Porte e blocco in uscita

Rilevamento delle scansioni di porte#

L'agente vede ogni tentativo di connessione TCP in entrata, verso porte aperte e chiuse, attraverso un filtro in sola lettura nel kernel. Una scansione di porte è:

• un indirizzo che tocca 15 porte diverse entro 10 minuti, oppure
• una rete (una /24 in IPv4, una /64 in IPv6) che tocca 30 porte diverse da 3 o più indirizzi entro 10 minuti.

Rileva le scansioni di porte è attivo per impostazione predefinita e segnala un warning port_scan. Banna chi scansiona le porte è disattivato per impostazione predefinita, perché anche i servizi di monitoraggio e i motori di ricerca fanno scansioni; quando è attivo banna singoli indirizzi, mai intere reti.

Chiudere una porta#

Database e servizi di amministrazione non dovrebbero essere esposti su internet. Chiudere una porta scarta le nuove connessioni verso di essa da indirizzi pubblici; loopback, reti private e indirizzi in whitelist mantengono l'accesso, e così i programmi sul server stesso. Copre le porte pubblicate dai container Docker, e anche IPv6 quando ip6tables è disponibile.

Si possono chiudere solo queste porte: 3306, 5432, 6379, 6380, 27017, 27018, 9200, 9300, 11211, 2375, 2376, 5984, 8086, 15672, 5601, 9042, 7000, 7001, 8529 e 28015 (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, Memcached, la Docker API, CouchDB, InfluxDB, RabbitMQ, Kibana, Cassandra, ArangoDB, RethinkDB).

Mai chiuse: 22, 80, 443, qualsiasi porta su cui ascolta SSH o usata da una sessione SSH aperta, e qualsiasi porta su cui ascolta un web server. Una porta non viene chiusa mentre un indirizzo pubblico è connesso.

Bloccare il traffico in uscita#

Una destinazione può essere bloccata solo se l'agente stesso l'ha segnalata come minaccia nelle ultime 24 ore: una connessione a un indirizzo in lista, una risposta DNS che punta a uno di questi, o una voce della lista di minacce applicata. Mai bloccati: indirizzi privati, protetti e in whitelist, la dashboard, i server DNS configurati, un indirizzo collegato via SSH in questo momento o da cui è arrivato un login SSH negli ultimi 30 giorni, o un indirizzo connesso in questo momento a un servizio del server. Una connessione a SSH che non ha fatto login, come un brute force, non protegge nessuno. I blocchi in uscita valgono per IPv4.

Destinazioni abituali#

L'agente conta le connessioni in uscita del server stesso per indirizzo e per giorno: solo indirizzi IPv4 pubblici e un conteggio giornaliero, conservati per 7 giorni. Un indirizzo è una destinazione abituale quando, la prima volta che è comparso in una lista di minacce, il server vi si era connesso 5 o più volte in 3 o più dei 7 giorni precedenti. Un'API, un servizio di backup o un mirror degli aggiornamenti che finisce in una lista di minacce non deve essere tagliato fuori da una decisione automatica, quindi bloccare una destinazione abituale richiede una persona: Applica da parte di un proprietario o un admin con l'autenticazione a due fattori, oppure un'approvazione in Approvazioni. La corrispondenza indica quante connessioni in quanti giorni. Un blocco già in atto resta. Un indirizzo che era già in lista quando il server lo ha raggiunto la prima volta non diventa mai abituale (agent 1.0.35 o successivo).

Una corrispondenza indica anche la sua direzione. inbound significa che l'indirizzo in lista si è connesso a un servizio del server: è un attaccante, non una destinazione, e AutoMode lo banna invece di bloccare il traffico verso di lui.

Chi lo richiede#

Le porte vengono chiuse e le destinazioni bloccate quando una persona lo chiede dalla dashboard, oppure quando lo decidono AutoMode o la modalità emergenza. Ogni modifica compare in Attività, con Annulla. In modalità monitor non cambia nulla.

AutoMode e la modalità emergenza chiudono da soli una porta solo se è una tra 3306, 5432, 6379, 27017, 9200, 11211, 2375, 2376, 5984 e 8086, il controllo di hardening l'ha trovata aperta verso la rete ed è stata attaccata nelle ultime 24 ore (agent 1.0.31 o successivo, che comunica le sue porte SSH). Qualsiasi altra porta richiede la tua approvazione: la 3306 di MySQL senza attacchi, la 5432 di PostgreSQL o la 15672 di RabbitMQ restano in attesa in Approvazioni. AutoMode e la modalità emergenza bloccano da soli una destinazione solo dopo una corrispondenza critica di una connessione in uscita, e mai una destinazione abituale.

Approvare una porta richiede l'autenticazione a due fattori. Solo un proprietario o un admin con accesso tramite autenticazione a due fattori può approvare la chiusura di una porta, o chiuderla subito con Applica sul punteggio di sicurezza; senza 2FA anche quell'Applica diventa una richiesta in Approvazioni. Attivala in Impostazioni › Sicurezza.

Verificato, o annullato#

Prima di ogni modifica l'agente annota quali porte SSH e quali siti rispondono; dopo, li controlla di nuovo. Se qualcosa ha smesso di rispondere, annulla la modifica da solo e segnala Annullata dal server.

Le regole stanno nelle catene dell'agente INFRAFENCE-PORTS e INFRAFENCE-EGRESS e vengono ripristinate dopo un riavvio. Limiti: 200 porte chiuse e 1.000 destinazioni bloccate per server.