Port scanning attack, cosa devi sapere per davvero

Chiunque abbia guardato i registri di un firewall aziendale conosce la scena: centinaia di tentativi di connessione al giorno verso porte diverse, da indirizzi sparsi nel mondo. La domanda che segue è sempre la stessa e la risposta è meno drammatica di quanto sembri.

Un port scanning attack non è un attacco nel senso in cui lo è un tentativo di intrusione. È ricognizione: qualcuno sta compilando un inventario. La cosa che conta non è fermarlo, perché non si può, ma sapere che cosa troverà.

1. Perché chiamarlo attacco è impreciso
2. Chi vi scansiona e con quale criterio
3. Che cosa stanno cercando
4. Come si riconosce nei registri
5. Perché bloccare la scansione non è la risposta
6. Che cosa ridurre davvero

Perché chiamarlo attacco è impreciso

Nella terminologia corrente la scansione delle porte viene classificata fra gli attacchi e questo genera un’aspettativa sbagliata su come rispondere.

Un tentativo di connessione a una porta chiusa non fa nulla al vostro sistema.
Non lo danneggia, non lo rallenta, non vi sottrae dati. Interroga e registra la risposta.
Il paragone più vicino è qualcuno che passa davanti a un edificio annotando quali finestre sono aperte: non è un’effrazione, è la preparazione di un elenco.

La distinzione ha un risvolto pratico.
Se la scansione fosse un attacco, la risposta sarebbe bloccarla. Poiché è ricognizione, la risposta è occuparsi di quello che la ricognizione trova. Sono due programmi di lavoro completamente diversi e il secondo è quello che riduce il rischio.

Una precisazione va fatta sul volume.
Quando i tentativi diventano decine di migliaia al minuto e il loro effetto è saturare la capacità dell’infrastruttura, non siamo più di fronte a una ricognizione ma a un attacco DDoS, che è un fenomeno diverso con contromisure diverse.

La scansione, per essere utile a chi la esegue, ha interesse a restare discreta.

Chi vi scansiona e con quale criterio

Le scansioni che vedete nei registri appartengono a tre categorie e vale la pena distinguerle perché richiedono attenzioni diverse.

La prima e più numerosa è la scansione di massa.
Sistemi automatici interrogano continuamente interi blocchi di indirizzi, senza alcun interesse specifico per voi.
Esistono progetti di ricerca che fanno esattamente questo in modo dichiarato e pubblicano i risultati, e motori di ricerca specializzati che mantengono un catalogo consultabile dei servizi esposti in tutto il mondo. Chiunque, in qualunque momento, può interrogare quel catalogo e sapere cosa avete pubblicato senza mandarvi un solo pacchetto.

La seconda è la scansione opportunistica che segue la pubblicazione di una vulnerabilità.
Quando esce un problema critico su un prodotto molto diffuso, nel giro di poche ore si attivano scansioni mirate a quel solo servizio, alla ricerca di installazioni non aggiornate. È il meccanismo con cui si diffondono attacchi su larga scala ed è anche il modo in cui operano i worm nella loro forma classica.

La terza, la meno frequente e la più rilevante, è la scansione mirata.
Qualcuno ha scelto la vostra organizzazione e sta studiando il perimetro con calma, spesso distribuendo le interrogazioni nel tempo per non attirare attenzione. È la fase preparatoria di un attacco su misura e nei registri è la più difficile da distinguere dal rumore di fondo.

Che cosa stanno cercando

L’elenco dei servizi che interessano è corto e stabile nel tempo, perché corrisponde a quello che nelle aziende è tipicamente esposto e mal tenuto.

Gli accessi remoti sono al primo posto: concentratori VPN, desktop remoti, pannelli di amministrazione pubblicati per comodità.
Sono l’obiettivo più ambito perché conducono direttamente dentro la rete e perché una credenziale valida su uno di questi servizi ha un valore commerciale immediato. Le credenziali arrivano da violazioni di servizi terzi o da programmi che le raccolgono dalle postazioni, come descritto nell’articolo sugli infostealer.

Seguono i servizi di posta, i database esposti per errore, i sistemi di gestione dei file e le applicazioni web con pannelli di amministrazione raggiungibili.
Su ciascuno la ricognizione cerca la stessa cosa: prodotto, versione e la possibilità di provare credenziali comuni.

C’è un punto che i responsabili IT sottovalutano con regolarità e riguarda tutto ciò che nessuno ha censito.
Un apparato installato da un fornitore anni prima, un sistema di videosorveglianza, un dispositivo di misura collegato alla rete per comodità.

Sono i casi in cui la scansione trova qualcosa che dentro l’azienda nessuno ricordava di avere.

Come si riconosce nei registri

Una scansione lascia un’impronta riconoscibile per ragioni strutturali: per stabilire quali porte sono aperte bisogna interrogarne molte e la maggior parte sarà chiusa.

Il segnale caratteristico è quindi una sequenza di tentativi di connessione da una stessa origine verso numeri di porta diversi, quasi tutti privi di un servizio in ascolto. Il traffico legittimo non si comporta così: un utente vero si collega alla porta del servizio che gli serve, non a quarantamila numeri in ordine.

Rilevarlo è compito dei sistemi di monitoraggio della rete, e la correlazione fra registri di apparati diversi è precisamente il lavoro per cui esistono le piattaforme di gestione degli eventi di sicurezza, di cui abbiamo parlato nell’articolo dedicato al SIEM.

Va però detto con franchezza a chi non ha una struttura dedicata: leggere questi registri ogni giorno non è realistico per un reparto IT di cinque persone e il rumore di fondo è tale che il segnale della scansione mirata si perde comunque. Chi è in questa condizione ottiene più risultato lavorando su ciò che è esposto che sul rilevamento.

Perché bloccare la scansione non è la risposta

L’istinto, davanti a quei registri, è bloccare gli indirizzi di origine.
È una misura che dà soddisfazione e cambia poco.

Gli indirizzi sono virtualmente illimitati e si sostituiscono senza costo. Le scansioni di massa provengono da infrastrutture distribuite che ruotano continuamente le proprie origini, e una scansione mirata che si accorge di essere bloccata riparte da un’altra parte il giorno dopo. Le liste di blocco crescono, vanno mantenute e prima o poi qualcuno ci finisce dentro per sbaglio.

C’è anche un effetto collaterale poco considerato: una risposta di rifiuto conferma che l’indirizzo è attivo e una regola che scatta in modo prevedibile è essa stessa un’informazione sulla configurazione del perimetro.

La misura che riduce davvero l’utilità della ricognizione è diversa e passiva: presentare come filtrato tutto ciò che non deve essere raggiungibile, così che il perimetro restituisca il minimo di informazioni possibile. Chi interroga non ottiene né una conferma né una negazione e il suo elenco resta vuoto.

Che cosa ridurre davvero

Le verifiche che spostano il rischio sono poche e nessuna riguarda la scansione in sé.

Quali servizi sono pubblicati su internet e chi ha deciso che lo fossero.
In una rete che ha dieci anni la risposta è quasi sempre che nessuno lo ha deciso: si sono accumulati. Un inventario degli asset aggiornato è la precondizione di tutto il resto, perché non si mette in sicurezza ciò che non si sa di avere.

Quali versioni montano quei servizi e se esiste un processo che applica gli aggiornamenti entro un tempo definito quando esce una vulnerabilità critica sul perimetro.

Se l’autenticazione degli accessi remoti si regge su un solo fattore. Una scansione che individua un accesso remoto raggiungibile è utile solo se poi qualcuno può entrarci e il secondo fattore di autenticazione è ciò che rende inutilizzabile una credenziale in circolazione.

Che cosa raggiunge, una volta dentro, chi supera uno di quei servizi. È la domanda che decide la gravità di un incidente e quella a cui risponde un penetration test invece di una scansione.

Per le applicazioni web esposte il discorso si specializza, perché la porta aperta è sempre la stessa e il problema sta nel codice che risponde dietro: lì servono un web vulnerability assessment o un’analisi DAST, che interrogano l’applicazione e non l’indirizzo.

Se invece vi interessa capire come funziona tecnicamente una scansione, gli stati che una porta può assumere e la differenza fra interrogazioni TCP e UDP, l’abbiamo spiegato nell’articolo su port scanning come tecnica di offesa e difesa.