Многие пользователи хотя бы раз открывали порты на своем роутере, например для организации удаленного доступа или комфортной игры. Хотя переадресация портов не относится к самым безопасным действиям, к ней часто относятся легкомысленно, полагая, что никто не станет целенаправленно искать конкретный порт среди миллиардов адресов. К сожалению, интернет устроен иначе. Специалисты по информационной безопасности неоднократно фиксировали, как новые сетевые службы сталкивались с первой попыткой атаки менее чем через минуту после запуска. При этом вовсе не обязательно быть известной целью или крупной компанией, чтобы привлечь внимание злоумышленников.
Хакеры находят открытый порт менее чем за минуту
Иллюзией является уверенность в том, что хакеры не обращают внимания на рядовые подключения. Наглядным подтверждением скорости сканирования стали эксперименты компании Sophos с использованием поддельных серверов ловушек. Исследователи развернули SSH-ловушки в десяти регионах Amazon Web Services по всему миру и стали ждать первых обращений. В бразильском Сан-Паулу первая попытка входа была зафиксирована всего через 52 секунды после выхода сервера в сеть. Даже самый медленный узел в Ирландии продержался менее двух часов: первая попытка взлома зафиксирована через один час и 44 минуты.
При этом речь не шла о единичном сканере, который случайно заглянул на сервер и исчез. После развертывания ловушек Sophos регистрировала в среднем около 13 попыток входа в минуту на каждом узле. За 30 дней тестирования накопилось более пяти миллионов атак. Показательно и то, что эти серверы нигде не рекламировались, не имели публичных ссылок и даже не были зарегистрированы в системе DNS. Они должны были оставаться максимально незаметными без дополнительных усилий, однако злоумышленники обнаружили их просто потому, что службы были доступны из публичного интернета.
Конечно, это не означает, что в ту же секунду, когда пользователь открывает порт, к нему в виртуальную дверь кто-то постучится. В данном случае фиксировались именно SSH-попытки входа на ловушки, а время обнаружения конкретного порта может варьироваться. Тем не менее эксперименты доказывают, что полагаться на незаметность уязвимой службы нельзя. Если пользователь настраивает переадресацию порта в домашней сети, стоит изначально исходить из того, что автоматизированные сканеры рано или поздно его обнаружат.
Сетевое сканирование в масштабах интернета
Для обнаружения уязвимой службы злоумышленникам совсем не обязательно знать точный IP-адрес жертвы заранее. Сетевые сканеры непрерывно проверяют публичные IPv4-адреса на предмет доступности конкретных портов. Существуют специализированные инструменты, такие как ZMap, с помощью которых один компьютер с гигабитным Ethernet-соединением способен просканировать все глобальное пространство IPv4-адресов в поисках одного определенного порта менее чем за 45 минут.
Сканеру, отслеживающему условный SSH, не требуется проверять все 65 535 портов на каждом адресе. Достаточно проверить стандартный порт 22 в широком диапазоне IP-адресов, а затем детально изучить системы, которые ответили на запрос. Полномасштабное сканирование также не представляет технической сложности. Например, платформа Censys открыто заявляет, что регулярно сканирует весь IPv4-интернет по всем 65 535 портам. Поскольку речь идет о легитимном инструменте безопасности, это не несет угрозы, но наглядно доказывает, что хакерские группировки способны проводить аналогичные масштабные операции.
Обнаружение порта не означает мгновенный взлом
Важно четко разграничивать понятия: обнаружение открытого порта сканером еще не означает успешную хакерскую атаку. Ситуация похожа на использование слабого пароля от Wi-Fi: факт его наличия не гарантирует немедленного взлома, но оставлять уязвимость без внимания явно не стоит. Разницу между простым сканированием и реальным взломом наглядно продемонстрировали эксперты подразделения Unit 42 компании Palo Alto Networks.
Они задействовали 320 серверов-ловушек с запущенными службами SSH, PostgreSQL, RDP и Samba. Системы намеренно сделали уязвимыми, задав слабые учетные данные для облегчения проникновения. В ходе эксперимента исследователи зафиксировали среднее время до первого взлома: для SSH оно составило 184 минуты, для PostgreSQL — 511 минут, для RDP — 667 минут, а для Samba потребовалось 2485 минут. Иными словами, сканеры обнаружили службы почти мгновенно, но на осуществление самого взлома ушло значительно больше времени.
Тем не менее результаты Unit 42 показывают всю серьезность угрозы: 80% из 320 ловушек были скомпрометированы в течение первых суток, а через неделю пали абсолютно все тестовые серверы. Один из наиболее агрессивных злоумышленников сумел взломать 96% из 80 ловушек с PostgreSQL всего за 30 секунд после их обнаружения.
Как защитить сеть при использовании переадресации
Главный вывод из практики сетевой безопасности заключается в необходимости соблюдать осторожность. Любой перенаправляемый порт следует воспринимать как общедоступный и видимый для всех. Перед тем как открывать доступ к сетевой службе извне, ее необходимо тщательно защитить. Настройка базовой безопасности включает своевременную установку обновлений, использование надежной аутентификации, отключение стандартных учетных записей по умолчанию, а также оперативное удаление устаревших правил переадресации сразу после того, как в них отпала необходимость, а не спустя несколько лет.
Результаты многочисленных тестов с ловушками подтверждают: никто не обязан целенаправленно охотиться именно за вашей сетью, чтобы обнаружить открытый порт. Автоматизированные инструменты способны найти его за считанные секунды, причем владелец устройства узнает об этом только в случае реального инцидента безопасности. Самое разумное решение — изначально исходить из предположения, что любой публичный порт будет обнаружен сканерами рано или поздно.
