Che cos'è una porta per le PMI? Una descrizione dettagliata delle porte 445 + 139
Il protocollo SMB (Server Message Block Protocol) è un protocollo di comunicazione client-server utilizzato per condividere l'accesso a file, stampanti, porte seriali e dati su una rete. Può anche trasportare protocolli di transazione per la comunicazione autenticata tra processi.
In breve, il protocollo SMB è un modo per i computer di comunicare tra loro.
Come funziona il protocollo SMB?
SMB funziona attraverso un approccio client-server, in cui un client effettua richieste specifiche e il server risponde di conseguenza. Questo è noto come protocollo di risposta-richiesta. Questo protocollo facilita le condivisioni di file tra computer in rete.
Una volta connesso, consente agli utenti o alle applicazioni di effettuare richieste a un file server e di accedere a risorse come la condivisione delle stampanti, gli slot di posta e le named pipe sul server remoto. Ciò significa che un utente dell'applicazione può aprire, leggere, spostare, creare e aggiornare i file sul server remoto.
SMB è stato originariamente progettato da Barry Feigenbaum presso IBM nel 1983 con l'obiettivo di trasformare l'accesso ai file locali DOS INT 21h in un file system di rete ed è stato originariamente progettato per funzionare su NetBIOS su TCP/IP (NBT) utilizzando la porta IP 139 e le porte UDP 137 e 138.
Le applicazioni software eseguite su un servizio di sessione NetBIOS si individuano e si identificano a vicenda tramite i nomi NetBIOS sulla porta TCP 139.
Microsoft ha unito il protocollo SMB con il prodotto LAN Manager che ha iniziato a sviluppare nel 1990 e continua ad aggiungere funzionalità al protocollo in Windows per Workgroup.
Scopri come rispondere alla vulnerabilità di Fortigate SSL VPN >
Nel 1996, Microsoft lanciò un'iniziativa per rinominare SMB in Common Internet File System (CIFS) e aggiunse ulteriori funzionalità, tra cui il supporto per collegamenti simbolici, collegamenti fisici, file di dimensioni maggiori e un tentativo iniziale di supportare connessioni dirette sulla porta TCP 445 senza richiedere NetBIOS come trasporto (uno sforzo in gran parte sperimentale che richiese ulteriori perfezionamenti).
Con Microsoft Windows 2000, Microsoft aveva cambiato SMB per operare sulla porta 445. SMB utilizza ancora la porta 445.
Questo si è rivelato problematico in quanto CIFS era un protocollo notoriamente loquace che poteva rovinare le prestazioni della rete a causa della latenza e dei numerosi riconoscimenti. Sebbene Microsoft stimi che le PMI/CIFS abbiano compromesso meno del 10% del traffico di rete nella rete aziendale media, si tratta comunque di una quantità significativa di traffico.
Microsoft ha spiegato che i problemi di prestazioni erano principalmente dovuti al fatto che SMB 1.0 è un protocollo a livello di blocco piuttosto che di streaming progettato per LAN di piccole dimensioni.
Il dialetto successivo, SMB 2.0, ha migliorato l'efficienza del protocollo riducendo le centinaia di comandi e sottocomandi a 19.
Microsoft continua a investire nel miglioramento delle prestazioni e della sicurezza delle PMI. SMB 3.0, introdotto con Windows 8 e Windows Server 2012, ha apportato diverse modifiche significative che hanno aggiunto funzionalità e migliorato le prestazioni di SMB2, in particolare nei data center virtualizzati.
Inoltre, ha introdotto diversi miglioramenti della sicurezza, come la crittografia end-to-end e un nuovo algoritmo di firma basato su AES.
Scopri come rispondere al > zero-day di MOVEit Transfer
Quali sono i dialetti del protocollo SMB?
Il protocollo SMB è stato creato negli anni '80 da IBM e ha generato più dialetti progettati per soddisfare i requisiti di rete in evoluzione. Ad esempio, il Common Internet File System (CIFS) menzionato in precedenza è un'implementazione specifica di SMB che consente la condivisione di file.
Le importanti implementazioni per le PMI includono:
SMB 1.0 (1984)
Creato da IBM per la condivisione di file in DOS. Ha introdotto il blocco opportunistico come meccanismo di memorizzazione nella cache lato client progettato per ridurre il traffico di rete.
Samba (1992)
Samba è un'implementazione open source del protocollo SMB e di Microsoft Active Directory per sistemi Unix e distribuzioni Linux che supporta la condivisione di file e i servizi di stampa, l'autenticazione e l'autorizzazione, la risoluzione dei nomi e gli annunci di servizi tra server Linux/Unix e client Windows.
CIFS (1996)
Dialetto SMB sviluppato da Microsoft che ha debuttato in Windows 95 e ha aggiunto il supporto per file di dimensioni maggiori, il trasporto diretto su TCP/IP, i collegamenti simbolici e gli hard link.
NQ (1998)
NQ è una famiglia di implementazioni client e server portatili per PMI sviluppate da Visuality Systems. NQ è portabile su piattaforme non Windows come Linux, iOS e Android e supporta il dialetto SMB 3.1.1.
Netsmb (2004)
Netsmb è una famiglia di implementazioni client e server SMB in-kernel nei sistemi operativi BSD.
PMI 2.0 (2006)
Rilasciato con Windows Vista e Windows Server 2008, SMB v2 ha ridotto l'affluenza per migliorare le prestazioni, migliorare la scalabilità e la resilienza e ha aggiunto il supporto per l'accelerazione WAN.
Tuxera SMB (2009)
>Tuxera è anche un'implementazione SMB proprietaria che viene eseguita sia nel kernel che nello spazio utente.
Allo stesso modo (2009)
Allo stesso modo, è stata sviluppata un'implementazione CIFS/SMB che ha fornito una piattaforma multiprotocollo e sensibile all'identità per l'accesso alla rete dei file nei prodotti di archiviazione OEM basati su piattaforme basate su Linux/Unix.
PMI 2.1 (2010)
Introdotto con Windows Server 2008 R2 e Windows 7. Il modello di leasing oplock client ha sostituito il blocco opportunistico per migliorare la memorizzazione nella cache e migliorare le prestazioni. Ha inoltre introdotto il supporto di grandi unità di trasmissione massima (MTU) e una migliore efficienza energetica, consentendo ai client di aprire i file da un server SMB per entrare in modalità di sospensione.
PMI 3.0 (2012)
Ha debuttato in Windows 8 e Windows Server 2012. Ha introdotto diversi miglioramenti significativi alla disponibilità, alle prestazioni, al backup, alla sicurezza e alla gestione.
MoSMB (2012)
MoSMB è un'implementazione SMB proprietaria per Linux e altri sistemi Unix-like, sviluppata da Ryussi Technologies. Supporta solo SMB 2.x e SMB 3.x.
SMB 3.02 (2014)
Introdotto in Windows 8.1 e Windows Server 2012 R2 e include aggiornamenti delle prestazioni e la possibilità di disabilitare il supporto CIFS/SMB 1.0, inclusa la rimozione dei file binari correlati.
SMB 3.1.1 (2015)
Rilasciato con Windows 10 e Windows Server 2016 e aggiunto il supporto per la crittografia avanzata, l'integrità della preautenticazione per prevenire attacchi man-in-the-middle e il recinto del dialetto del cluster.
Cosa sono le porte 139 e 445?
SMB è un protocollo di condivisione file di rete che richiede una porta aperta su un computer o un server per comunicare con altri sistemi. Le porte SMB sono in genere i numeri di porta 139 e 445.
La porta 139 viene utilizzata dai dialetti SMB che comunicano tramite NetBIOS. Funziona come protocollo di rete a livello di applicazione per la comunicazione dei dispositivi nei sistemi operativi Windows su una rete. Ad esempio, le stampanti e le porte seriali comunicano tramite la porta 139.
La porta 445 viene utilizzata dalle versioni più recenti di SMB (dopo Windows 2000) su uno stack TCP, consentendo a SMB di comunicare su Internet. Ciò significa anche che è possibile utilizzare gli indirizzi IP per utilizzare la condivisione di file in stile SMB.
Le porte aperte sono pericolose?
Sebbene le porte 139 e 445 non siano intrinsecamente pericolose, esistono problemi noti con l'esposizione di queste porte a Internet. È possibile verificare se una porta è aperta utilizzando il comando netstat.
C'è un malinteso comune sul fatto che un porto aperto sia pericoloso. Ciò è in gran parte dovuto alla mancanza di comprensione di come funzionano le porte aperte, del motivo per cui sono aperte e di quali non dovrebbero esserlo.
Le porte aperte sono necessarie per comunicare su Internet. Tuttavia, una porta aperta può diventare un rischio per la sicurezza quando il servizio in ascolto della porta è configurato in modo errato, privo di patch, vulnerabile agli exploit o con regole di sicurezza di rete scadenti.
Le porte aperte più pericolose sono le porte wormable, come quella utilizzata dal protocollo SMB, che sono aperte per impostazione predefinita in alcuni sistemi operativi.
Le prime versioni del protocollo SMB sono state sfruttate durante l'attacco ransomware WannaCry attraverso un exploit zero-day chiamato EternalBlue.
WannaCry sfruttava le versioni legacy dei computer Windows che utilizzavano una versione obsoleta del protocollo SMB. WannaCry è un worm di rete con un meccanismo di trasporto progettato per diffondersi automaticamente. Il codice di trasporto esegue la scansione dei sistemi vulnerabili all'exploit EternalBlue, quindi installa DoublePulsar, uno strumento backdoor, ed esegue una copia di se stesso.
Un computer infetto cercherà nella rete Windows i dispositivi che accettano il traffico sulle porte TCP 135-139 o 445, indicando che il sistema è configurato per l'esecuzione di SMB.
Avvierà quindi una connessione SMBv1 al dispositivo e utilizzerà l'overflow del buffer per assumere il controllo del sistema e installare il componente ransomware dell'attacco.
Ciò significa che WannaCry può diffondersi automaticamente senza la partecipazione della vittima.
La buona notizia è che da allora Windows ha rilasciato un aggiornamento di sicurezza per Windows XP, Windows Server 2003, Windows 8, Windows Vista, Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 e Windows Server 2016 per prevenire questo exploit.
Come mantenere sicure le porte 139 e 445
Ecco alcuni altri modi per proteggere le porte 139 e 445 dagli hacker.
Evitare di esporre le porte SMB
Le porte 135-139 e 445 non sono sicure da esporre pubblicamente e non lo sono da un decennio.
Patch Tutto
Mantieni aggiornati i tuoi sistemi per evitare exploit di vulnerabilità note e attacchi informatici come lo spoofing del servizio nomi NetBIOS (NBNS) e gli attacchi Main-in-the-Middle (MITM).
Nessun singolo punto di errore
Che si tratti di ransomware, malware, guasti hardware, errori del database o qualcos'altro. Se i tuoi dati sono importanti, allora dovrebbe essere eseguito il backup, almeno un'altra posizione sicura.
Utilizzare un firewall o una protezione degli endpoint
La maggior parte delle soluzioni includerà una lista nera di indirizzi IP di aggressori noti e le loro porte più utilizzate durante gli attacchi.
Utilizzare una rete privata virtuale (VPN)
Le VPN crittografano e proteggono il traffico di rete.
Implementazione di reti locali virtuali (VLAN)
Le VLAN possono essere utilizzate per isolare il traffico di rete interno
Utilizzare il filtro degli indirizzi MAC
Ciò può impedire a sistemi sconosciuti di accedere alla rete.
UpGuard può proteggere la tua azienda dalle violazioni dei dati, identificare tutte le fughe di dati e aiutarti a monitorare continuamente la posizione di sicurezza di tutti i tuoi fornitori.
UpGuard supporta anche la conformità in una miriade di framework di sicurezza, inclusi i nuovi requisiti stabiliti dall'ordine esecutivo sulla sicurezza informatica di Biden.
Ottieni una valutazione preliminare del rischio di violazione dei dati della tua organizzazione. Clicca qui per richiedere subito il tuo punteggio di sicurezza istantaneo gratuito.