Что такое мониторинг портов?

Что такое сетевой порт?

Порт - это программно определённая конечная точка связи, связанная с сетевым сервисом на IP-адресе. Порты позволяют различать разные сервисы, работающие на одном хосте.

Как работают порты?

При подключении к сервису клиент использует IP-адрес вместе с номером порта. Обычный веб-трафик использует TCP-порт 80 для HTTP и TCP-порт 443 для HTTPS.

Например, веб-сервер может предоставлять TCP 443 для HTTPS, а другой сервис использовать другой порт.

Что означают open, closed и filtered?

Сканер портов показывает состояние, которое он может наблюдать из своей точки сканирования. Результат может зависеть от firewall, маршрутизации и типа используемого сканирования.

Какие порты обычно открыты?

Некоторые порты обычно связаны с широко используемыми сервисами. Само их наличие не означает проблему; важно, намеренно ли сервис открыт, действительно ли он нужен и правильно ли защищён.

Почему открытые порты важны?

Каждый доступный извне сервис является ещё одной сетевой точкой входа, которую необходимо поддерживать и защищать. Ненужный сервис увеличивает объём инфраструктуры, которую нужно контролировать.

Означает ли открытый порт уязвимость?

Нет. Открытый порт означает, что сервис доступен извне; сам по себе он не доказывает наличие уязвимости. Безопасность зависит от приложения, его версии, конфигурации, аутентификации, firewall-правил и других мер защиты.

Почему важны неожиданные открытые порты?

Новый доступный извне порт может появиться после установки сервиса, изменения конфигурации, настройки firewall или другого изменения инфраструктуры. Быстрое обнаружение такой перемены упрощает расследование.

Зачем проверять порты из интернета?

Сервер может выглядеть безопасным из локальной сети, но быть доступным из интернета через роутер, firewall-правило, NAT или политику безопасности в облаке. Внешний мониторинг показывает, что реально может увидеть удалённая система.

Мониторинг TCP и UDP портов

TCP и UDP по-разному используют порты. TCP устанавливает соединения, а UDP отправляет датаграммы без такого же процесса установления соединения. Поэтому UDP-сканирование в некоторых случаях может дать состояние open|filtered, когда точно определить состояние невозможно.

Зачем мониторить изменения портов?

Сервис, который вчера не был доступен из интернета, может стать доступным после деплоя или изменения конфигурации. Мониторинг изменений помогает проверить неожиданно открывшийся сервис, пока он не стал забытой частью внешней поверхности атаки.

Как часто нужно проверять порты?

Публичная доступность сервисов может измениться после изменения инфраструктуры или firewall. Регулярные автоматические проверки помогают заметить новое открытие без необходимости запускать ручное сканирование.