Eksponeringsrisici med FTP (File Transfer Protocol)

Kommunikationsprotokoller regulerer dataoverførsel mellem computernetværk. Disse protokoller, f.eks. FTP (File Transfer Protocol) og SMTP (Simple Mail Transfer Protocol), bestemmer, hvordan data overføres mellem enheder via en port, som er et entydigt forbindelsesslutpunkt for en bestemt tjeneste.

Fordi filoverførsel flytter filer over internettet, skaber usikre filoverførselsporte muligheder for hackere til at sende deres egne ondsindede nyttelast eller for andre trusselsaktører til at opsnappe trafik. Denne artikel indeholder en oversigt over, hvordan filoverførselsprotokoller fungerer, samt almindelige porteksponeringer, og hvordan du afhjælper disse risici.

Hvad er filoverførsel?

Filoverførsel flytter data mellem forskellige servere over åbne porte. Forskellige protokoller giver specifikationer for, hvordan dataoverførslen sker, og hvilke porte der er i brug på en webserver. For eksempel bruger SMB (Server Message Block Protocol) en anmodningssvar-tilgang mellem enheder på det samme netværk og bruger typisk portene [.rt-script]139[.rt-script] og [.rt-script]445[.rt-script], mens FTP (File Transfer Protocol) bruger port [.rt-script]21[.rt-script] som standard.

Filoverførsel giver en mekanisme, hvorigennem organisationer effektivt kan flytte store filer og store mængder data mellem enheder. Filoverførsel er især nyttigt, når en organisation har brug for at sende filer eller dele filer i en række forskellige formater og størrelser.

Sådan fungerer FTP

Filoverførsel er i sin mest basale form metoden til at flytte data fra et sted til et andet, som at vælge en bog fra en bibliotekshylde og tage den med hjem til din disk, hvor du derefter vil bruge den. Inden for databehandling styres filoverførsel af protokoller, der angiver, hvordan data overføres. Med det moderne cloud-miljø udvikler dataformularer sig konstant, og standardprotokoller skifter ligeledes for at tilpasse sig forskellige behov. Filoverførsel med cloud storage-udbydere er en almindelig use case for onlinefiler.

For at beskrive filoverførsel bruger dette afsnit FTP (File Transfer Protocol) som eksempel, selvom hver applikationslagsprotokol adskiller sig i sine nøjagtige specifikationer og anvendelse. FTP bruger TCP (Transmission Control Protocol) til at lette forbindelser med TCP/IP-adresser. TCP-forbindelser dirigeres i henhold til den angivne IP-adresse (Internet Protocol).

Du kan bruge FTP til at overføre filer over internettet, uanset om du ønsker at sende en fil fra din enhed til en anden eller hente en fil fra en anden enhed end din. For at udføre denne type filoverførsel bruger du en FTP-klient såsom FileZilla, WinSCP, PuTTY, Cyberduck eller et andet program. FTP-klienter tilbyder en grafisk brugergrænseflade til filoverførsel, men du kan også bruge kommandoen [.rt-script]ftp[.rt-script] fra en terminalsession.

FTP-klientgrænsefladen eller brugen af kommandoen [.rt-script]ftp[.rt-script] findes på computeren (klientenheden). Hvis du vil oprette en FTP-session, skal du bruge klientgrænsefladen eller kommandolinjen til at oprette kommunikation med fjernserveren (eller FTP-serveren) på den angivne port, som er port [.rt-script]21[.rt-script] til FTP. Når forbindelsen er etableret, sender klientenheden en anmodning om filoverførsel, herunder anmodninger om at sende data (sende filer til fjernværten) eller om at hente data (downloade filer fra fjernværten). FTP-forbindelsen letter overførslen af filer over det angivne portnummer som bestemt af netværksprotokollen.

Du kan bruge FTP i enten aktiv eller passiv tilstand. Aktiv tilstand gør det muligt for klienten at lytte efter dataforbindelser på den angivne port, hvorimod passiv tilstand får klienten til at starte dataforbindelsen, når serveren har angivet den påkrævede port. Hvis du bruger en firewall, gør passiv FTP det muligt for klientenheden at starte forbindelser i stedet for at lytte efter serverens forbindelsessvar.

FTP er ikke den eneste protokol, der er tilgængelig til dataoverførsel, og der er en række FTP-softwaremuligheder tilgængelige som desktop-applikationer, der kører FTP-tjenesten (inklusive muligheder for Windows, macOs, Linux og andre operativsystemer). Nogle webbrowsere inkluderer FTP-klienter.

Typer af filoverførselsprotokoller

Der findes en række forskellige filoverførselsprotokoller, herunder variationer af FTP (File Transfer Protocol) og andre typer dataoverførselsprotokoller. Hver overførselsprotokol opretter forbindelser på en bestemt port, der er konfigureret til at acceptere data:

FTP, som står for File Transfer Protocol, udfører filoverførsel i almindelig tekst ved hjælp af port [.rt-script]20[.rt-script] som datakanal, med port [.rt-script]21[.rt-script] som kontrolforbindelse.
Anonym FTP er en ukrypteret mulighed for anonym filoverførsel. Anonym FTP kører også på port [.rt-script]21[.rt-script].
SFTP, som ofte kaldes Secure File Transfer Protocol eller SSH File Transfer Protocol (Secure Shell FTP), giver krypteret dataoverførsel over SSH-port [.rt-script]22[.rt-script]. SFTP er blevet noget forældet til fordel for [.rt-script]rsync[.rt-script] og [.rt-script]scp[.rt-script].
FTPS eller FTP-SSL, som står for FTP Secure eller FTP over SSL/TLS, kører som standard på port [.rt-script]990[.rt-script].
FTPES, som er FTP eksplicit over SSL (Secure Sockets Layer), kører over en krypteret port [.rt-script]21[.rt-script]. Den bruger SSL/TLS (Transport Layer Security) for yderligere sikkerhed.

Andre typer dataoverførselsprotokoller omfatter følgende:

NBT er NetBIOS over TCP/IP-protokollen, der typisk bruges til intranet på Microsoft Systems. NBT giver mulighed for opdagelse af delte ressourcer i stedet for filoverførsel og bruger porte [.rt-script]137[.rt-script], [.rt-script]138[.rt-script] og [.rt-script]139[.rt-script].
NNTP, som står for Network News Transfer Protocol, overfører nyhedsartikler og bruger primært port [.rt-script]119[.rt-script], selvom det også kan bruge porte [.rt-script]443[.rt-script] og [.rt-script]563[.rt-script].
Rsync, som står for fjernsynkronisering, er en Linux-baseret tovejsoverførselsprotokol, der kan kopiere lokalt til eller fra en fjernskal. Den bruger port [.rt-script]22[.rt-script], hvis den tilsluttes via SSH eller port [.rt-script]873[.rt-script], når den bruger [.rt-script]rsync[.rt-script]-dæmonen.
SCP, som står for Secure Copy Protocol, er baseret på SSH og bruger SSH-sikkerhedsforanstaltninger til at kommunikere mellem en lokal vært og en fjernvært eller mellem to fjernværter. Den bruger port [.rt-script]22[.rt-script], som er standardporten for SSH.
SMB, Server Message Block-protokollen, giver mulighed for fil- og printerdeling mellem netværkscomputere på porte [.rt-script]139[.rt-script] og [.rt-script]445[.rt-script].
SMTP, som står for Simple Mail Transfer Protocol, er en e-mail-transmissionsprotokol, der typisk kører på port [.rt-script]587[.rt-script] eller [.rt-script]465[.rt-script], hvor port [.rt-script]587[.rt-script] tilbyder kryptering. SMTP kørte oprindeligt på port [.rt-script]25[.rt-script], og nogle installationer bruger stadig denne port.

Hver af disse protokoller varierer i sin nøjagtige funktionalitet. Afhængigt af typen af protokol og hvilken port der er i brug, skal du muligvis anvende yderligere sikkerhedsforanstaltninger for at beskytte dine kommunikationskanaler.

Risici for eksponering for filoverførselsport

Da hver af disse filoverførselsprotokoller fungerer over en port, er det en vigtig beskyttelsesopgave at sikre disse porte. En anbefalet praksis er at lukke unødvendige porte og begrænse overførsel over interne netværk eller en VPN for at forhindre aflytning af offentlig trafik. Kommunikationsprotokoller er mekanismen til dataoverførsel, men du som slutbruger skal bestemme, hvilke forholdsregler der skal implementeres for sikker filoverførsel.

Du kan bruge et kontinuerligt overvågningsværktøj som UpGuard BreachSight til at automatisere din overvågning af cybersikkerhedsrisici. BreachSight-automatisering identificerer sårbarheder i din eksterne angrebsflade og andre risici, der påvirker dine domæner. UpGuard scanner efter standardporte, der bruges af filoverførselsprotokoller, og vi giver brugerne besked, hvis deres porte er offentligt tilgængelige:

'FTP'-port åben
'FTP (anonym)'-port åben
'NetBIOS' havn åben
'Network News'-porten åben
'RSYNCD'-port åben
'Samba' havn åben
'SMTP'-port åben

Hvis du modtager åbningsresultaterne for 'FTP'-porten eller 'FTP (anonym)'-porten, ved du, at porten er eksponeret for det offentlige internet. I de fleste tilfælde er port [.rt-script]21[.rt-script] eksponeret, selvom vi også identificerer andre porte, der bruges med FTP. Da de fleste FTP-installationer er på standardporten, er filoverførsel med FTP let at finde og opsnappe som almindelige tekstdata. Opdater fra FTP til en krypteret metode (SFTP, FTSP eller FTPES) for at beskytte data under overførsel, og skift til filoverførsel via intranet eller med en VPN for yderligere sikkerhed.

Da NetBIOS er et ældre system med kendte svagheder, kan opretholdelse af brugen resultere i angreb på dit system. Den åbne 'netbios'-port identificerer, om NetBIOS-porte ([.rt-script]137[.rt-script], [.rt-script]138[.rt-script] og [.rt-script]139[.rt-script]) er offentligt tilgængelige. Hvis din organisation stadig bruger NetBIOS til at understøtte programmer, skal trafikken begrænses til interne netværk og VPN'er, og al offentlig trafik skal være lukket.

'Network News'-portens åbne søgning identificerer, at du har en eksponeret port, hvorigennem NNTP distribuerer og henter nye artikler. Hvis du vil forhindre uautoriseret adgang til følsomme data eller muligheden for, at en hacker kan distribuere malware via den åbne port, skal du lukke NNTP-porten ved at blokere trafik på port [.rt-script]119[.rt-script], medmindre det er nødvendigt for din organisation.

Ligesom FTP bør brugen af [.rt-script]rsync[.rt-script] til dataoverførsel begrænses til interne netværk og VPN'er. 'RSYNCD'-portens åbne søgning informerer dig om, at port [.rt-script]873[.rt-script] er offentligt tilgængelig, hvilket betyder, at almindelig tekst eller klartekstdata, der overføres med rsync, kan opsnappes af en angriber. Da [.rt-script]rsync[.rt-script] ikke giver kryptering eller kræver brugergodkendelse, bør enhver fildeling begrænses til VPN'er og interne netværk. Du kan indstille yderligere begrænsninger for at kræve SSH-forbindelser, begrænse adgangen til angivne IP-adresser og aktivere brugergodkendelse.

Samba er open source-implementeringen af SMB og kan fungere som en erstatning for ActiveDirectory på Linux-systemer. SMB bruger port [.rt-script]445[.rt-script] som standard, og 'Samba'-portens åbne søgning giver dig besked om, at port [.rt-script]445[.rt-script] er vist. SMB leverer ikke trafikkryptering, så enhver brug bør begrænses til interne netværk og VPN'er.

Hvis du modtager den åbne søgning af 'SMTP'-porten, får du besked om, hvilken eksponeret port der kører SMTP-tjenesten. SMTP giver ikke kryptering eller kræver godkendelse, hvilket gør en SMTP-server til et mål for dataeksfiltreringsangreb. Hvis du konfigurerer din SMTP-server til at kræve godkendelse med kryptering, kan du beskytte dit domæne mod brug som en spamserver, der kan føre til, at dit domæne føjes til en afvisningsliste for e-mail.

Med kontinuerlig overvågning fra UpGuard BreachSight behøver du ikke at vurdere dine udsatte porte manuelt. BreachSight scanner dine aktiver for at identificere udsatte porte og underrette dig om fundet.

Nuværende UpGuard-brugere kan logge ind og få adgang til deres risikoprofil i BreachSight for at vurdere, om nogen af de filoverførselsresultater, der henvises til i denne artikel, påvirker din organisations aktiver. Du kan også gennemgå andre potentielle eksponeringer, herunder databaseporte, WordPress-plugins og LDAP-porte.

Hvis du ikke er en nuværende UpGuard-bruger, og du vil gennemgå dine offentlige aktiver for disse resultater og mere, skal du tilmelde dig en prøveversion.

Sådan mindskes eksponeringsrisici på grund af filoverførsel

Enhver port, der er åben for det offentlige internet, kan være en angrebsvektor, som en ondsindet hacker kan bruge til at afbryde forretningsdriften. For at forhindre dataaflytning og -eksfiltrering kan du implementere følgende sikkerhedsforanstaltninger, der begrænser din porteksponering i forbindelse med filoverførselsbehov:

Luk alle porte, der ikke behøver at være åbne af forretningsmæssige årsager.
Opdater al software regelmæssigt, og sørg for, at alle kendte sårbarheder er rettet.
Brug firewalls og slutpunktsbeskyttelse til at begrænse uautoriseret trafik.
Implementerer virtuelle private netværk (VPN'er) for at levere en autoriseret tunnel til alle dataoverførselsformål og sikre, at din filoverførselssoftware deler kompatibilitet med VPN.
Kræv godkendelsesoplysninger til dataoverførsel.
Hvis du bruger [.rt-script]rsync[.rt-script], skal du sikre [.rt-script]rsync[.rt-script]-dæmonen.