echo (7/tcp,udp)
Se utiliza únicamente para depuración. Sin embargo, un atacante puede
realizar "labores de depuración" creando bucles en la red
a partir de este puerto (véase udp chargen/19).
BLOQUEAR.
systat (11/tcp/udp)
Muestra información acerca del host como usuarios conectados, carga
del sistema, procesos en funcionamiento, etc..
BLOQUEAR.
chargen (19/tcp,udp)
Se utiliza únicamente para depuración. Basta con enviar un paquete a
este puerto aparentemente originado en el puerto de echo (7/udp) para
provocar un bucle en la red.
BLOQUEAR.
telnet (23/tcp,udp)
Vulnerable a "toma de sesiones". Es preferible utilizar en
su lugar otras soluciones como SSH.
smtp (25/tcp,udp)
Históricamente la mayoría de las entradas en hosts han venido a través
de este puerto. Se debe FILTRAR este puerto y mantener SIEMPRE la última
versión estable conocida de cualquier programa de correo, especialmente
si trabajamos con sendmail.
time (37/tcp,udp)
Devuelve la hora del sistema en un formato legible por la máquina (4
bytes mas o menos). Puede ser accedido tras un ataque vía ntp(123/tcp,udp).
nameserver (42/tcp,udp)
Si dispone de una red privada, debe instalar un servidor de nombres
para ella. Bloquee el acceso a dicho servidor desde el exterior, y utilice
siempre la última versión de BIND para resolver nombres. En este caso,
puede cortar sin excesivos problemas el acceso al DNS sobre UDP.
tftp (69/tcp,udp)
Falta de autentificación. Bloquear si no se dispone de máquina alguna
con arranque remoto.
private dialout (75/tcp,udp) - - - [RFC1700]
Si encontramos una traza de este puerto en los diarios del sistema (logs),
en el mejor de los casos estaremos siendo analizados por un scanner
de puertos.
BLOQUEAR.
finger (79/tcp,udp)
Puede obtenerse información acerca de usuarios concretos, información
que puede utilizarse para adivinar claves de acceso. BLOQUEAR o SUSTITUIR
por una política coherente de asignación de direcciones de correo (Juan
Fernadez - - -> juan.fernandez@host.com) y un mensaje advirtiendo
de dicha política.
http (80/tcp,udp)
¡¡¡Cuidado!!! los servidores web son cada vez más complejos y permiten
demasiadas cosas. Conviene redirigir el acceso a un puerto no privilegiado
en maquinas unix. A ser posible, utilice servidores http específicos
para la tarea a realizar (servir archivos, acceso a Bases de datos,
etc...).
npp (92/tcp,udp) - [Network Printing Protocol]
Nadie quiere imprimir documentos ajenos ¿ verdad ?.
objcall (94/tcp,udp) - [Tivoli Object Dispatcher]
Utilizado por la herramienta de Gestión de redes Tivoli. Si utilizamos
tivoli, aplicar las mismas precauciones que con SNMP.
sunrpc (111/tcp,udp)
Especialmente peligroso sobre UDP. No autentifica fuentes, y es la base
para otros servicios como NFS.
auth (113/tcp,udp)
No debería permitirse obtener información acerca de puertos privilegiados
(puede utilizarse para realizar un portscan). No se utiliza mas que
en Unix.
ntp (123/tcp,udp) [Network Time Protocol]
Se utiliza para sincronizar los relojes de las máquinas de una subred.
Un ejemplo de ataque clásico consiste en enviar paquetes a este puerto
para distorsionar los logs de la máquina.
netbios (137,138,139/tcp,udp)
No dispone de suficiente autenticación. Afortunadamente según los RFC2001
y 2002 NetBIOS es capaz de funcionar correctamente a pesar de que se
estén enviando bloques de datos con información errónea o corrompida.
snmp (161/tcp,udp) –
¿ Quién puede querer administrar nuestra red desde el exterior ? Se
puede obtener mucha información a través de este servicio, como por
ejemplo estado de los interfaces de red, conexiones concurrentes en
la máquina, etc...
BLOQUEAR.
snmp-trap (162/tcp,udp)
Traps de SNMP. A través de este puerto se realizan solicitudes que pueden
cambiar la configuración del host.
BLOQUEAR.
irc (194/tcp,udp) –
No es peligroso en sí; sin embargo sus usuarios suelen divertirse atacando
los hosts de otras personas con el fin de echarlos cuando no pueden
hacer uso de la orden 'kick'. Generalmente conviene bloquear los puertos
6666, 6667 y 6668 ya que son a los que se enganchan los servidores de
IRC.
exec (512/tcp)
Ejecuta ordenes en estaciones remotas. Como todos los comandos 'r' (rexec,
rcp, rlogin) en la otra partes cuando se accede desde un conjunto de
direcciones IP definidas por el usuario. No se realiza más autentificación
que la basada en dirección IP y usuario remoto. MUY PELIGROSO (aunque
muy potente).
BLOQUEAR.
biff (512/udp)
Notifica de la llegada de correo. Buen candidato para posibles desbordamientos
de buffer, o simplemente para obligar a abandonar la sesión a un usuario
debido a la llegada masiva de mensajes de correo. (biff suele funcionar
incluso con mesg n)
BLOQUEAR.
login (513/tcp) - rlogin. (ver exec)
BLOQUEAR.
who (513/udp)
Muestra quien está utilizando el host remoto. Se puede obtener información
bastante detallada acerca de quién utiliza una máquina y desde que terminal,
uptime (tiempo que lleva en funcionamiento), carga de la máquina, etc...
BLOQUEAR.
cmd (514/tcp) –
Similar a exec (512/tcp), mismas precauciones.
BLOQUEAR.
syslog (514/udp)
BLOQUEAR a menos que existan suficientes razones como para mantenerlo.
Suele atacarse para corromper los diarios (logs) del sistema con entradas
falsas.
printer (515/tcp,udp)
router (520/tcp,udp) - Local routing process.
BLOQUEAR
ingreslock (1524/tcp) –
En la mayoría de los Un*x se puede encontrar esta entrada en /etc/services.
Ya que está dado de alta y es un puerto no privilegiado es un buen lugar
para una puerta trasera (no sería la primera vez que ocurre).
|
