurant que tous les systèmes et logiciels soient régulièrement mis à jour. Les ports non sécurisés tels que Telnet et FTP devraient être dépréciés et remplacés par des solutions modernes utilisant des technologies sécurisées actuelles. Effectuez des évaluations régulières pour vous assurer que tous les ports ouverts sont nécessaires et confirmez que les configurations respectent les meilleures pratiques. N'oubliez pas qu'avec l'évolution de la technologie, vos besoins en matière de ports changeront également. Avec la stratégie et la concentration appropriées, vos ports ouverts peuvent rester des atouts fonctionnels plutôt que des vulnérabilités qui exposent votre entreprise à un risque accru.

Les ports ouverts sont ce qui fait fonctionner les réseaux. Ils permettent aux serveurs web d’accepter le trafic, aux administrateurs distants de se connecter et aux applications métier de communiquer. Ce sont également la première chose qu’un acteur malveillant analyse.

Les ports ouverts sont essentiels aux opérations. Le travail consiste à comprendre lesquels présentent un risque, quels attaques ils permettent et comment contrôler l’exposition. Ce guide couvre les ports les plus vulnérables couramment utilisés, les techniques d’attaque qui les ciblent et les étapes pour réduire votre surface d’attaque.

Qu'est-ce que les ports ouverts ?

Les attaquants utilisent des outils automatisés pour analyser Internet à la recherche de services exposés. Lorsqu'ils trouvent un port exécutant un service non corrigé, un protocole mal configuré ou un identifiant faible, ils ont un accès direct plus profond au réseau. Selon le Verizon 2026 Data Breach Investigations Report, l'exploitation des vulnérabilités comme vecteur d'accès initial a augmenté de 55 % d'une année sur l'autre, représentant 31 % des violations.

Types de ports

TCP et UDP sont les deux protocoles de transport utilisés par les ports. Comprendre la différence est essentiel pour évaluer et contrôler l'exposition du réseau.

TCP

Un port est un point de communication virtuel qui dirige le trafic réseau vers le service ou l'application appropriée sur un appareil. Chaque appareil en réseau dispose jusqu'à 65 535 ports TCP et 65 535 ports UDP, chacun identifié par un numéro. Les administrateurs contrôlent quels ports acceptent les connexions entrantes, n'ouvrant que ceux nécessaires aux services légitimes et fermant ou filtrant les autres.

Le port 80 gère le trafic web HTTP. Le port 443 gère HTTPS. Le port 22 gère les connexions SSH. Lorsqu’un service est en cours d’exécution et qu’un port est ouvert, tout appareil sur le réseau, ou sur internet si le port est exposé, peut tenter de se connecter.

UDP

Types d’états de port

TCP est orienté connexion. Il établit une connexion vérifiée avant de transférer les données, inclut la détection d'erreurs et la retransmission intégrées, et garantit la livraison. La plupart des services nécessitant fiabilité, comme la navigation web, le transfert de fichiers et l'accès à distance, fonctionnent via TCP.

Les ports TCP et UDP existent dans l’un des trois états suivants :

UDP est sans connexion. Il envoie des données sans confirmer la livraison, réduisant la surcharge et améliorant la vitesse. Les services qui privilégient la performance à la livraison garantie, comme les requêtes DNS, le streaming et la VoIP, utilisent généralement UDP.

• Ouvert : Le port accepte les demandes de connexion et un service est à l’écoute active.
• Filtré : Un pare-feu bloque les tentatives de connexion, aucune réponse n’atteint donc le demandeur.

Pourquoi les ports ouverts sont un risque de sécurité

• Fermé : Le port est accessible, mais aucun service ne fonctionne ; le système d’exploitation répond toujours avec un paquet TCP RST (reset), donc la tentative reçoit un rejet explicite plutôt que le silence.

Un port fermé est une donnée connue. Un port filtré ne révèle rien à un attaquant. Le risque réside dans un port ouvert avec le mauvais service derrière.

Un port ouvert est un canal de communication direct depuis Internet vers un service fonctionnant sur votre infrastructure. Le risque est mesurable, croissant et lié directement aux résultats financiers.

Les attaquants scannent en continu les ports ouverts

L'exploitation des ports est en hausse

Une posture faible des ports prédit directement le risque de violation

Études de cas sur les vulnérabilités des ports ouverts

Les outils de scan automatisés explorent l'ensemble de l'espace d'adresses IPv4 en quelques heures. Des plateformes comme Shodan et Censys indexent en continu les services exposés, ce qui signifie que tout port ouvert sans restriction de pare-feu correspondante peut être découvert en quelques minutes. Les attaquants n'ont pas besoin de cibler spécifiquement votre organisation. Ils scannent à grande échelle, identifient les services exécutant des versions vulnérables et attaquent toute IP qui répond. Un port mal configuré qui apparaît lors de votre prochain audit programmé a peut-être déjà subi des milliers de tentatives de connexion non autorisées.

Une recherche de Bitsight a révélé que les organisations avec une mauvaise note de ports ouverts ont plus de deux fois plus de chances de subir une violation de données que celles avec des contrôles de ports solides. L'exposition financière est réelle. Le Netwrix Cybersecurity Trends Report 2025 a révélé que 75 % des organisations ont signalé des dommages financiers dus à des attaques de sécurité, 13 % estimant des pertes de 200 000 $ ou plus.

WannaCry : port SMB 445 et le coût d’une vulnérabilité non corrigée

RDP Pipe Plumbing : Attaque man-in-the-middle sur le port 3389

Les incidents réels montrent ce qui se passe lorsque des ports ouverts avec des services non corrigés sont exposés à Internet sans contrôles adéquats. Deux attaques sur les ports 445 et 3389 restent parmi les plus référencées en sécurité réseau.

Les attaques ciblant les services réseau sont en hausse. Selon le Netwrix Cybersecurity Trends Report 2025, 28 % des organisations ont subi une attaque ciblée sur leur infrastructure sur site au cours de l'année écoulée, contre 19 % en 2023. Plus largement, 51 % ont confirmé un incident de sécurité nécessitant une réponse dédiée des équipes de sécurité au cours des 12 derniers mois. Réduire votre attack surface commence par contrôler quels services sont accessibles et s'assurer que chacun est patché et correctement configuré.

Ports ouverts vulnérables et leurs risques associés

Port 21 (FTP)

RDP Pipe Plumbing exploite les named pipes de Windows via le port 3389. Les attaquants créent de fausses instances de serveurs pipe correspondant à des noms légitimes, puis interceptent les communications RDP pour capturer des données, y compris le contenu du presse-papiers et les transferts de fichiers. Cette technique d'homme du milieu nécessite seulement un port RDP accessible pour s'exécuter.

Les ports suivants apparaissent régulièrement dans les données d’attaque comme des points d’exposition à haut risque. Chacun explique ce que fait le port, pourquoi il est vulnérable, et les méthodes d’attaque spécifiques qui le ciblent.

L'attaque WannaCry ransomware de mai 2017 reste l'un des exemples les plus marquants d'exploitation de ports ouverts. Les attaquants ont utilisé l'exploit EternalBlue pour cibler SMBv1 sur le port 445, propageant le ransomware à plus de 300 000 systèmes dans 150 pays sans nécessiter d'interaction utilisateur. Les dégâts ont été possibles car les ports SMB exposés étaient accessibles depuis internet et le protocole sous-jacent comportait une vulnérabilité critique non corrigée.

Le protocole de transfert de fichiers utilise le port 21 pour les commandes de contrôle et le port 20 pour les transferts de données. FTP transmet toutes les données, y compris les identifiants, en clair, sans chiffrement ni vérification du serveur intégrés. Il est considéré comme obsolète et les organisations utilisant encore FTP devraient migrer vers SFTP ou FTPS.

• Attaques par force brute : Des outils automatisés tentent systématiquement des combinaisons de nom d’utilisateur et mot de passe contre le service FTP jusqu’à ce que des identifiants valides soient trouvés.
• Interception des identifiants : FTP transmet les noms d’utilisateur et mots de passe en clair. Tout attaquant ayant accès au trafic réseau peut capturer les identifiants sans exploitation active.
• Abus d'authentification anonyme : De nombreux serveurs FTP acceptent "anonymous" comme nom d'utilisateur et mot de passe par défaut, accordant un accès non authentifié aux fichiers hébergés.

Port 22 (SSH)

• Parcours de répertoire : Les attaquants soumettent des requêtes de chemin de fichier conçues pour naviguer en dehors du répertoire racine FTP et accéder aux fichiers du système sous-jacent.

Port 23 (Telnet)

• Vol de clé SSH : Une clé privée volée ou mal stockée donne un accès complet à tout système qui fait confiance à la clé publique correspondante, sans mot de passe requis.
• Abus de tunneling SSH : Les attaquants avec un accès initial utilisent le transfert de port SSH pour créer des tunnels chiffrés qui contournent les contrôles du pare-feu, permettant l'exfiltration de données ou le mouvement latéral vers des systèmes internes.
• Attaques par force brute : Les ports SSH ouverts avec authentification par mot de passe activée sont une cible persistante. Des outils automatisés effectuent des milliers de tentatives de connexion par minute sur le port 22.

Secure Shell utilise le port 22 pour l'accès distant chiffré et le transfert de fichiers, prenant en charge secure remote access aux serveurs et aux équipements réseau. SSH a remplacé Telnet comme norme pour la gestion à distance des systèmes. Le chiffrement protège les données en transit, mais une mauvaise configuration de SSH crée deux surfaces d'attaque bien documentées.

Telnet fonctionne sur le port TCP 23 et offre un accès en ligne de commande aux appareils distants, y compris les routeurs, commutateurs et serveurs. Comme FTP, Telnet transmet toutes les données, y compris les identifiants, en texte clair. SSH a remplacé Telnet comme alternative sécurisée, et tout service Telnet sur un système exposé à Internet représente un risque totalement évitable.

Port 25 (SMTP)

• Attaques par force brute : Des outils automatisés ciblent les ports Telnet ouverts avec un grand nombre de tentatives de connexion, en particulier contre les routeurs et commutateurs qui conservent les identifiants par défaut.
• Interception des identifiants : Telnet transmet les noms d’utilisateur et mots de passe en clair. Tout attaquant placé entre le client et le serveur capture les identifiants sans exploitation active.

Le port 25 gère le Simple Mail Transfer Protocol, la norme pour le relais d’e-mails serveur à serveur. SMTP est antérieur aux exigences de sécurité modernes et, sans une configuration appropriée, crée trois conditions exploitables bien documentées.

• Usurpation d'email : Les attaquants falsifient les en-têtes d'expéditeur pour faire croire que les messages proviennent de domaines de confiance, permettant des campagnes de phishing qui contournent les filtres de réputation de l'expéditeur basiques.

Port 53 (DNS)

• Abus de relais ouvert : Un serveur SMTP non protégé sans restrictions de relais envoie des emails pour le compte de n'importe quel expéditeur, devenant une plateforme pour la distribution massive de spam et de logiciels malveillants.
• Attaques de rétrogradation STARTTLS : Lorsqu’un serveur mail n’applique pas STARTTLS, les attaquants interceptent la négociation de connexion et imposent une session non chiffrée, exposant le contenu des emails et les identifiants en transit.
• Tunneling DNS : Les attaquants encodent des charges utiles de données dans les requêtes et réponses DNS pour exfiltrer des informations ou maintenir une communication de commande et contrôle via des pare-feu autorisant le trafic DNS.

Le port 53 gère les requêtes du système de noms de domaine, traduisant les noms de domaine en adresses IP pour le trafic internet. DNS utilise UDP pour les requêtes standard et TCP pour les transferts de zone. Parce que presque toutes les opérations réseau dépendent de DNS, c’est une cible d’attaque de grande valeur et un protocole que les contrôles périmétriques laissent souvent non restreint.

• Attaques d'amplification DNS : Les attaquants envoient de petites requêtes avec une IP source usurpée à des résolveurs ouverts. Le résolveur renvoie des réponses beaucoup plus volumineuses à la victime, générant des volumes de trafic disproportionnés lors d'une attaque DDoS.

Ports 137, 139 et 445 (NetBIOS et SMB)

Les ports 137 et 139 gèrent NetBIOS sur TCP. Le port 445 gère Server Message Block (SMB), le protocole Windows pour le partage de fichiers, d’imprimantes et la communication réseau. Désactivez SMBv1 sur tous les systèmes. SMBv2 et SMBv3 avec chiffrement activé sont la norme actuelle.

• Empoisonnement du cache DNS : Les attaquants injectent des réponses DNS falsifiées dans le cache d'un résolveur, redirigeant les utilisateurs de domaines légitimes vers des adresses contrôlées par l'attaquant à leur insu. Surveiller les enregistrements DNS pour détecter les modifications non autorisées est un contrôle clé contre cette technique.

Ports 80, 443, 8080 et 8443 (HTTP et HTTPS)

• Attaques de relais NTLM : Les attaquants interceptent les requêtes d’authentification NTLM via SMB et les relaient vers d’autres systèmes du réseau, s’authentifiant en tant qu’utilisateur légitime sans récupérer le mot de passe.
• Attaques par force brute sur les identifiants : Des outils automatisés ciblent les ports SMB exposés avec des tentatives de connexion en grand volume, notamment sur des systèmes utilisant des identifiants faibles ou par défaut.
• Exploitation EternalBlue : Cette attaque cible une vulnérabilité critique dans SMBv1, permettant l'exécution de code à distance sans authentification ni interaction utilisateur. EternalBlue a alimenté les attaques WannaCry et NotPetya et reste activement utilisé.
• Cross-site scripting (XSS) : Les attaquants injectent des scripts malveillants dans les pages web qui s’exécutent dans les navigateurs des utilisateurs, permettant le détournement de session et le vol d’identifiants.

Les ports web doivent rester ouverts et accessibles de l’extérieur pour que la plupart des organisations fonctionnent, ce qui en fait une cible constante. HTTP (80) et son alternatif (8080) transmettent les données en clair. HTTPS (443, 8443) chiffre la couche transport mais ne protège pas contre les attaques au niveau applicatif.

Ports 1433, 1434 et 3306 (ports de base de données)

• Injection SQL : Les attaquants insèrent des instructions SQL malveillantes dans les champs de saisie des applications web pour manipuler la base de données sous-jacente, extraire des données sensibles ou modifier des enregistrements.
• Falsification de requête inter-sites (CSRF) : Les attaquants exploitent la session active d'un utilisateur authentifié pour soumettre des requêtes non autorisées à une application web, déclenchant des actions que l'utilisateur n'a jamais initiées.
• Attaques DDoS : Les attaquants inondent les ports web de trafic pour épuiser les ressources du serveur et mettre l'application hors ligne pour les utilisateurs légitimes.

Port 3389 (RDP)

• Attaques par force brute et par identifiants : Les ports de base de données exposés acceptent les tentatives de connexion directes. Les outils automatisés ciblent les identifiants par défaut et les mots de passe faibles sur les instances SQL Server et MySQL.

Le port 1433 est le port par défaut pour Microsoft SQL Server, le port 1434 pour le service SQL Server Browser, et le port 3306 pour MySQL. Ces ports offrent un accès direct aux services de base de données. Les bases de données doivent être placées derrière des couches applicatives et rester inaccessibles depuis Internet. Tout port de base de données exposé résulte directement d’une mauvaise configuration.

• Injection SQL directe : Les attaquants qui se connectent directement à un port de base de données exposé exécutent des commandes SQL sans passer par la couche applicative, contournant totalement les contrôles du pare-feu d’application web.
• Exploitation des vulnérabilités connues des services : Les instances non corrigées de SQL Server et MySQL comportent des CVE que les attaquants exploitent dès qu'un port de base de données est accessible, permettant l'exécution de code à distance ou l'élévation de privilèges sur l'hôte de la base de données.

Le port 3389 gère le Remote Desktop Protocol et offre un accès graphique à distance aux systèmes Windows. RDP est largement utilisé en entreprise pour l’administration à distance, le support helpdesk et l’infrastructure de bureau virtuel. Cette omniprésence en fait l’un des ports les plus ciblés sur Internet.

Port 5900 (VNC)

• BlueKeep (CVE-2019-0708) : Une vulnérabilité wormable dans Windows 7 et Windows Server 2008 R2 qui permet l'exécution de code à distance sans authentification ni interaction utilisateur. Les attaquants peuvent propager automatiquement des malwares à travers les réseaux en ciblant le port exposé 3389.
• Attaques par force brute et remplissage d’identifiants : Les ports RDP ouverts subissent des tentatives continues de connexion automatisée. Le remplissage d’identifiants rejoue des paires nom d’utilisateur-mot de passe issues de violations précédentes directement contre les services RDP exposés.
• CVE-2024-38077: Une vulnérabilité critique RCE (CVSS 9.8) dans le Windows Remote Desktop Licensing Service. Des attaquants non authentifiés exécutent du code arbitraire en envoyant un paquet réseau spécialement conçu, sans interaction utilisateur requise. Les organisations utilisant ce service doivent le traiter comme une priorité immédiate de correction.
• Interception de session en clair : Les anciennes implémentations VNC transmettent les données de session en texte clair. Les attaquants qui capturent le trafic réseau peuvent voler la session graphique complète, y compris les frappes clavier et le contenu de l'écran.

Le port 5900 est le port par défaut pour Virtual Network Computing, un système de partage de bureau à distance courant dans les environnements de support et d'administration informatique. VNC offre un accès graphique similaire à RDP, mais présente des risques spécifiques liés à des paramètres d'authentification faibles et à un chiffrement incohérent selon les implémentations.

Cartographie des attaques de ports vers MITRE ATT&CK

• Attaques par force brute : De nombreuses déploiements VNC utilisent un mot de passe partagé unique et n'ont pas de politique de verrouillage de compte, ce qui fait du port 5900 une cible facile pour l'énumération automatisée des identifiants.

Les techniques ci-dessus correspondent aux entrées ATT&CK établies que les équipes de sécurité suivent déjà :

• Exploitation des identifiants par défaut : Les attaquants scannent régulièrement le port ouvert 5900 et tentent d’accéder en utilisant les mots de passe VNC par défaut couramment connus. Les systèmes déployés sans changement du mot de passe par défaut sont accessibles à toute personne trouvant le port ouvert.
• Accès initial et exploitation : EternalBlue et attaques similaires sur des services non corrigés relèvent de l’Exploitation des Services à Distance (T1210).
• Accès aux identifiants : Les attaques par force brute et par bourrage d’identifiants contre les ports SSH, RDP, VNC et bases de données sont des attaques par Force Brute (T1110).
• Mouvement latéral : Les connexions RDP, SSH et SMB utilisées pour se déplacer entre les systèmes avec des identifiants valides ou volés relèvent de Remote Services (T1021).
• Man-in-the-middle : Le relais NTLM et RDP Pipe Plumbing relèvent de Adversary-in-the-Middle (T1557).
• Reconnaissance externe et découverte interne : Les attaquants qui scannent Internet à la recherche de ports ouverts, comportement qui alimente l'indexation de Shodan et Censys, relèvent de Active Scanning (T1595). Une fois à l'intérieur d'un réseau, scanner d'autres services accessibles pour se déplacer latéralement est une technique distincte, Network Service Discovery (T1046).

Comment scanner les ports ouverts

• Commande et contrôle et évasion : Les attaquants utilisant un port ouvert pour rediriger ou relayer le trafic via un hôte compromis relèvent de Proxy (T1090), la technique derrière le cas des « redirections » que vous avez signalé. Le tunneling DNS est Protocol Tunneling (T1572).

Outils en ligne de commande

Avant de sécuriser les ports ouverts, vous devez savoir lesquels sont exposés. Trois approches principales fournissent cette visibilité :

Analyseurs de ports

Analyseurs de vulnérabilités

Les outils dédiés au scan de ports automatisent le sondage à travers les segments réseau. Ils envoient des requêtes de connexion, classifient les réponses comme ouvertes, fermées ou filtrées, et produisent un inventaire des services. Beaucoup s’intègrent aux bases de données de vulnérabilités pour signaler les risques connus des services découverts.

La commande netstat, disponible sur Windows et Linux, affiche les connexions actives et les ports à l’écoute sur un système local. Exécuter netstat -an affiche toutes les connexions avec leurs adresses associées. Pour une visibilité réseau complète, Nmap est l’outil standard. La commande nmap -sV <target> analyse l’IP ou la plage cible, identifie les ports ouverts et détecte la version du service sur chacun, ce qui est essentiel pour identifier les logiciels obsolètes.

Comment sécuriser les ports ouverts

Les outils de scan de vulnérabilités combinent la découverte des ports avec la correspondance dans la base de données CVE. Ils identifient les ports ouverts, détectent le service exécuté sur chaque port et croisent la version du service avec les vulnérabilités connues. Le résultat inclut des évaluations des risques et des conseils de remédiation. Des scans réguliers programmés, plutôt que des évaluations ponctuelles, offrent une visibilité continue à mesure que les configurations changent.

Réduire le risque lié aux ports ouverts nécessite plus qu’un simple contrôle. Les étapes ci-dessous traitent les sources d’exposition les plus courantes, des protocoles obsolètes et services non corrigés aux lacunes dans la surveillance et la gestion des accès.

Utilisez des protocoles chiffrés

Appliquez régulièrement les correctifs et mises à jour

Restreindre l'accès avec des firewalls et des ACL

Utilisez des outils de scan de ports

Les services non corrigés sont le chemin le plus direct d’un port ouvert à un système compromis. L’exploit EternalBlue qui a alimenté WannaCry ciblait une vulnérabilité que Microsoft avait déjà corrigée. Microsoft a corrigé CVE-2024-38077 avant qu’elle ne soit largement exploitée. Un rythme de correction cohérent, appliqué rapidement après la sortie, élimine la plupart des vulnérabilités connues avant que les attaquants ne puissent agir.

Remplacez les protocoles en clair par des équivalents chiffrés chaque fois que possible. FTP passe à SFTP ou FTPS. Telnet passe à SSH. HTTP redirige vers HTTPS. Tout service transmettant des identifiants sur une connexion non chiffrée comporte un risque évitable. Les bonnes pratiques de sécurité réseau régissant cette décision sont bien établies : lorsqu'une version chiffrée du protocole existe, utilisez-la.

Considérez le scan de ports comme une tâche opérationnelle récurrente. Les scans programmés avec des outils comme Nmap identifient les nouveaux services apparus sur le réseau entre les audits. Tout port ouvert non associé à un service connu et autorisé est une découverte nécessitant une enquête immédiate. Associez les scans externes aux scans internes pour couvrir à la fois l'exposition vers Internet et les services accessibles en interne.

Surveiller les modifications de configuration du service

Limitez les adresses IP source et segments réseau pouvant accéder à un port donné au niveau du pare-feu hôte, du pare-feu réseau et des ACL du commutateur. Un port de base de données nécessaire uniquement au serveur d’application doit être accessible uniquement depuis l’IP de ce serveur, pas depuis tout le sous-réseau.

Les modifications de configuration des serveurs, des pare-feu et des dispositifs réseau introduisent fréquemment de nouvelles expositions de ports : une règle temporaire de pare-feu jamais supprimée, un service activé lors du dépannage qui reste en fonctionnement, une configuration par défaut déployée sans durcissement.

Mettre en œuvre l'authentification par clé SSH

Déployer IDS et IPS

Netwrix Change Tracker surveille l'infrastructure pour détecter les dérives de configuration, en suivant en temps réel les modifications des règles de pare-feu, des configurations de services et des paramètres système. Il enregistre chaque changement avec son état avant et après, l'attribue à un compte et un système source spécifiques, et déclenche des alertes lorsque les configurations s'écartent des bases approuvées. Les équipes de sécurité savent ce qui a changé, quand et qui a effectué le changement, plutôt que de découvrir de nouvelles vulnérabilités uniquement lors des analyses périodiques.

Réaliser des tests de pénétration et des évaluations de vulnérabilités

Les clés SSH offrent une authentification plus forte que les mots de passe pour les services sur le port 22. Les clés privées sont impossibles à casser par force brute. Mettre en place une authentification par clé et désactiver la connexion par mot de passe sur SSH élimine la plus grande catégorie d’attaques SSH. Protégez les clés privées avec une phrase secrète, stockez-les en toute sécurité et faites-les tourner lorsque les employés ayant accès quittent l’organisation.

Les systèmes de détection d'intrusion surveillent le trafic réseau à la recherche de signes d'activité suspecte ciblant des ports ouverts. Les systèmes de prévention d'intrusion vont plus loin en bloquant activement les modèles d'attaque détectés. Les deux protègent contre les exploits courants basés sur les ports, y compris l'injection SQL, les attaques DDoS et les tentatives de connexion par force brute. IDS et IPS complètent le patching et la fermeture des ports en ajoutant une couche de détection et de blocage entre un port ouvert et une intrusion réussie.

Meilleures pratiques de sécurité des ports ouverts

Un test d’intrusion fait simuler par un professionnel de la sécurité une attaque réelle, exploitant activement les vulnérabilités via des ports ouverts pour montrer jusqu’où un attaquant pourrait progresser. Ensemble, ils offrent une couverture automatisée étendue ainsi qu’une validation manuelle des chemins à plus haut risque.

Les tests de pénétration et les évaluations de vulnérabilités abordent le risque des ports ouverts sous différents angles. Une évaluation des vulnérabilités effectue des analyses automatisées pour identifier les faiblesses connues dans l'infrastructure et produit une liste de remédiations priorisées.

Sécuriser les ports ouverts nécessite plus que des correctifs et des analyses. Les pratiques opérationnelles suivantes constituent la base d’une sécurité cohérente des ports.

Comment Netwrix vous aide à surveiller le risque des ports ouverts

• Appliquez immédiatement les correctifs critiques : Le délai entre la divulgation d’une vulnérabilité et son exploitation active s’est réduit. Les CVE à haute gravité ciblant des services sur des ports ouverts, comme la CVE-2024-38077 notée 9.8 affectant RDP, reçoivent un code de preuve de concept public dans les jours suivant la divulgation. Les correctifs critiques pour les services sur ports ouverts nécessitent une action immédiate.
• Attribuez un propriétaire à chaque port ouvert : Chaque port ouvert doit avoir un propriétaire documenté responsable du service associé. Les services obsolètes avec des ports ouverts persistants sont parmi les sources les plus courantes d’exposition non gérée. Lors de la mise hors service d’un service, incluez la fermeture de son port associé dans la liste de contrôle.
• Évaluez régulièrement votre surface d’attaque externe : Chaque port ouvert visible depuis Internet est un point d’accès initial potentiel. Le SANS 2025 Attack Surface Management Survey a identifié les actifs et services inconnus comme un défi majeur pour les équipes de sécurité, soulignant la nécessité d’une découverte continue, et non périodique. Fermez ou restreignez tout port sans justification commerciale active et documentée.
• Appliquez le principe du moindre privilège à l'accès réseau : Les services doivent être accessibles uniquement depuis les adresses IP et segments réseau qui en ont besoin. Un port de base de données que seul le serveur d'application doit atteindre doit être accessible uniquement depuis l'adresse IP de ce serveur. Cette limitation réduit les dégâts si un attaquant accède au réseau par un autre vecteur.

Détection des modifications de configuration en temps réel

Alertes automatisées de dérive de configuration

• Surveillance des dérives de configuration : Modifications de l'exposition des ports entre les analyses programmées. Un script de correctif, un environnement de test développeur ou un groupe de sécurité mal configuré peut ouvrir un nouveau port sans demande formelle de changement. Des outils continus de file integrity and configuration monitoring tools détectent ces changements en quasi temps réel, empêchant une exposition non détectée de persister jusqu'au prochain cycle d'audit.

La sécurité des ports ouverts échoue lorsque les configurations dérivent sans détection. Une règle de pare-feu est ajoutée pour un projet temporaire et jamais supprimée. Un service est activé lors du dépannage et reste en fonctionnement. Une configuration par défaut est déployée sans durcissement. Chacun crée un point d’exposition que les audits manuels manquent entre les cycles.

Rapports conformes

Netwrix Change Tracker surveille en continu les serveurs, les dispositifs réseau et les configurations de pare-feu. Lorsqu’un changement survient, comme le démarrage d’un nouveau service, la modification d’une règle de pare-feu ou l’ouverture d’un port, il capture l’état avant et après, enregistre l’heure et la source, et déclenche une alerte. Les équipes de sécurité reçoivent une notification immédiate lorsque les configurations s’écartent de la ligne de base approuvée, comblant ainsi la lacune laissée par les analyses périodiques.

Netwrix Change Tracker compare l'état actuel de l'infrastructure aux bases de configuration approuvées et signale les écarts. Pour la gestion des ports ouverts, tout service ou configuration de port qui s'écarte de l'état autorisé génère une alerte exploitable avec des détails spécifiques sur le changement, permettant aux équipes d'enquêter et de remédier avant qu'un attaquant ne découvre l'exposition.

Demandez une démo pour voir comment Netwrix vous aide à détecter les modifications de configuration dans votre infrastructure de ports ouverts avant les attaquants.

Démontrer la conformité aux contrôles des ports ouverts nécessite plus que la simple mise en place des contrôles. Les auditeurs ont besoin de preuves documentées que ces contrôles sont appliqués de manière cohérente. Netwrix Auditor fournit des mappages de rapports de conformité préconçus pour PCI DSS, NIST 800-53, HIPAA et CMMC, couvrant les exigences de contrôle des modifications et de surveillance des accès pour l'infrastructure exposée au réseau. Les paramètres de la politique d'audit Windows établissent la base de journalisation ; Netwrix Auditor structure ces données de journal en rapports prêts pour l'audit documentant qui a changé quoi, quand et depuis quel système, fournissant la traçabilité exigée par les revues de conformité.