Segurança das portas by Kiotaka Aianokoji

Portas TCP/UDP são pontos lógicos onde serviços escutam (por exemplo, 22/SSH, 80/HTTP, 3389/RDP). “Ataque a portas” é qualquer operação para descobrir, sondar, sobrecarregar ou explorar serviços que estejam ouvindo nessas portas — desde simples varreduras até exploração de falhas específicas do serviço.

kiotakaaianokoji — 2025-10-08 17:54:53 UTC

1. Port scanning (varredura de portas)

kiotakaaianokoji — 2025-10-08 17:56:15 UTC

Como funciona (alto nível): um atacante envia pacotes TCP/UDP para uma faixa de portas para identificar quais estão abertas/filtradas/fechadas.

Variedades: TCP SYN scan (só inicia handshake), TCP Connect, UDP scan, stealth scans (FIN/NULL/Xmas) que tentam evitar detecção.

Impacto: descoberta de superfície de ataque; primeiro passo para explorações.

2. Banner grabbing / fingerprinting

kiotakaaianokoji — 2025-10-08 17:56:36 UTC

Como funciona: consultar o serviço aberto para obter sua “banner” (versão/identificação) e inferir software/vulnerabilidades conhecidas.

Impacto: permite escolher exploits conhecidos.

3. Force brute / credential stuffing em serviços com autenticação (SSH, RDP, FTP, web login)

kiotakaaianokoji — 2025-10-08 17:56:49 UTC

Como funciona: tentativa massiva de credenciais (senhas fracas, combos vazados). Usa muitas conexões a portas específicas.

Impacto: comprometimento de contas e de hosts.

4. Exploração de vulnerabilidades do serviço

kiotakaaianokoji — 2025-10-08 17:56:57 UTC

Como funciona: quando um serviço escutando numa porta tem um bug (buffer overflow, RCE, etc.), um atacante envia pacotes especialmente crafted para explorar esse bug.

Impacto: execução remota, escalonamento de privilégio, pivoting.

5. Denial of Service (DoS) e Distributed DoS (DDoS)

kiotakaaianokoji — 2025-10-08 17:57:08 UTC

Como funciona: inundar a porta/serviço com tráfego (SYN flood, UDP amplification via DNS/NTP/SSDP), esgotando recursos.

Impacto: indisponibilidade do serviço.

6. Port forwarding / NAT abuse e pivoting

kiotakaaianokoji — 2025-10-08 17:57:16 UTC

Como funciona: explorar regras de encaminhamento (ou configurar backdoor / túnel) para acessar portas internas não expostas publicamente.

Impacto: acesso lateral à rede interna.

7. TCP reset / session hijacking / man-in-the-middle em protocolos não seguros

kiotakaaianokoji — 2025-10-08 17:57:25 UTC

Como funciona: interferir em conexões usando pacotes RST ou interceptando tráfego em redes não confiáveis.

Impacto: interrupção ou espionagem de comunicações.

Picos incomuns de conexões a uma porta (métricas de taxa por segundo).

kiotakaaianokoji — 2025-10-08 17:58:06 UTC

Logs de autenticação com tentativas repetidas de falha (usuários inexistentes, IPs distintos).

Conexões SYN sem completar handshake (SYN flood).

Serviços que começam a cair ou consumir CPU/memória.

Pacotes UDP de resposta inesperada (amplificação).

Entradas de firewall bloqueadas por muitas regras em curto período.

Fundamentos (sempre)

kiotakaaianokoji — 2025-10-08 17:58:49 UTC

Fechar portas não usadas — nenhum serviço desnecessário ouvindo.

Aplicar o princípio do menor privilégio e segmentação de rede — isolar serviços críticos em VLANs / ZTNA / microsegmentação.

Patching contínuo — manter SOs e serviços atualizados; priorizar CVEs críticos.

Inventário e varredura periódica — tenha um inventário de serviços/portas e revise regularmente (auditoria interna).

Registrar e monitorar (logging + SIEM) — coletar logs de firewall, hosts e serviços; alertar por padrões anômalos.

Controle de acesso e autenticação

kiotakaaianokoji — 2025-10-08 17:59:01 UTC

Autenticação forte — chaves públicas para SSH (desabilitar senhas), MFA para acessos remotos, senhas fortes e rotation.

Restrição por endereço IP / listas brancas — só permitir acesso externo de IPs confiáveis (VPN ou regras específicas).

Usar VPN / jump hosts / bastion hosts para administração remota (não expor RDP/SSH diretamente à Internet).

Desabilitar serviços inseguros (Telnet, FTP sem TLS, SMBv1).

Firewall, filtragem e rate limiting

kiotakaaianokoji — 2025-10-08 17:59:15 UTC

Firewalls em camadas — host-based (pf, iptables/nftables, firewalld, Windows Defender Firewall) + rede (perimeter firewall).

Política “deny by default” — permitir só portas/serviços necessários.

Rate limiting / connection limiting — impedir bruteforce e SYN flood (limitar conexões por IP/segundo).

Filtragem de geolocalização (se aplicável) — bloquear países que não precisam acessar serviços.

Bloqueio de portas comuns para bots (ex.: bloquear 23/Telnet, 137–139/445 quando não necessários).

Proteções específicas para serviços

kiotakaaianokoji — 2025-10-08 17:59:35 UTC

SSH: desabilitar login root, usar apenas chaves, desabilitar senhas, usar AllowUsers/AllowGroups, fail2ban ou mecanismos equivalentes.

RDP: exigir NLA, usar RD Gateway ou VPN; monitorar tentativas de login; aplicar patches.

HTTP/HTTPS: WAF na frente de aplicações web; TLS forte; reduzir exposição de banners; atualizações do servidor web/app.

DNS/NTP/UDP services: proteger contra amplificação — restringir recursão, aplicar rate-limits, não permitir servidores abertos.

Detecção e resposta

kiotakaaianokoji — 2025-10-08 17:59:43 UTC

IDS/IPS (network + host) — Snort/Suricata, OSSEC/Wazuh para detectar escaneamentos, assinaturas e anomalias.

Alertas para padrões típicos — múltiplos SYNs sem ACK, varredura de portas sequencial, tentativas repetidas de login.

Playbooks de resposta — isolamento rápido do host, coleta de logs, investigação, remediação (patch, reset creds).

Hardening e higiene

kiotakaaianokoji — 2025-10-08 17:59:53 UTC

Remover banners/versões públicas — por exemplo, configurar servidores para não expor versão do software.

Segmentação de serviços críticos — banco de dados não diretamente acessível; exposição apenas via aplicação.

Senhas e chaves gerenciadas — vaults (HashiCorp Vault, Azure Key Vault, etc.).

Teste de penetração / varredura autorizada — pentests regulares e scanners de vulnerabilidade para identificar portas/serviços inseguros.

Exemplo: bloquear todas as portas exceto algumas no nftables (exemplo simplificado)

kiotakaaianokoji — 2025-10-08 18:04:59 UTC

(Adapte à sua distribuição/necessidade.)

Exemplo: fail2ban (conceito) — bloqueia IP após X falhas de autenticação para um serviço (SSH); ótimo contra brute force.

Desligar serviços/portas não usados.

kiotakaaianokoji — 2025-10-08 18:05:34 UTC

Aplicar firewall com política deny-by-default.

Habilitar autenticação forte (chaves, MFA).

Forçar VPN/Jump host para administração remota.

Implementar rate limiting e detecção (IDS/IPS).

Atualizar e patchar regularmente.

Monitorar logs + configurar alertas.

Fazer varreduras e pentests periódicos.

Isolar serviços críticos por segmentação.

Manter inventário e gestão de configuração.

Mudar portas padrão (por exemplo, SSH 22 → 2222) pode reduzir ruído de bots, mas não é uma defesa robusta — é apenas aplainar o ruído. Não substitui firewalls, autenticação forte e patching.

kiotakaaianokoji — 2025-10-08 18:06:08 UTC