Faculdade de Tecnologia Senac Goiás Segurança da Informação. Guilherme Pereira Carvalho Neto. Portas e Serviços

Transcrição

1 Faculdade de Tecnologia Senac Goiás Segurança da Informação Guilherme Pereira Carvalho Neto Portas e Serviços Goiânia 2015

2 Relatório de portas e serviços na rede Relatório produzido com base em dados colhidos na varredura da rede da Faculdade de Tecnologia Senac Goiás, trazendo informações sobre as portas de serviços TCP mais encontradas durante a varredura, entre elas estão: Porta TCP 7 O serviço Echo proporciona que o servidor envie de volta ao usuário um reply de tudo o que é digitado no terminal. O comando PING por exemplo, faz uso de um dos tipos de pacote ICMP. A máquina origem envia pacote ICMP do tipo echo request. A máquina que recebe essa mensagem responde com ICMP do tipo echo reply. Porta TCP 21 Essa porta faz referência ao serviço FTP (Protocolo de transferência de arquivos), é uma forma rápida e versátil de transferir arquivos. O FTP pode ser executado em modo ativo ou passivo, os quais determinam como a conexão de dados é estabelecida. No modo ativo, o cliente envia para o servidor o endereço IP e o número da porta na qual ele irá ouvir e então o servidor inicia a conexão TCP. Em situações onde o cliente está atrás de um firewall e inapto para aceitar entradas de conexões TCP, o modo passivo pode ser utilizado. O cliente envia um comando PASV para o servidor e recebe um endereço IP e um número de porta como resposta, os quais o cliente utiliza para abrir a conexão de dados com o servidor. Quando a conexão for em Modo Passivo (PASV Mode), a transferência dos arquivos ocorre em portas aleatórias entre a e (padrão Locaweb). Porta TCP 23 Essa portas faz referência ao protocolo Telnet, é um protocolo standard de Internet que permite interface de terminais e de aplicações através da Internet. Este protocolo fornece as regras básicas para permitir ligar um cliente a um intérprete de comando. O protocolo Telnet baseia-se numa conexão TCP para enviar dados em formato ASCII codificado em 8 bits entre os quais se intercalam sequências de controle Telnet. Fornece assim um sistema orientado para a comunicação, bidirecional (half-duplex), codificado em 8 bits fácil de aplicar.

3 Além disso, o protocolo Telnet é um protocolo de transferência de dados não seguro, o que quer dizer que os dados que veicula circulam às claras na rede. Quando o protocolo Telnet é utilizado para ligar um hóspede distante à máquina na qual é aplicado como servidor, este protocolo é atribuído à porta 23. Porta TCP 22 Essa porta faz referência ao serviço SSH, um programa de computador e um protocolo de rede que permitem a conexão com outro computador na rede de forma a permitir execução de comandos de uma unidade remota. O SSH faz parte da suíte de protocolos TCP/IP que torna segura a administração remota de servidores do tipo Unix. O SSH possui as mesmas funcionalidades do TELNET, com a vantagem da criptografia na conexão entre o cliente e o servidor. O acesso SSH pode ser feito de duas formas, transferência de arquivos ou linhas de comando. Para a transferência de arquivos, funciona muito parecido com o sistema de FTP você seleciona o arquivo e envia ao sistema remoto, para uma máquina real ou mesmo uma máquina virtual quando for o caso. Para o ssh linha de comandos, você apenas dá os comandos de forma direta, como no antigo DOS do sistema Windows, mas os comandos que eles aceitam são apenas Unix e Linux. Outra das suas mais conhecidas aplicações é o VPN com a estratégia técnica de tunnelling (tunelamento), que oferece a capacidade de redirecionar pacotes de dados. Por exemplo, se alguém se encontra dentro de uma instituição cuja conexão à Internet é protegida por um firewall que bloqueia determinadas portas de conexão, não será possível, por exemplo, acessar s via POP3 (via porta 110) ou enviá-los via SMTP (via porta 25 ou 587). As duas portas essenciais são a 80 para HTTP e a 443 para HTTPS. Não há necessidade de o administrador da rede deixar várias portas abertas, uma vez que conexões indesejadas e que comprometam a segurança da instituição possam ser estabelecidas pelas mesmas. Para quebrar essa imposição rígida, o SSH oferece o recurso do Túnel. O processo se caracteriza por duas máquinas ligadas ao mesmo servidor SSH, que faz apenas o redirecionamento das requisições do computador que está sob firewall. O usuário envia para o servidor um pedido de acesso ao servidor pop.google.com pela porta 443 (HTTPS), por exemplo. Então, o servidor acessa o computador remoto e requisita a ele o acesso ao protocolo, retornando um conjunto de pacotes referentes à aquisição. O servidor codifica a informação e a retorna ao usuário via porta 443. Sendo assim, o usuário tem acesso a toda a informação de que necessita.

4 Porta TCP 53 Essa porta faz referência ao serviço de DNS (Serviço de nome de domínio), permite o uso de nomes de hosts legíveis em redes como a Internet, administrando um banco de dados de mapeamentos de endereços hostname, e resolver os mapeamentos de endereços hostname quando os computadores consultarem o serviço de DNS. Hospedar um DNS na Internet requer que a porta UDP 53 ou a porta TCP 53 ser configurado no firewall que protege o servidor DNS para encaminhar todas as solicitações direcionadas a porta UDP 53 para o endereço IP de rede privada do servidor de DNS. Em virtude do banco de dados de DNS ser distribuído, seu tamanho é ilimitado e o desempenho não degrada tanto quando se adiciona mais servidores nele. Porta TCP 79 Essa porta faz referência ao serviço finger. De uma forma genérica o funcionamento do finger resume-se a efetuar uma conexão à porta 79 do servidor, e a realizar um pedido. O servidor envia a resposta de acordo com os dados do pedido. Em técnicas de hackers, o protocolo finger é usado pra capturar senhas de todos os usuários de um sistema para que se possa ter acesso usuário root ao sistema sem a necessidade de quebrar a senha por força bruta. Se o pedido for feito em DotIn no sistema, será retornado um erro provocando a quebra do sistema: eis aí o principal motivo de tal protocolo ser quase inexistente na maioria das redes e sua porta protegida diretamente pelo firewall. Porta TCP 80 Essa faz referência a um dos serviços mais utilizados que é o HTTP, em português Protocolo de Transferência de Hipertexto, é um protocolo de comunicação (na camada de aplicação segundo o Modelo OSI) utilizado para sistemas de informação de hipermídia, distribuídos e colaborativos. 1 Ele é a base para a comunicação de dados da World Wide Web. O HTTP funciona como um protocolo de requisição-resposta no modelo computacional cliente-servidor. Um navegador web, por exemplo, pode ser o cliente e uma aplicação em um computador que hospeda um site da web pode ser o servidor. O cliente submete uma mensagem de requisição HTTP para o servidor. O servidor, que fornece os recursos, como arquivos HTML e outros conteúdos, ou realiza outras funções de interesse do cliente, retorna uma mensagem resposta para o cliente. A resposta contém informações de estado completas sobre a requisição e pode também conter o conteúdo solicitado no corpo de sua mensagem.

5 Um navegador web é um exemplo de agente de usuário (AU). Outros tipos de agentes de usuário incluem o software de indexação usado por provedores de consulta (web crawler), navegadores vocais, aplicações móveis e outros software que acessam, consomem ou exibem conteúdo web. O HTTP é projetado para permitir intermediações de elementos de rede para melhorar ou habilitar comunicações entre clientes e servidores. Sites web de alto tráfego geralmente se beneficiam dos servidores de cache web que entregam conteúdo em nome de servidores de upstream para melhorar o tempo de resposta. Navegadores web armazenam os recursos web acessados anteriormente e reutilizam-nos quando possível para reduzir o tráfego de rede. Servidores proxy HTTP nas fronteiras de redes privadas podem facilitar a comunicação para o cliente sem um endereço globalmente roteavel, transmitindo mensagens com servidores externos. Porta TCP 110 Faz referência ao protocolo POP (Protocolo de posto de correios), O protocolo POP permite, como o seu nome o indica, recuperar o seu correio num servidor distante (o servidor POP). É necessário para as pessoas não ligadas permanentemente à Internet, para poderem consultar os mails recebidos offline. Existem duas versões principais deste protocolo, o POP2 e o POP3, aos quais são atribuídas respectivamente as portas 109 e 110, funcionando com o auxílio de comandos textuais radicalmente diferentes. O protocolo POP3 gere assim a autenticação com a ajuda de um nome de utilizador e de uma palavra-passe, em contrapartida não é seguro porque as senha, assim como os s, circulam às claras na rede. Porta TCP 119 Essa faz referência ao serviço NNTP. Do ponto de vista do usuário, ele simplesmente se refere aos meios pelos quais os muitos milhares de newsgroups e seus conteúdos associados são acessados pelos computadores clientes. O protocolo é antigo e desde muito tempo foi estabelecido como uma forma útil de troca de arquivos online. O protocolo é baseado no compartilhamento de grandes quantidades de informação entre os vários servidores NNTP e a capacidade do cliente em baixar seletivamente partes dessa informação conforme exigido por suas necessidades e interesses. Existe um volume incrivelmente grande de informação que é trocada entre os usuários através desse protocolo. Esse sistema descende e é relacionado com os antigos sistemas BBS onde os usuários loguem diretamente no computador hospedeiro através de uma linha telefônica. Hoje os servidores de newsgroups são acessados ao se utilizar uma conexão Internet. Existe uma

6 versão segura do protocolo, chamada NNTPS, que é acessada pela porta TCP 563 e que utiliza criptografia SSL para proteger a segurança dos dados transmitidos. Esse protocolo ainda não é tão utilizado quanto o método mais simples que não utiliza a SSL. Porta TCP 135 Quando um computador recebe uma conexão na porta 135, ele sabe como dirigir o tráfego para o "Endpoint Mapper" (EPMAP) de Remote Procedure Call (RPC). Existem muitas implementações de RPC, cada um com diferentes portas atribuídas. Esta é a RPC originais produzidos pelo Grupo Aberto para seu Ambiente Distribuído Computer (DCE). RPC está integrado em muitas aplicações, e por isso o protocolo padrão para direcionar o tráfego da porta precisa de uma outra camada para a porta 135. O Endpoint Mapper recebe conexões RPC e redireciona o tráfego para outros portos designados para as aplicações em que RPC está integrado. O problema é que a Endpoint Mapper é explorada por vírus. Repetidas ligações para a porta 135 podem fazer com que o serviço pare. Isso é chamado de ataque de negação de serviço. Porta TCP 139 Essa porta possui uma função específica ela é usada pra transferência de dados no serviço NetBios, porém ela não funciona sozinha, ela faz parte de um conjunto de três portas que utilizam o serviço de compartilhamento de arquivos e impressoras em redes Microsoft, tendo cada uma das portas uma função específica a porta 137 UDP é usada para a navegação, incluindo a visualização dos compartilhamentos disponíveis, a porta 138 UDP para a resolução dos nomes da rede. Porta TCP 443 Bastante reconhecida essa porta disponibiliza o uso do serviço HTTPS que permite transmitir dados de forma segura, encriptados usando o SSL. Ele é usado por bancos e todo tipo de site de comércio eletrônico ou que armazene informações confidenciais. O protocolo HTTPS é utilizado, em regra, quando se deseja evitar que a informação transmitida entre o cliente e o servidor seja visualizada por terceiros, como por exemplo no caso de compras online. A existência na barra de endereços de um cadeado (que pode ficar do lado esquerdo ou direito, dependendo do navegador utilizado) demonstra a certificação de página segura (SSL).

7 Porta TCP 445 As primeiras versões do Windows usavam o Server Message Block (SMB) para os serviços de arquivos de rede e compartilhamento de impressora. Com o crescimento do TCP /IP Microsoft projetou o Windows NT para executar SMB em cima de NetBIOS sobre TCP /IP. Este design usado portas 135, 137 e 139 para a comunicação através da rede, enquanto as versões a partir do Windows 2000 foram projetados para funcionar SMB sobre TCP /IP diretamente usando a porta 445. O protocolo CIFS é uma versão atualizada do antigo protocolo NetBIOS, usado para a navegação e acesso a compartilhamentos em redes Windows. O protocolo CIFS é utilizado por padrão pelos clientes rodando o Windows 2000, XP e Vista, além de ser usado pelas versões recentes do Samba. Ao contrário do NetBIOS, que utiliza um conjunto de 3 portas, o CIFS utiliza apenas a porta 445 TCP. A porta 445 é fundamental para o compartilhamento de arquivos através de uma rede do Windows TCP /IP. Porta TCP 554 Faz referência a Real Time Streaming Protocol (RTSP) é um protocolo a nível de aplicação desenvolvido pela IETF em 1998, para controle na transferência de dados com propriedades de tempo real. RTSP torna possível a transferência, sob demanda, de dados em tempo real como áudio e vídeo. Ele serve para estabelecer e controlar um único ou vários streams sincronizados de mídias contínuas pertencentes a uma apresentação. Utiliza os protocolos TCP e UDP na porta 554. Porta TCP 2001 Normalmente utilizada para estabelecer uma conexão entres dois hosts, e utilizando a porta TCP é garantida a entrega na porta 2001 na mesma ordem que forem entregues, uma porta utilizada para malwares como o cavalo de troia que fazem a captura de tudo que é enviado pela máquina, se não houver uma aplicação que você saiba que ela utiliza esta porta, é bom fazer uma varredura para descobrir o motivo da abertura da mesma. Porta TCP 3389 Essa porta é utilizada pelo RDP ou Remote Desktop Protocol é um protocolo multi-canal que permite que um usuário se conecte a um computador rodando o Microsoft Terminal Services. Existem clientes para a maioria das versões do Windows, e outros sistemas operacionais como o Linux. O servidor escuta por padrão a porta TCP 3389.

8 Porta TCP 5357 Porta bastante utilizada pelos sistema operacionais Windows vista e Windows 7, para fazer a descoberta de rede por esses sistemas não utilizarem por padrão a porta Netbios e devem ser filtradas pelo roteador para redes públicas para que não ocorra uma invasão. Porta TCP 5432 Porta padrão do PostgreSQL, é um poderoso sistema gerenciador de banco de dados objeto-relacional de código aberto. Porta TCP 8080 Muito utilizada como auxiliar proxy, muitos utilizam para liberar um acesso remoto ao DVR numa central de monitoramento quando o mesmo não consegue ser acessado pela porta 80 HTTP.