Recherche de port et de protocole
MAG212 CYBER · Outils
Port et protocole chercher.
Quel service utilise le port 3389 et doit-il être ouvert sur Internet ? Recherchez ce service sur 65 ports courants, les risques d’exposition et comment le sécuriser.
ports de recherche
Risque:
| Port | Protocole | Service | risque d'exposition à Internet | Ce qu'il faut faire |
|---|---|---|---|---|
| 20-21 | TCP | FTP (données / contrôle) | Haut | Envoie les identifiants et les fichiers en clair. À remplacer par SFTP ou FTPS ; ne jamais exposer sur Internet. |
| 22 | TCP | SSH, SFTP, SCP | Moyen | Administration à distance sécurisée, mais constamment exposée aux attaques par force brute. Utiliser des clés, désactiver l'authentification root et par mot de passe, restreindre l'accès par adresse IP source ou VPN. |
| 23 | TCP | Telnet | Critique en cas d'exposition | Connexion à distance en clair. Désactivez-la sur tous les appareils et utilisez SSH. Cible privilégiée des botnets IoT comme Mirai. |
| 25 | TCP | SMTP (courrier de serveur à serveur) | Moyen | Nécessaire uniquement aux serveurs de messagerie. Bloque le trafic sortant (passeport 25) des réseaux utilisateurs pour stopper les robots spammeurs et empêcher le relais ouvert. |
| 49 | TCP | TACACS+ | Moyen | Dispositif réseau AAA. À conserver sur le réseau de gestion ; il chiffre uniquement la charge utile. |
| 53 | TCP/UDP | DNS | Moyen | Seuls les résolveurs et les serveurs faisant autorité devraient répondre. Les résolveurs ouverts sont utilisés à mauvais escient pour amplifier les attaques DDoS. |
| 67-68 | UDP | Serveur/client DHCP | Faible | Réseau local uniquement. Protégez-vous contre les serveurs DHCP non autorisés grâce à la surveillance DHCP. |
| 69 | UDP | TFTP | Haut | Aucune authentification requise. Utilisé pour les images de périphériques et les configurations de téléphones IP ; accès strictement restreint, jamais accessible depuis Internet. |
| 80 | TCP | HTTP | Moyen | Site web non chiffré. Redirection vers HTTPS. Les pages d'administration des appareils sur le port 80 doivent être désactivées ou restreintes. |
| 88 | TCP/UDP | Kerberos | Haut | Authentification Active Directory. Usage interne uniquement ; ne jamais exposer les contrôleurs de domaine. |
| 110 | TCP | POP3 | Haut | Accès aux boîtes aux lettres en clair. Utilisez POP3S (995) ou IMAPS (993). |
| 111 | TCP/UDP | RPCbind / mappeur de ports | Haut | Révèle les services RPC et est utilisé dans l'amplification des attaques DDoS. Bloquez le réseau au niveau du périmètre. |
| 123 | UDP | NTP | Moyen | Synchronisation de l'heure. Désactivez la liste de surveillance ; les serveurs NTP publics ont été utilisés à mauvais escient pour des attaques par amplification. |
| 135 | TCP | Mappeur de points de terminaison RPC Microsoft | Critique en cas d'exposition | RPC Windows. Ne jamais exposer à Internet ; cible privilégiée des vers informatiques. |
| 137-139 | TCP/UDP | NetBIOS | Critique en cas d'exposition | Service de partage de fichiers et de noms hérité de Windows. Bloquer au niveau du périmètre ; désactiver là où ce n’est pas nécessaire. |
| 143 | TCP | IMAP | Haut | Accès à la boîte aux lettres en clair. Utilisez IMAPS (993). |
| 161-162 | UDP | SNMP / traps SNMP | Haut | Les versions 1 et 2c envoient les chaînes de communauté en clair ; les valeurs par défaut ' public ' sont courantes. Utilisez SNMPv3 et limitez les restrictions par ACL. |
| 179 | TCP | BGP | Moyen | Uniquement aux pairs configurés. Protection par TCP-AO ou MD5, GTSM (sécurité TTL) et filtres de préfixe. |
| 389 | TCP/UDP | LDAP | Haut | Les requêtes d'annuaire, souvent en clair, nécessitent l'utilisation de LDAPS (636) ou LDAP avec StartTLS et signature ; elles ne doivent jamais être accessibles depuis Internet. |
| 443 | TCP | HTTPS | Faible | Internet chiffré. Utiliser uniquement TLS 1.2 ou une version supérieure. Les portails d'administration VPN et pare-feu sur le port 443 sont des cibles prioritaires : appliquez rapidement les correctifs et ajoutez l'authentification multifacteur. |
| 445 | TCP | SMB (partage de fichiers Windows) | Critique en cas d'exposition | Exploité par WannaCry et NotPetya (EternalBlue). Ne jamais exposer sur Internet ; désactiver SMBv1 ; exiger une signature. |
| 465 | TCP | SMTPS (soumission TLS implicite) | Faible | Envoi de courrier électronique authentifié via TLS. |
| 500 | UDP | IKE (VPN IPsec) | Moyen | Échange de clés VPN. Utiliser IKEv2 avec des propositions fortes ; désactiver le mode agressif. |
| 502 | TCP | Modbus | Critique en cas d'exposition | Protocole de contrôle industriel sans authentification. Ne doit jamais être accessible depuis Internet. |
| 514 | UDP | Syslog | Moyen | Texte clair et falsifiable. Envoyez les journaux via TLS (6514) lorsque cela est possible et limitez les expéditeurs. |
| 587 | TCP | Soumission SMTP (STARTTLS) | Faible | Envoi de courrier électronique authentifié par le client. Nécessite un compte compatible TLS et MFA. |
| 623 | UDP | IPMI / BMC | Critique en cas d'exposition | Gestion hors bande du serveur présentant des failles d'authentification connues. Isolation sur un réseau de gestion. |
| 636 | TCP | LDAPS | Moyen | LDAP sur TLS. Usage interne uniquement. |
| 853 | TCP | DNS sur TLS | Faible | DNS chiffré. Soyez vigilant si vous utilisez le filtrage DNS. |
| 873 | TCP | rsync | Haut | Souvent laissées ouvertes sans authentification, entraînant des fuites de données. Tunnel via SSH. |
| 989-990 | TCP | FTPS | Moyen | FTP sur TLS. Mieux que FTP, mais SFTP est plus simple à configurer avec un pare-feu. |
| 993 | TCP | IMAPS | Faible | Accès chiffré à la boîte aux lettres. Imposer l'authentification multifacteur ou une authentification moderne. |
| 995 | TCP | POP3S | Faible | POP3 crypté. |
| 1080 | TCP | Proxy SOCKS | Haut | Les serveurs proxy ouverts sont utilisés à mauvais escient pour dissimuler le trafic des attaquants. Exigez une authentification ou fermez-les. |
| 1194 | UDP | OpenVPN | Moyen | VPN. Maintenez-le à jour et utilisez un certificat ainsi que l'authentification multifa. |
| 1433 | TCP | Serveur Microsoft SQL | Critique en cas d'exposition | Les bases de données ne doivent pas être accessibles depuis Internet. Elles sont constamment soumises à des attaques par force brute et à des exploitations de failles de sécurité. |
| 1521 | TCP | écouteur de base de données Oracle | Critique en cas d'exposition | Usage interne uniquement. |
| 1645-1646, 1812-1813 | UDP | RAYON | Moyen | AAA pour les VPN, le Wi-Fi (802.1X) et les périphériques réseau. Utilisez des mots de passe partagés robustes ou RadSec. |
| 1723 | TCP | VPN PPTP | Critique en cas d'exposition | Le protocole PPTP/MS-CHAPv2 est vulnérable sur le plan cryptographique. Remplacez-le par IKEv2/IPsec, WireGuard ou un VPN SSL. |
| 1883 | TCP | MQTT | Haut | Messagerie IoT, souvent sans authentification. Utilisez le port 8883 avec TLS et identifiants. |
| 2049 | TCP/UDP | NFS | Haut | Système de fichiers réseau. Usage interne uniquement, avec restrictions d'exportation. |
| 2375-2376 | TCP | API Docker | Critique en cas d'exposition | Le port 2375 est l'API Docker non authentifiée, offrant un contrôle total sur l'hôte. Ne jamais l'exposer ; utiliser le port 2376 avec une authentification TLS mutuelle. |
| 3128 | TCP | Squid / Proxy HTTP | Haut | Les serveurs proxy ouverts sont utilisés à mauvais escient. Une authentification est requise. |
| 3306 | TCP | MySQL / MariaDB | Critique en cas d'exposition | Les bases de données ne doivent pas être accessibles depuis Internet. |
| 3389 | TCP/UDP | RDP (Bureau à distance) | Critique en cas d'exposition | Point d'entrée privilégié des ransomwares. Ne jamais y accéder directement ; le placer derrière un VPN ou une passerelle avec authentification multifacteur et activer l'authentification authentifiée. |
| 4500 | UDP | Traversée NAT IPsec | Moyen | Faisant partie des VPN IPsec (avec UDP 500). |
| 4786 | TCP | Installation intelligente Cisco | Critique en cas d'exposition | Non authentifié ; utilisé à mauvais escient par des acteurs étatiques pour prendre le contrôle des commutateurs. Désactiver avec ' no vstack '. |
| 5060-5061 | TCP/UDP | SIP (VoIP) | Haut | Cible des fraudes aux péages. Utilisez le protocole 5061 (TLS), des mots de passe robustes et un contrôleur de frontière de session. |
| 5432 | TCP | PostgreSQL | Critique en cas d'exposition | Les bases de données ne doivent pas être accessibles depuis Internet. |
| 5800, 5900 | TCP | VNC | Critique en cas d'exposition | Accès à distance au bureau, souvent avec des mots de passe faibles ou inexistants. Passage par un tunnel VPN ou SSH. |
| 5985-5986 | TCP | WinRM (PowerShell à distance) | Haut | Gestion à distance Windows. Usage interne uniquement ; privilégier HTTPS (5986). |
| 6379 | TCP | Redis | Critique en cas d'exposition | Souvent déployé sans authentification ; exploité massivement pour le minage de cryptomonnaies. Se connecter à localhost ou exiger une authentification. |
| 6514 | TCP | Syslog sur TLS | Faible | Transport de journaux chiffrés. |
| 8080, 8443 | TCP | HTTP/HTTPS alternatif | Moyen | Souvent, il s'agit de panneaux d'administration, de serveurs proxy ou de serveurs de développement. Il faut recenser les processus à l'écoute et les restreindre. |
| 8291 | TCP | MikroTik Winbox | Critique en cas d'exposition | Gestion des routeurs, cible des botnets. Accès limité aux réseaux d'administration. |
| 8883 | TCP | MQTT sur TLS | Moyen | Messagerie IoT sécurisée ; l’authentification du client reste requise. |
| 9100 | TCP | Impression brute (JetDirect) | Haut | Les imprimantes acceptent les tâches et parfois les commandes sans authentification. Usage interne uniquement. |
| 9200 | TCP | Elasticsearch | Critique en cas d'exposition | À l'origine de milliers de fuites de données. Ne jamais exposer ; activer les fonctions de sécurité. |
| 10000 | TCP | Webmin / NDMP | Haut | Panneaux d'administration du serveur. Restreindre et corriger. |
| 11211 | UDP/TCP | Memcached | Critique en cas d'exposition | Utilisé pour amplifier les attaques DDoS et battre des records. Désactivez le protocole UDP et ne l'exposez jamais. |
| 20000 | TCP | DNP3 | Critique en cas d'exposition | Protocole utilitaire/SCADA. Isolation dans le réseau OT. |
| 27017 | TCP | MongoDB | Critique en cas d'exposition | Des milliers d'instances exposées ont été effacées et rançonnées. Une authentification et une liaison interne sont requises. |
| 44818 | TCP/UDP | EtherNet/IP (CIP) | Critique en cas d'exposition | Protocole d'automatisation industrielle. Isolation dans le réseau OT. |
| 47808 | UDP | BACnet | Critique en cas d'exposition | Domotique (CVC, contrôle d'accès). Jamais connecté à Internet. |
| 51820 | UDP | WireGuard | Faible | VPN moderne. Protégez vos clés et renouvelez-les lors des départs de personnel. |
Comment utiliser ceci
- “Critique en cas d’exposition” Cela signifie que le service ne devrait jamais être accessible depuis Internet. Si une analyse révèle qu'il est accessible de l'extérieur, considérez cela comme un incident jusqu'à preuve du contraire.
- Découvrez ce qui est ouvert avec le Générateur de commandes Nmap (sur les réseaux que vous êtes autorisé à analyser), puis recherchez chaque port ici.
- Par défaut, bloquer le trafic entrant au niveau du pare-feu et n'autoriser que les connexions ayant un besoin métier documenté et un propriétaire.
- Les numéros de port sont des conventions : les attaquants et les administrateurs exécutent des services sur des ports non standard, il faut donc les utiliser.
nmap -sVidentifier ce qui écoute réellement.
Besoin d'aide d'experts ?
MAG212 CYBER propose des services de conseil en réseaux et cybersécurité, ainsi que des séminaires de sécurité pour les organisations du monde entier.