web-dev-qa-db-fra.com

Les ports ouverts sont-ils dangereux?

J'ai transféré le port 80 à WAMPServer et 25565 au serveur MineCraft exécutant Bukkit .

Suis-je vulnérable aux attaques. Les pirates peuvent-ils m'attaquer si le serveur WAMP fonctionne ou s'il ne fonctionne pas, ou sera-t-il plus facile de me pirater que si je n'avais pas du tout ouvert le port? J'ai essayé d'apprendre comment les gens piratent et comment s'en protéger. Savez-vous où je peux en lire plus?

13
Friend of Kim

J'ai transmis le port 80 à WAMPServer et 25565 au serveur MineCraft exécutant Bukkit. ( http://www.bukkit.org/ )

Je suppose que vous parlez de transférer ces ports depuis un routeur/pare-feu/NAT box vers votre propre machine plutôt que de les transférer vers une instance hors site. Habituellement, nous appelons cela "ouverture" un port.

Suis-je vulnérable aux attaques. Les pirates peuvent-ils m'attaquer si le serveur WAMP est en cours d'exécution ou s'il ne fonctionne pas, ou sera-t-il plus facile de me pirater que si je n'avais pas du tout ouvert le port?

Oui, vous êtes plus vulnérable en exécutant un service qu'en ne l'exécutant pas. L'ajout de services augmente la surface d'attaque . Cela ne signifie pas que vous êtes vulnérable par définition, mais une augmentation de la surface d'attaque augmente est l'un des facteurs qui augmente votre risque .

J'ai essayé d'apprendre comment les gens piratent et comment s'en protéger. Savez-vous où je peux lire à ce sujet?

Plus je passe de temps ici, plus je trouve ce site important. Je n'ai jamais trouvé de très bon guide complet sur la façon de sécuriser. Il existe des livres comme la série Hacking Exposed qui parlent de nombreux aspects techniques de la sécurité et d'une partie de l'état d'esprit. Autant que le CISSP pourrait être déçu, essayer d'étudier pour cela expose l'un à la plupart des différents domaines de connaissances qu'un professionnel devrait connaître. Je pense que lire les questions sur ce site est un excellent moyen d'apprendre.

Le défi est que la sécurité est un état d'esprit . La technologie et même certains de ses principes fondamentaux évoluent. Vous apprenez en vous exposant par essais et erreurs. Il est utile de faire autant de cette exposition que possible par procuration - apprendre des erreurs des autres.

La sécurité comme une équation fonctionne comme ceci:

  • Décidez de ce que vous devez offrir - vous devez fournir quelque chose avec un serveur WAMP et un serveur de jeu Minecraft.
  • Limitez tout ce que vous n'avez pas à offrir et faites-le en profondeur.

Quand je dis en profondeur, je veux dire que seule l'offre de ces services est un début. Essayez de vous assurer que le code de programmation sur votre site Web est bien écrit. Ensuite, prétendez qu'il a été compromis et réfléchissez à ce qui peut en résulter. Le processus Apache est-il empêché par les contrôles du système d'exploitation d'écrire des fichiers n'importe où? Avez-vous une méthode pour détecter les compromis? Continuez à poser ces questions et à trouver des couches de réponses afin que si vous êtes piraté, vous atténuez votre risque .

18
Jeff Ferland

Le port ouvert en lui-même n'est pas dangereux cependant les services exécutés sur ce port peuvent être vulnérables créant une situation de sécurité de service dangereuse. Il y a quelques éléments à considérer:

  1. Chaque port ouvert ouvre un nouveau service qui pourrait être attaqué et abusé pour des raisons malveillantes.

  2. Si l'application liée à ce port présente une vulnérabilité de sécurité, le service (et non le port lui-même) est alors dangereux.

  3. Effectuez-vous régulièrement des audits de sécurité de vos services? Si ce n'est pas le cas, chaque service doit être à 100% exempt de tout problème de sécurité. S'il n'est pas sécurisé, il ne doit pas être accessible via l'Internet public.

Si vous souhaitez en savoir plus, vous pouvez commencer par lire diverses questions et réponses sur ce site, vous pouvez apprendre à effectuer différents types d'attaques et à utiliser différents types d'exploits, il existe de nombreux livres écrits sur la sécurité informatique. Vous devez trouver la méthode d'apprentissage qui vous convient le mieux et vous y tenir.

1
Nathaniel Suchy