Vulnerabilità delle Porte Aperte: Elenco Completo e Guida alla Sicurezza

Quando gli intrusi vogliono introdursi in un edificio, cercano un'apertura. Una porta aperta è una delle aperture che un hacker o un attore di minaccia cerca per accedere a una rete digitale. Quella porta aperta può trovarsi su un firewall, un server o qualsiasi dispositivo informatico connesso alla rete. Proprio come una singola porta sbloccata può mettere a rischio la tua privacy e consentire l'accesso a un edificio fisico, una singola porta aperta può fornire un punto di accesso per gli hacker per violare i tuoi sistemi, esponendoti alle loro intenzioni malevole.

Di seguito, condividiamo le porte più vulnerabili e le strategie di sicurezza critiche per proteggersi da esse.

Panoramica delle vulnerabilità delle porte aperte

Una porta aperta all'interno della tua rete è una vulnerabilità. Fornisce un potenziale punto di ingresso per l'accesso non autorizzato per eludere i tuoi firewall o altre misure di sicurezza e ottenere l'accesso alla tua rete. Una volta entrati, possono lanciare gli attacchi desiderati o eseguire attività di ricognizione per saperne di più sulla tua organizzazione e su come sfruttarla. Le porte aperte rappresentano un significativo rischio per la sicurezza e dovrebbero essere una priorità alta per la gestione della sicurezza.

Importanza di proteggere le porte aperte

Per ridurre la tua vulnerabilità agli attacchi, devi ridurre la tua superficie di attacco. Puoi farlo diminuendo il numero di porte aperte nei tuoi sistemi. Ad esempio, consentire connessioni esterne Remote Desktop Protocol (RDP, porta 3389) può fornire agli utenti legittimi l'accesso remoto alla tua rete aziendale. Tuttavia, ciò presenta un'opportunità per gli attori delle minacce di cercare attivamente porte RDP aperte da sfruttare.

Cosa sono le porte?

Definizione e scopo

Una porta può essere vista come un ingresso virtuale che accomoda il traffico di rete verso servizi e applicazioni specifici. Un numero unico identifica ogni porta per differenziarsi. Queste porte possono essere gestite da amministratori assegnati che possono aprirle o chiuderle per permettere o bloccare determinati tipi di traffico. Ad esempio, il traffico web si affida alle porte 80 e 443. Se hai un server che ospita un'applicazione web per utenti esterni, devi aprire queste porte per concedere loro l'accesso. Tutte le porte inutilizzate dovrebbero essere chiuse.

Tipi di porte: TCP e UDP

I protocolli di trasporto più comuni con numeri di porta sono il Transmission Control Protocol (TCP) e il User Datagram Protocol (UDP). I software e i servizi sono progettati per utilizzare TCP o UDP e assegnati a un numero di porta designato.

• TCP è un protocollo orientato alla connessione con ritrasmissione integrata e recupero degli errori. TCP è generalmente un protocollo più affidabile.
• UDP is a connectionless protocol that doesn’t recover or correct message errors. It is known as the best effort protocol.

Stati delle porte

Le porte TCP e UDP si trovano in uno di questi tre stati a seconda delle tue esigenze:

• Aperto — La porta risponde alle richieste di connessione.
• Chiuso — La porta non è raggiungibile, il che indica che non c'è nessun servizio corrispondente in esecuzione.
• Filtrato — Il firewall monitora il traffico e blocca le richieste di connessione a porte specifiche.

Rischi di sicurezza legati alle porte aperte

Gli attori delle minacce utilizzano porte aperte per eseguire attacchi e sfruttare vulnerabilità. Di seguito, condividiamo alcuni exploit e attacchi comuni che gli attori malevoli sfruttano, e poi dettagliamo due famosi attacchi tramite vulnerabilità delle porte aperte.

Exploit e attacchi comuni

• An open RDP connection can be used to launch a credential-stuffing attack to access a server or deliver a ransomware payload.
• Un attacco di Denial of service (DoS) invia molte richieste di connessione da varie macchine per interrompere un determinato servizio. Un esempio tipico sarebbe prendere di mira le porte web di un server web per consumare la sua larghezza di banda e risorse, impedendo agli utenti legittimi di accedere al servizio.
• Le porte dei servizi web sono comunemente utilizzate come punti di ingresso per lanciare attacchi come l'iniezione SQL e il cross-site request forgery per sfruttare le vulnerabilità all'interno delle applicazioni stesse.
• Gli attacchi man-in-the-middle possono essere utilizzati per intercettare il traffico dati non crittografato di porte note al fine di raccogliere informazioni sensibili. Un esempio è il reindirizzamento del traffico dati per intercettare il traffico email.

Case studies: WannaCry, RDP Pipe Plumbing

Uno degli attacchi più famosi è stato l'attacco del ransomware WannaCry Ransomware attack lanciato nel 2017. L'attacco è stato eseguito a livello globale, colpendo oltre 300.000 computer in 150 paesi. L'attacco ha sfruttato una vulnerabilità nel protocollo SMB sulla porta 445. Una volta che gli aggressori si sono infiltrati nell'organizzazione, hanno criptato i suoi file e richiesto un pagamento del riscatto.

RDP Pipe Plumbing è una vulnerabilità nel Remote Desktop Protocol che sfrutta i named pipes di Windows. Gli aggressori prendono di mira la porta RDP 3389 per creare false istanze di server pipe con lo stesso nome di quelle legittime. Quindi utilizzano queste pipe contraffatte per intercettare le comunicazioni tra client e server RDP. Questo attacco man-in-the-middle consente l'accesso non autorizzato a dati sensibili, inclusi i contenuti degli appunti e i trasferimenti di file.

Porte vulnerabili e i loro rischi

Di seguito è riportato un elenco di vulnerabilità delle porte aperte. Leggi per scoprire quali sono più suscettibili di essere sfruttate.

Vulnerabilità della porta 21 (FTP)

Il File Transfer Protocol (FTP) è assegnato alla porta 21. FTP consente agli utenti di inviare e ricevere file in una trasmissione non crittografata da e verso i server. FTP è considerato obsoleto e insicuro e non dovrebbe essere utilizzato per alcun trasferimento di file, specialmente dati sensibili, poiché può essere facilmente sfruttato utilizzando uno dei seguenti metodi:

• Forzatura bruta delle password
• Autenticazione anonima (è possibile accedere alla porta FTP con "anonymous" come nome utente e password)
• Cross-site scripting
• Attacchi di Directory traversal
• Attacco man-in-the-middle

Vulnerabilità della porta 22 (SSH)

La porta 22 è comunemente utilizzata per le connessioni Secure Shell. È preferita rispetto a Telnet perché la connessione è criptata. Spesso utilizzata per la gestione remota, la porta 22 è una porta TCP per garantire l'accesso remoto sicuro. Nonostante la sua maggiore sicurezza, presenta ancora alcune vulnerabilità di base:

• Chiavi SSH violate. Se le chiavi SSH non sono correttamente protette, possono essere accessibili da un attaccante per ottenere l'accesso senza avere la password richiesta.
• Forzatura bruta delle credenziali. Le porte SSH aperte sono facilmente individuabili, permettendo agli attaccanti di indovinare combinazioni di username e password.

Vulnerabilità della porta 23 (Telnet)

Telnet è un protocollo TCP che utilizza la porta 23. Si connette a dispositivi remoti che utilizzano interfacce a riga di comando come switch, router e server. Come FTP, Telnet è non criptato, obsoleto e considerato insicuro. È stato superato da SSH. Alcune delle sue vulnerabilità comuni includono:

• Forzatura bruta delle credenziali. Gli aggressori sfruttano le vulnerabilità delle porte aperte per lanciare tentativi di accesso ripetuti contro servizi esposti, cercando di ottenere accesso non autorizzato indovinando le credenziali.
• Spoofing e intercettazione delle credenziali. Le porte aperte possono esporre i servizi agli attaccanti che le sfruttano per intercettare e rubare le credenziali, spesso fingendosi entità legittime durante la trasmissione dei dati.

Vulnerabilità della porta 25 (SMTP)

La porta 25 è utilizzata dal Simple Mail Transfer Protocol (SMTP) per l'invio e la ricezione di email. SMTP è stato sviluppato quando la cybersecurity non era una preoccupazione significativa, quindi può essere facilmente sfruttato senza soluzioni di sicurezza di terze parti. Senza una configurazione e protezione adeguata, questa porta TCP è vulnerabile a minacce come:

• Spoofing. Gli aggressori possono falsificare le intestazioni delle email per far sembrare che i messaggi provengano da una fonte affidabile.
• Spamming. I server SMTP non protetti possono essere sfruttati per inviare grandi volumi di email indesiderate, spesso sovraccaricando i sistemi e diffondendo malware.
• Attacco man-in-the-middle, specialmente quando l'email è inviata in chiaro.

Vulnerabilità della porta 53

La porta 53 è utilizzata per il Domain Name System (DNS), che traduce nomi di dominio leggibili dall'uomo come facebook.com o linkedin.com in indirizzi IP. Il DNS è essenziale per il traffico internet e opera utilizzando sia UDP che TCP per le query e i trasferimenti, rispettivamente. Questa porta è particolarmente vulnerabile agli attacchi Distributed Denial of Service (DDoS), dove gli aggressori sovraccaricano il server DNS con un'ondata di richieste, potenzialmente interrompendo il servizio.

• Attacchi DDoS. Questi sono attacchi comuni in cui gli aggressori cercano di sovraccaricare il server con grandi volumi di pacchetti per causare l'interruzione del servizio. Questo vettore di attacco presenta alcune varianti, DDoS (distributed denial of service) e attacchi di amplificazione DNS.

Vulnerabilità delle porte 137 e 139 (NetBIOS su TCP) e 445 (SMB)

Le porte 137 e 139 (NetBIOS su TCP) e 445 (SMB) sono comunemente associate alla condivisione di file e alla comunicazione in rete negli ambienti Windows. Tuttavia, sono anche note per essere vulnerabili a diverse minacce alla sicurezza:

• EternalBlue exploit. Questo attacco sfrutta le vulnerabilità di SMBv1 nelle versioni più vecchie dei computer Microsoft. È diventato noto dopo l'attacco ransom WannaCry lanciato su scala globale nel 2017.
• Cattura degli hash NTLM. Gli aggressori possono intercettare e catturare gli hash NTLM e utilizzarli per autenticarsi come utenti legittimi.
• Forzatura bruta delle credenziali di accesso SMB. Gli aggressori possono tentare di ottenere l'accesso provando sistematicamente diverse combinazioni di nome utente e password fino a trovare le credenziali corrette.

Vulnerabilità delle porte 80, 443, 8080 e 8443 (HTTP e HTTPS)

Chiunque abbia visitato una pagina web ha utilizzato i protocolli HTTP o HTTPS nel proprio browser web. Come accennato, le porte web sono comunemente prese di mira dagli aggressori per molti tipi di attacchi, tra cui:

• Cross-site scripting. Gli aggressori iniettano script maligni nelle pagine web e nelle applicazioni per rubare cookie, token o dati.
• Iniezioni SQL. Gli aggressori inseriscono codice SQL maligno nei campi di input per manipolare un database.
• Falsari di richieste tra siti.Un attaccante sfrutta la fiducia tra il browser web di un utente e un'applicazione web per ingannare l'utente affinché esegua azioni su un sito web senza la sua conoscenza o consenso.
• Attacchi DDoS

Vulnerabilità delle porte 1433, 1434 e 3306 (Utilizzate dai database)

Queste sono le porte predefinite per SQL Server e MySQL. Vengono utilizzate per eseguire una varietà di azioni malevole, tra cui:

• Distribuzione di malware. Gli aggressori utilizzano porte aperte per infiltrarsi in una rete, distribuendo software dannoso che può compromettere i sistemi, rubare dati o danneggiare l'infrastruttura.
• Scenari DDoS. Le vulnerabilità delle porte aperte vengono sfruttate per sovraccaricare i servizi con un traffico massiccio negli attacchi di Distributed Denial of Service (DDoS), rendendo i sistemi inutilizzabili.
• Trova database non protetti con configurazioni predefinite sfruttabili. Le porte aperte possono esporre database con impostazioni deboli o predefinite, permettendo agli attaccanti di sfruttarli efficacemente per ottenere accesso non autorizzato e manipolare o rubare informazioni sensibili.

Vulnerabilità della porta 3389 (Remote Desktop)

• Le vulnerabilità del Remote Desktop Protocol espongono RDP ad attacchi brute force e attacchi man-in-the-middle.

• La vulnerabilità BlueKeep (CVE-2019-0708) è una vulnerabilità RDP riscontrata in sistemi operativi Microsoft più vecchi come Windows 7 e Windows Server 2008. BlueKeep può essere sfruttata per diffondere malware all'interno di un'organizzazione senza l'intervento dell'utente.

Passaggi per proteggere le porte aperte

Preferite porte crittografate rispetto a quelle non crittografate

La maggior parte dei servizi regolari utilizzati in un ambiente basato su IP ora dispone di una versione crittografata del vecchio protocollo originale in chiaro. Una buona pratica è passare alla versione crittografata per evitare qualsiasi perdita di dati mentre le informazioni vengono trasmesse attraverso i cavi.

Applicazione regolare di patch e aggiornamenti

L'applicazione delle patch mantiene aggiornati i tuoi sistemi e firewall. I fornitori rilasciano regolarmente patch che riparano vulnerabilità e difetti nei loro prodotti che i criminali informatici potrebbero sfruttare per ottenere pieno accesso ai tuoi sistemi e dati.

Strumenti di scansione delle porte

Dovresti anche eseguire regolarmente la scansione e il controllo delle tue porte. Ci sono tre modi principali per farlo:

• Strumenti da riga di comando. Se hai tempo per scansionare e controllare le porte manualmente, utilizza strumenti da riga di comando per individuare e scansionare le porte aperte. Esempi includono Netstat e Network Mapper, che puoi installare su vari sistemi operativi, inclusi Windows e Linux.
• Scanner di porte.Se desideri risultati più rapidi, prendi in considerazione l'utilizzo di uno scanner di porte. Un programma per computer verifica se le porte sono aperte, chiuse o filtrate. Il processo è semplice: lo scanner invia una richiesta di rete per connettersi a una porta specifica e cattura la risposta.
• Strumenti di scansione delle vulnerabilità. Gli strumenti di scansione delle vulnerabilità sono applicazioni automatizzate che identificano e inventariano le risorse IT, come server, desktop e dispositivi di rete, per rilevare debolezze di sicurezza. Scansionano alla ricerca di vulnerabilità note derivanti da configurazioni errate o programmazione difettosa. I risultati di queste scansioni forniscono preziose informazioni sul livello di rischio di un'organizzazione e possono essere utilizzati per raccomandare strategie di mitigazione efficaci.

Monitoraggio delle modifiche alla configurazione del servizio

Rimanere aggiornati su qualsiasi modifica di configurazione apportata ai vostri server, firewall, switch, router e altri dispositivi di rete è importante, poiché queste modifiche possono introdurre vulnerabilità. Tali modifiche possono verificarsi accidentalmente o intenzionalmente. Utilizzando Netwrix Change Tracker, potete rafforzare i vostri sistemi tracciando modifiche non autorizzate e altre attività sospette. In particolare, offre le seguenti funzionalità:

• Allarmi azionabili riguardo ai cambiamenti di configurazione
• Registrazione, analisi, convalida e verifica automatica di ogni modifica
• Monitoraggio delle modifiche in tempo reale
• Monitoraggio costante delle vulnerabilità delle applicazioni

Utilizzando sistemi di rilevamento e prevenzione delle intrusioni (IDP e IPS)

IDS monitora il traffico di rete alla ricerca di segni di attività sospette o minacce note, mentre IPS va oltre bloccando le minacce rilevate. Entrambi possono prevenire exploit comuni che prendono di mira porte aperte, inclusi iniezioni SQL, attacchi DDoS e altre minacce informatiche.

Implementazione delle chiavi SSH

Le chiavi SSH sono meno vulnerabili agli attacchi di forza bruta, al phishing e agli errori umani. Queste chiavi crittografate eliminano la necessità per gli utenti di ricordare e inserire password, riducendo così la probabilità di accessi non autorizzati tramite porte aperte. Esistono due tipi di chiavi SSH:

• Chiavi private o di identità, che identificano gli utenti e concedono loro l'accesso
• Chiavi pubbliche o autorizzate, che determinano chi può accedere al tuo sistema

Conduzione di test di penetrazione e valutazioni delle vulnerabilità

I test di penetrazione e le valutazioni delle vulnerabilità dovrebbero essere utilizzati per individuare le vulnerabilità nell'infrastruttura IT, sebbene ciascuno utilizzi un approccio diverso. Un test di penetrazione (un pen test) è condotto da un professionista della sicurezza che simula un attacco informatico su un sistema informatico o una rete per identificare e sfruttare le vulnerabilità. Mostra come un attacco potrebbe infiltrarsi attivamente nella tua rete. Una valutazione delle vulnerabilità, d'altra parte, è una scansione automatizzata che identifica e dà priorità alle vulnerabilità note. Insieme, possono fornire un riassunto completo delle vulnerabilità delle tue porte.

Migliori pratiche per la sicurezza delle porte

• Valutazione delle superfici di attacco esterne. Dovresti valutare regolarmente l'esposizione della tua rete a minacce esterne identificando e proteggendo le porte aperte che un attaccante potrebbe sfruttare. Assicurati che ogni porta aperta sia necessaria. Chiudi immediatamente le porte associate ad applicazioni o servizi deprecati.
• Monitoraggio continuo per rischi emergenti. Implementare un monitoraggio costante e estensivo per rilevare nuove vulnerabilità e minacce associate a porte aperte. Intervenire tempestivamente con risposta e mitigazione quando necessario.
• Valutazione delle prestazioni delle porte aperte. Rivedere e valutare regolarmente la sicurezza e la funzionalità di tutte le porte aperte. Assicurarsi che le porte aperte siano adeguatamente mappate ai loro target interni designati e che il principio del minimo privilegio sia applicato a tutte le risorse applicabili.
• Attenersi a un programma di patch costante.L'applicazione regolare delle patch può portare grandi vantaggi in termini di sicurezza. Assicurati che tutte le patch relative alla sicurezza vengano distribuite immediatamente dopo il rilascio.
• Servizi configurati in modo errato, non aggiornati e vulnerabili. Sistemi non aggiornati o configurati in modo errato possono portare a un sistema compromesso. Verificate che tutte le configurazioni seguano le migliori pratiche di sicurezza. Implementate un sistema di monitoraggio per avvisare il personale di supporto della rete quando si verifica un cambiamento nella configurazione.

Conclusione

Le porte aperte sono come una spada a doppio taglio. Da un lato, sono essenziali per le operazioni aziendali per abilitare pagine web, applicazioni e servizi. Dall'altro lato, presentano opportunità per gli attori delle minacce di infiltrarsi e sfruttare la tua rete. Questo rende la gestione e il monitoraggio delle porte aperte un aspetto critico della sicurezza della rete e non può essere sopravvalutato. La tua organizzazione dovrebbe avere una politica che delinei le procedure per la sicurezza di tutte le porte aperte e garantire che tutti i sistemi e il software siano aggiornati regolarmente. Porte insicure come Telnet e FTP dovrebbero essere deprezzate e sostituite con soluzioni moderne che utilizzano tecnologie sicure moderne. Effettua valutazioni regolari per assicurarti che tutte le porte aperte siano necessarie e conferma che le configurazioni aderiscano alle migliori pratiche. Ricorda che man mano che la tecnologia evolve, anche i tuoi requisiti di porte cambieranno. Con la strategia e la concentrazione adeguate, le tue porte aperte possono rimanere risorse funzionanti piuttosto che vulnerabilità che espongono la tua azienda a un rischio maggiore.

Le porte aperte sono ciò che fa funzionare le reti. Consentono ai server web di accettare traffico, agli amministratori remoti di connettersi e alle applicazioni aziendali di comunicare. Sono anche la prima cosa che un attore minaccioso scansiona.

Le porte aperte sono essenziali per le operazioni. Il lavoro consiste nel capire quali comportano rischi, quali attacchi consentono e come controllare l'esposizione. Questa guida copre le porte più vulnerabili di uso comune, le tecniche di attacco che le prendono di mira e i passaggi per ridurre la superficie di attacco.

Cosa sono le porte aperte?

Gli aggressori utilizzano strumenti automatizzati per esaminare Internet alla ricerca di servizi esposti. Quando trovano una porta con un servizio non aggiornato, un protocollo mal configurato o una credenziale debole, hanno un accesso diretto più profondo nella rete. Secondo il Verizon 2026 Data Breach Investigations Report, lo sfruttamento delle vulnerabilità come vettore di accesso iniziale è aumentato del 55% anno su anno, rappresentando il 31% delle violazioni.

Tipi di porte

TCP e UDP sono i due protocolli di trasporto utilizzati dalle porte. Comprendere la differenza è importante per valutare e controllare l'esposizione della rete.

TCP

Una porta è un punto di comunicazione virtuale che instrada il traffico di rete al servizio o all'applicazione appropriata su un dispositivo. Ogni dispositivo connesso in rete ha fino a 65.535 porte TCP e 65.535 porte UDP, ciascuna identificata da un numero. Gli amministratori controllano quali porte accettano connessioni in ingresso, aprendo solo quelle necessarie per servizi legittimi e chiudendo o filtrando le altre.

La porta 80 gestisce il traffico web HTTP. La porta 443 gestisce HTTPS. La porta 22 gestisce le connessioni SSH. Quando un servizio è attivo e una porta è aperta, qualsiasi dispositivo nella rete, o su internet se la porta è esposta esternamente, può tentare di connettersi.

UDP

Tipi di stati delle porte

TCP è orientato alla connessione. Stabilisce una connessione verificata prima di trasferire i dati, include rilevamento degli errori e ritrasmissione integrati e garantisce la consegna. La maggior parte dei servizi che richiedono affidabilità, come la navigazione web, il trasferimento di file e l'accesso remoto, utilizza TCP.

Le porte TCP e UDP esistono in uno di tre stati:

UDP è senza connessione. Invia dati senza confermare la consegna, riducendo l'overhead e migliorando la velocità. Servizi che privilegiano le prestazioni rispetto alla consegna garantita, come le ricerche DNS, lo streaming e VoIP, usano comunemente UDP.

• Aperto: La porta accetta richieste di connessione e un servizio è in ascolto attivo.
• Filtrato: Un firewall blocca i tentativi di connessione, quindi nessuna risposta raggiunge il richiedente.

Perché le porte aperte rappresentano un rischio per la sicurezza

• Chiuso: La porta è raggiungibile, ma nessun servizio è in esecuzione; il sistema operativo risponde comunque con un pacchetto TCP RST (reset), quindi il tentativo riceve un rifiuto esplicito anziché silenzio.

Una porta chiusa è una quantità nota. Una porta filtrata non rivela nulla a un attaccante. Il rischio è in una porta aperta con il servizio sbagliato dietro.

Una porta aperta è un canale di comunicazione diretto da internet a un servizio in esecuzione sulla tua infrastruttura. Il rischio è misurabile, in crescita e direttamente collegato ai risultati finanziari.

Gli aggressori scansionano continuamente le porte aperte

Lo sfruttamento delle porte è in aumento

Una postura debole delle porte predice direttamente il rischio di violazione

Studi di casi sulle vulnerabilità delle porte aperte

Gli strumenti di scansione automatica analizzano l'intero spazio di indirizzi IPv4 in poche ore. Piattaforme come Shodan e Censys indicizzano continuamente i servizi esposti, il che significa che qualsiasi porta aperta senza una corrispondente restrizione del firewall può essere scoperta in pochi minuti. Gli aggressori non devono mirare specificamente alla tua organizzazione. Scansionano su larga scala, identificano servizi con versioni vulnerabili e attaccano qualsiasi IP che risponde. Una porta configurata in modo errato che appare nella tua prossima verifica programmata potrebbe aver già subito migliaia di tentativi di connessione non autorizzati.

Una ricerca di Bitsight ha rilevato che le organizzazioni con un punteggio basso sulle porte aperte hanno più del doppio delle probabilità di subire una violazione dei dati rispetto a quelle con controlli delle porte forti. L'esposizione finanziaria è reale. Il Netwrix Cybersecurity Trends Report 2025 ha rilevato che il 75% delle organizzazioni ha riportato danni finanziari da attacchi di sicurezza, con il 13% che stima perdite di 200.000 dollari o più.

WannaCry: porta SMB 445 e il costo di una vulnerabilità non corretta

RDP Pipe Plumbing: Attacco man-in-the-middle sulla porta 3389

Gli incidenti reali mostrano cosa succede quando porte aperte con servizi non aggiornati si trovano su internet senza controlli adeguati. Due attacchi alle porte 445 e 3389 restano tra i più citati nella sicurezza di rete.

Gli attacchi ai servizi di rete sono in aumento. Secondo il Netwrix Cybersecurity Trends Report 2025, il 28% delle organizzazioni ha subito un attacco mirato alla propria infrastruttura on-premises nell'ultimo anno, rispetto al 19% nel 2023. Più in generale, il 51% ha confermato un incidente di sicurezza che ha richiesto una risposta dedicata dai team di sicurezza negli ultimi 12 mesi. Ridurre la propria attack surface inizia controllando quali servizi sono raggiungibili e assicurandosi che ciascuno sia aggiornato e configurato correttamente.

Porte aperte vulnerabili e i rischi associati

Porta 21 (FTP)

RDP Pipe Plumbing sfrutta i named pipes di Windows sulla porta 3389. Gli aggressori creano istanze false di server pipe che corrispondono a nomi legittimi, quindi intercettano le comunicazioni RDP per catturare dati, inclusi contenuti degli appunti e trasferimenti di file. Questa tecnica man-in-the-middle richiede solo una porta RDP accessibile per essere eseguita.

Le seguenti porte compaiono costantemente nei dati degli attacchi come punti di esposizione ad alto rischio. Ognuna spiega cosa fa la porta, perché è vulnerabile e i metodi di attacco specifici che la prendono di mira.

L'attacco WannaCry ransomware di maggio 2017 rimane uno degli esempi più significativi di sfruttamento di porte aperte. Gli aggressori hanno utilizzato l'exploit EternalBlue per colpire SMBv1 sulla porta 445, diffondendo ransomware a oltre 300.000 sistemi in 150 paesi senza richiedere l'interazione dell'utente. Il danno è stato possibile perché le porte SMB esposte erano raggiungibili da internet e il protocollo sottostante presentava una vulnerabilità critica non patchata.

Il File Transfer Protocol utilizza la porta 21 per i comandi di controllo e la porta 20 per i trasferimenti di dati. FTP trasmette tutti i dati, comprese le credenziali, in testo semplice, senza crittografia o verifica del server integrata. È considerato obsoleto e le organizzazioni che ancora usano FTP dovrebbero migrare a SFTP o FTPS.

• Attacchi brute-force: Strumenti automatizzati tentano sistematicamente combinazioni di nome utente e password contro il servizio FTP finché non vengono trovate credenziali valide.
• Intercettazione delle credenziali: FTP trasmette nomi utente e password in testo semplice. Qualsiasi attaccante con accesso al traffico di rete può catturare le credenziali senza sfruttamento attivo.
• Abuso di autenticazione anonima: Molti server FTP accettano "anonymous" sia come nome utente che come password di default, concedendo accesso non autenticato ai file ospitati.

Porta 22 (SSH)

• Traversal delle directory: Gli aggressori inviano richieste di percorso file appositamente create per navigare al di fuori della directory root FTP e accedere ai file nel sistema sottostante.

Porta 23 (Telnet)

• Furto della chiave SSH: Una chiave privata rubata o conservata in modo improprio concede accesso completo a qualsiasi sistema che si fidi della corrispondente chiave pubblica, senza necessità di password.
• Abuso del tunneling SSH: Gli attaccanti con accesso iniziale utilizzano il port forwarding SSH per creare tunnel crittografati che bypassano i controlli del firewall, consentendo l'esfiltrazione dei dati o il movimento laterale verso sistemi interni.
• Attacchi brute-force: Le porte SSH aperte con autenticazione tramite password abilitata sono un bersaglio persistente. Strumenti automatizzati eseguono migliaia di tentativi di accesso al minuto sulla porta 22.

Secure Shell utilizza la porta 22 per l'accesso remoto crittografato e il trasferimento di file, supportando secure remote access a server e dispositivi di rete. SSH ha sostituito Telnet come standard per la gestione remota dei sistemi. La crittografia protegge i dati in transito, ma una configurazione errata di SSH crea due superfici di attacco ben documentate.

Telnet opera sulla porta TCP 23 e fornisce accesso da riga di comando a dispositivi remoti, inclusi router, switch e server. Come FTP, Telnet trasmette tutti i dati, incluse le credenziali, in testo semplice. SSH ha sostituito Telnet come alternativa sicura, e qualsiasi servizio Telnet su un sistema esposto a internet rappresenta un rischio completamente evitabile.

Porta 25 (SMTP)

• Attacchi brute-force: Strumenti automatizzati prendono di mira le porte Telnet aperte con tentativi di accesso ad alto volume, in particolare contro router e switch che mantengono le credenziali predefinite.
• Intercettazione delle credenziali: Telnet trasmette nomi utente e password in testo semplice. Qualsiasi attaccante posizionato tra client e server cattura le credenziali senza sfruttamento attivo.

La porta 25 gestisce il Simple Mail Transfer Protocol, lo standard per il relay di email da server a server. SMTP precede i requisiti di sicurezza moderni e, senza una configurazione adeguata, crea tre condizioni sfruttabili ben documentate.

• Email spoofing: Gli aggressori falsificano le intestazioni del mittente per far sembrare che i messaggi provengano da domini affidabili, consentendo campagne di phishing che bypassano i filtri di reputazione base del mittente.

Porta 53 (DNS)

• Abuso di relay aperto: Un server SMTP non protetto senza restrizioni di relay invia email per conto di qualsiasi mittente, diventando una piattaforma per la distribuzione di spam e malware ad alto volume.
• Attacchi di downgrade STARTTLS: Quando un server di posta non applica STARTTLS, gli aggressori intercettano la negoziazione della connessione e forzano una sessione non criptata, esponendo contenuti email e credenziali in transito.
• Tunneling DNS: Gli aggressori codificano payload di dati all'interno di query e risposte DNS per esfiltrare informazioni o mantenere comunicazioni di comando e controllo attraverso firewall che consentono il traffico DNS.

La porta 53 gestisce le query del Domain Name System, traducendo i nomi di dominio in indirizzi IP per il traffico internet. DNS utilizza UDP per le query standard e TCP per i trasferimenti di zona. Poiché quasi tutte le operazioni di rete dipendono da DNS, è un obiettivo di attacco di alto valore e un protocollo che i controlli perimetrali spesso lasciano non regolamentato.

• Attacchi di amplificazione DNS: Gli aggressori inviano piccole query con un IP sorgente contraffatto a resolver aperti. Il resolver restituisce risposte molto più grandi alla vittima, generando volumi di traffico sproporzionati in un attacco DDoS.

Porte 137, 139 e 445 (NetBIOS e SMB)

Le porte 137 e 139 gestiscono NetBIOS su TCP. La porta 445 gestisce Server Message Block (SMB), il protocollo Windows per la condivisione di file, stampanti e comunicazioni di rete. Disabilitare SMBv1 su tutti i sistemi. SMBv2 e SMBv3 con crittografia abilitata sono lo standard attuale.

• Avvelenamento della cache DNS: Gli aggressori inseriscono risposte DNS contraffatte nella cache di un resolver, reindirizzando gli utenti da domini legittimi a indirizzi controllati dall'attaccante senza che se ne accorgano. Monitorare i record DNS per modifiche non autorizzate è un controllo chiave contro questa tecnica.

Porte 80, 443, 8080 e 8443 (HTTP e HTTPS)

• Attacchi di relay NTLM: Gli aggressori intercettano le richieste di autenticazione NTLM tramite SMB e le rilanciano ad altri sistemi nella rete, autenticandosi come l'utente legittimo senza recuperare la password.
• Attacchi di forza bruta alle credenziali: Strumenti automatizzati prendono di mira porte SMB esposte con tentativi di accesso ad alto volume, in particolare contro sistemi con credenziali deboli o predefinite.
• Sfruttamento EternalBlue: Questo attacco prende di mira una vulnerabilità critica in SMBv1, consentendo l'esecuzione remota di codice senza autenticazione o interazione dell'utente. EternalBlue ha alimentato gli attacchi WannaCry e NotPetya ed è ancora attivamente utilizzato.
• Cross-site scripting (XSS): Gli aggressori iniettano script dannosi nelle pagine web che vengono eseguiti nei browser degli utenti, consentendo il dirottamento delle sessioni e il furto delle credenziali.

Le porte web devono rimanere aperte e accessibili esternamente affinché la maggior parte delle organizzazioni funzioni, rendendole un bersaglio costante. HTTP (80) e il suo alternativo (8080) trasmettono dati in chiaro. HTTPS (443, 8443) cripta il livello di trasporto ma non protegge dagli attacchi a livello applicativo.

Porte 1433, 1434 e 3306 (porte database)

• Iniezione SQL: Gli aggressori inseriscono istruzioni SQL dannose nei campi di input delle applicazioni web per manipolare il database sottostante, estrarre dati sensibili o modificare record.
• Cross-site request forgery (CSRF): Gli aggressori sfruttano la sessione attiva di un utente autenticato per inviare richieste non autorizzate a un'applicazione web, attivando azioni che l'utente non ha mai avviato.
• Attacchi DDoS: Gli aggressori sovraccaricano le porte web con traffico per esaurire le risorse del server e mettere l'applicazione offline per gli utenti legittimi.

Porta 3389 (RDP)

• Attacchi brute-force e di credenziali: Le porte del database esposte accettano tentativi di accesso diretti. Strumenti automatizzati prendono di mira credenziali predefinite e password deboli su istanze SQL Server e MySQL.

La porta 1433 è quella predefinita per Microsoft SQL Server, la porta 1434 per il servizio SQL Server Browser e la porta 3306 per MySQL. Queste porte forniscono accesso diretto ai servizi di database. I database dovrebbero essere protetti da livelli applicativi e rimanere inaccessibili da internet. Qualsiasi porta di database esposta è causata direttamente da una configurazione errata.

• Iniezione SQL diretta: Gli aggressori che si connettono direttamente a una porta di database esposta eseguono comandi SQL senza passare attraverso il livello applicativo, bypassando completamente i controlli del firewall per applicazioni web.
• Sfruttamento di vulnerabilità note dei servizi: Le istanze non aggiornate di SQL Server e MySQL presentano CVE che gli aggressori sfruttano una volta che la porta del database è raggiungibile, consentendo l'esecuzione remota di codice o l'elevazione dei privilegi sull'host del database.

La porta 3389 gestisce il Remote Desktop Protocol e fornisce accesso remoto grafico ai sistemi Windows. RDP è ampiamente utilizzato negli ambienti aziendali per amministrazione remota, supporto helpdesk e infrastruttura desktop virtuale. Questa diffusione lo rende una delle porte più bersagliate su internet.

Porta 5900 (VNC)

• BlueKeep (CVE-2019-0708): Una vulnerabilità wormable in Windows 7 e Windows Server 2008 R2 che consente l'esecuzione remota di codice senza autenticazione o interazione dell'utente. Gli attaccanti possono diffondere automaticamente malware attraverso le reti prendendo di mira la porta esposta 3389.
• Attacchi brute-force e di credential stuffing: Le porte RDP aperte subiscono tentativi continui di accesso automatizzato. Il credential stuffing riproduce coppie username-password da violazioni precedenti direttamente contro i servizi RDP esposti.
• CVE-2024-38077: Una vulnerabilità critica RCE (CVSS 9.8) nel Windows Remote Desktop Licensing Service. Attaccanti non autenticati eseguono codice arbitrario inviando un pacchetto di rete appositamente creato, senza necessità di interazione dell’utente. Le organizzazioni che utilizzano questo servizio dovrebbero considerarlo una priorità immediata per la patch.
• Intercettazione della sessione in testo chiaro: Le vecchie implementazioni di VNC trasmettono i dati della sessione in testo semplice. Gli aggressori che intercettano il traffico di rete possono rubare l'intera sessione grafica, comprese le battute di tastiera e i contenuti dello schermo.

La porta 5900 è il valore predefinito per Virtual Network Computing, un sistema di condivisione desktop remoto comune negli ambienti di supporto e amministrazione IT. VNC fornisce un accesso grafico simile a RDP, ma comporta rischi distinti legati a impostazioni di autenticazione deboli e crittografia incoerente tra le implementazioni.

Mappatura degli attacchi alle porte su MITRE ATT&CK

• Attacchi di forza bruta: Molte implementazioni VNC utilizzano una singola password condivisa e non hanno una politica di blocco account, rendendo la porta 5900 un bersaglio facile per l'enumerazione automatica delle credenziali.

Le tecniche sopra corrispondono alle voci ATT&CK consolidate che i team di sicurezza già monitorano:

• Sfruttamento delle credenziali predefinite: Gli aggressori eseguono regolarmente la scansione della porta aperta 5900 e tentano di accedere utilizzando le password VNC predefinite comunemente note. I sistemi installati senza cambiare la password predefinita sono accessibili a chiunque trovi la porta aperta.
• Accesso iniziale e sfruttamento: EternalBlue e attacchi simili a servizi non aggiornati rientrano nella categoria Sfruttamento di Servizi Remoti (T1210).
• Accesso alle credenziali: Gli attacchi di forza bruta e credential stuffing contro le porte SSH, RDP, VNC e database sono Forza Bruta (T1110).
• Movimento laterale: Gli accessi RDP, SSH e SMB utilizzati per spostarsi tra sistemi con credenziali valide o rubate rientrano in Remote Services (T1021).
• Man-in-the-middle: Il relay NTLM e RDP Pipe Plumbing rientrano in Adversary-in-the-Middle (T1557).
• Ricognizione esterna e scoperta interna: Gli aggressori che scandagliano internet alla ricerca di porte aperte, comportamento che guida l'indicizzazione di Shodan e Censys, rientrano in Active Scanning (T1595). Una volta all'interno di una rete, la scansione di altri servizi raggiungibili per muoversi lateralmente è una tecnica separata, Network Service Discovery (T1046).

Come scansionare le porte aperte

• Comando e controllo e evasione: Gli aggressori che utilizzano una porta aperta per reindirizzare o inoltrare traffico tramite un host compromesso rientrano in Proxy (T1090), la tecnica dietro il caso di "redirects" che hai segnalato. Il tunneling DNS è Protocol Tunneling (T1572).

Strumenti da riga di comando

Prima di proteggere le porte aperte, è necessario sapere quali sono esposte. Tre approcci principali offrono questa visibilità:

Scanner di porte

Scanner di vulnerabilità

Gli strumenti dedicati alla scansione delle porte automatizzano la sondata attraverso i segmenti di rete. Inviano richieste di connessione, classificano le risposte come aperte, chiuse o filtrate e producono un inventario dei servizi. Molti si integrano con database di vulnerabilità per segnalare rischi noti per i servizi scoperti.

Il comando netstat, disponibile su Windows e Linux, mostra le connessioni attive e le porte in ascolto su un sistema locale. Eseguendo netstat -an vengono visualizzate tutte le connessioni con i relativi indirizzi. Per una visibilità a livello di rete, Nmap è lo strumento standard. Il comando nmap -sV <target> scansiona l’IP o l’intervallo di destinazione, identifica le porte aperte e rileva la versione del servizio su ciascuna, fondamentale per individuare software obsoleti.

Come proteggere le porte aperte

Gli strumenti di scansione delle vulnerabilità combinano la scoperta delle porte con il confronto nel database CVE. Identificano le porte aperte, rilevano il servizio in esecuzione su ciascuna porta e incrociano la versione del servizio con le vulnerabilità note. L’output include valutazioni del rischio e indicazioni per la risoluzione. Le scansioni programmate regolarmente, anziché valutazioni puntuali, offrono una visibilità continua con il cambiamento delle configurazioni.

Ridurre il rischio delle porte aperte richiede più di un singolo controllo. I passaggi seguenti affrontano le cause più comuni di esposizione, dai protocolli obsoleti ai servizi non aggiornati, fino alle lacune nel monitoraggio e nella gestione degli accessi.

Usa protocolli crittografati

Applica patch e aggiornamenti regolarmente

Limitare l'accesso con firewall e ACL

Usa strumenti di scansione delle porte

I servizi non aggiornati sono il percorso più diretto da una porta aperta a un sistema compromesso. L’exploit EternalBlue che ha alimentato WannaCry ha preso di mira una vulnerabilità che Microsoft aveva già corretto. Microsoft ha corretto CVE-2024-38077 prima che fosse ampiamente sfruttata. Una cadenza costante di patch, applicata prontamente dopo il rilascio, elimina la maggior parte delle vulnerabilità note prima che gli attaccanti possano agire.

Sostituire i protocolli in chiaro con equivalenti crittografati ove possibile. FTP passa a SFTP o FTPS. Telnet passa a SSH. HTTP reindirizza a HTTPS. Qualsiasi servizio che trasmette credenziali su una connessione non crittografata comporta un rischio evitabile. Le best practice di sicurezza di rete che regolano questa decisione sono ben consolidate: dove esiste una versione crittografata del protocollo, usala.

Considera la scansione delle porte come un'attività operativa ricorrente. Le scansioni programmate con strumenti come Nmap identificano nuovi servizi che appaiono nella rete tra un audit e l'altro. Qualsiasi porta aperta non associata a un servizio noto e autorizzato è una scoperta che richiede un'indagine immediata. Abbina le scansioni esterne a quelle interne per catturare sia l'esposizione verso Internet sia i servizi accessibili internamente.

Monitorare le modifiche alla configurazione del servizio

Limita quali IP di origine e segmenti di rete possono raggiungere una determinata porta a livello di firewall host, firewall di rete e ACL dello switch. Una porta del database necessaria solo al server applicazioni dovrebbe essere raggiungibile solo dall’IP di quel server, non dall’intera subnet.

Le modifiche di configurazione a server, firewall e dispositivi di rete spesso introducono nuove esposizioni di porte: una regola temporanea del firewall che non viene mai rimossa, un servizio abilitato durante la risoluzione dei problemi che rimane attivo, una configurazione predefinita distribuita senza rafforzamento.

Implementare l'autenticazione con chiave SSH

Distribuire IDS e IPS

Netwrix Change Tracker monitora l'infrastruttura per deviazioni di configurazione, tracciando in tempo reale le modifiche alle regole del firewall, alle configurazioni dei servizi e alle impostazioni di sistema. Registra ogni modifica con lo stato prima e dopo, la attribuisce a un account e sistema di origine specifici e attiva avvisi quando le configurazioni si discostano dalle baseline approvate. I team di sicurezza sanno cosa è cambiato, quando e chi ha effettuato la modifica, invece di scoprire nuove esposizioni solo durante le scansioni periodiche.

Eseguire test di penetrazione e valutazioni delle vulnerabilità

Le chiavi SSH offrono un'autenticazione più forte rispetto alle password per i servizi sulla porta 22. Le chiavi private sono computazionalmente impossibili da forzare con attacchi brute-force. Implementare l'autenticazione basata su chiavi e disabilitare il login con password su SSH elimina la categoria più grande di attacchi SSH. Proteggi le chiavi private con una passphrase, conservale in modo sicuro e ruotale quando i dipendenti con accesso lasciano l'organizzazione.

I Sistemi di Rilevamento delle Intrusioni monitorano il traffico di rete alla ricerca di segni di attività sospette rivolte a porte aperte. I Sistemi di Prevenzione delle Intrusioni vanno oltre bloccando attivamente i modelli di attacco rilevati. Entrambi difendono contro gli exploit comuni basati su porte, inclusi SQL injection, attacchi DDoS e tentativi di accesso brute-force. IDS e IPS completano la gestione delle patch e la chiusura delle porte aggiungendo un livello di rilevamento e blocco tra una porta aperta e un'intrusione riuscita.

Best practice per la sicurezza delle porte aperte

Un test di penetrazione fa simulare a un professionista della sicurezza un attacco reale, sfruttando attivamente le vulnerabilità tramite porte aperte per mostrare fino a che punto un attaccante potrebbe avanzare. Insieme, forniscono una copertura automatizzata ampia più la convalida manuale dei percorsi a più alto rischio.

I test di penetrazione e le valutazioni delle vulnerabilità affrontano il rischio delle porte aperte da diverse angolazioni. Una valutazione delle vulnerabilità esegue scansioni automatizzate per identificare le debolezze note nell'infrastruttura e produce una lista di rimedi prioritari.

Proteggere le porte aperte richiede più della semplice applicazione di patch e scansioni. Le seguenti pratiche operative costituiscono la base per una sicurezza costante delle porte.

Come Netwrix ti aiuta a monitorare il rischio delle porte aperte

• Applica immediatamente le patch critiche: Il tempo tra la divulgazione della vulnerabilità e lo sfruttamento attivo si è ridotto. Le CVE ad alta gravità che prendono di mira servizi su porte aperte, come la CVE-2024-38077 valutata 9.8 che interessa RDP, ricevono codice proof-of-concept pubblico entro pochi giorni dalla divulgazione. Le patch critiche per servizi su porte aperte richiedono un’azione immediata.
• Mappa ogni porta aperta a un proprietario: Ogni porta aperta dovrebbe avere un proprietario documentato responsabile del servizio dietro di essa. I servizi obsoleti con porte aperte residue sono tra le fonti più comuni di esposizione non gestita. Quando dismetti un servizio, includi la chiusura della porta associata nella checklist di dismissione.
• Valuta regolarmente la tua superficie di attacco esterna: Ogni porta aperta visibile da internet è un potenziale punto di accesso iniziale. Il SANS 2025 Attack Surface Management Survey ha identificato asset e servizi sconosciuti come una sfida principale per i team di sicurezza, rafforzando la necessità di una scoperta continua, non periodica. Chiudi o limita qualsiasi porta senza una giustificazione aziendale attiva e documentata.
• Applica il principio del minimo privilegio all'accesso alla rete: I servizi devono essere accessibili solo dagli indirizzi IP e dai segmenti di rete che ne hanno bisogno. Una porta del database che solo il server applicazioni deve raggiungere deve essere accessibile solo dall'indirizzo IP di quel server. Questa limitazione riduce i danni se un attaccante raggiunge la rete tramite un altro vettore.

Rilevamento delle modifiche di configurazione in tempo reale

Avvisi automatici di deriva della configurazione

• Monitoraggio delle variazioni di configurazione: Modifiche nell'esposizione delle porte tra le scansioni programmate. Uno script di patch, un ambiente di test di uno sviluppatore o un gruppo di sicurezza configurato in modo errato possono aprire una nuova porta senza una richiesta formale di modifica. Strumenti continui di file integrity and configuration monitoring tools rilevano questi cambiamenti quasi in tempo reale, prevenendo che esposizioni non rilevate persistano fino al prossimo ciclo di audit.

La sicurezza delle porte aperte fallisce quando le configurazioni si discostano senza rilevamento. Viene aggiunta una regola firewall per un progetto temporaneo e mai rimossa. Un servizio viene abilitato durante la risoluzione dei problemi e rimane attivo. Una configurazione predefinita viene distribuita senza rafforzamento. Ognuno crea un punto di esposizione che le verifiche manuali non rilevano tra i cicli.

Reportistica pronta per la conformità

Netwrix Change Tracker monitora continuamente server, dispositivi di rete e configurazioni del firewall. Quando avviene una modifica, come l’avvio di un nuovo servizio, la modifica di una regola del firewall o l’apertura di una porta, cattura lo stato prima e dopo, registra l’ora e la fonte e attiva un allarme. I team di sicurezza ricevono notifiche immediate quando le configurazioni si discostano dalla baseline approvata, colmando la lacuna lasciata dalla scansione periodica.

Netwrix Change Tracker confronta lo stato attuale dell'infrastruttura con le baseline di configurazione approvate e segnala le deviazioni. Per la gestione delle porte aperte, qualsiasi servizio o configurazione di porta che si discosti dallo stato autorizzato genera un avviso operativo con dettagli specifici della modifica, consentendo ai team di indagare e risolvere prima che un attaccante scopra l'esposizione.

Richiedi una demo per vedere come Netwrix ti aiuta a rilevare le modifiche di configurazione nella tua infrastruttura di porte aperte prima degli attaccanti.

Dimostrare la conformità ai controlli delle porte aperte richiede più del semplice possesso dei controlli. Gli auditor necessitano di prove documentate che tali controlli siano applicati in modo coerente. Netwrix Auditor fornisce mappature di report di conformità predefinite per PCI DSS, NIST 800-53, HIPAA e CMMC, coprendo i requisiti di controllo delle modifiche e monitoraggio degli accessi per l'infrastruttura esposta alla rete. Le impostazioni della policy di audit di Windows stabiliscono la baseline di registrazione; Netwrix Auditor organizza quei dati di log in report pronti per l'audit che documentano chi ha modificato cosa, quando e da quale sistema, fornendo la traccia di evidenza richiesta dalle revisioni di conformità.