Pressa no Setup, Brecha no sistema
- anzemis
- Jul 3
- 2 min read
A comunicação web ocorre, por meio das portas 80 e 443. A porta 80 é usada para tráfego HTTP, ou seja, não é criptografado e todas as informações transmitidas entre cliente e servidor podem ser interceptadas e lidas por terceiros. Já a porta 443 é reservada para HTTPS (HTTP Secure), que utiliza TLS para criptografar, protegendo os dados contra espionagem e manipulação, mas não quer dizer que somente o uso desta porta garanta segurança. Se a configuração TLS estiver incorreta ou houver vulnerabilidades na aplicação a conversa é outra!
A utilização da porta 80 para http e 443 para https não é por si só uma vulnerabilidade mas pode facilitar a vida de um atacante se combinado com outras falhas de segurança. As vezes, por conta do tempo dos projetos não nos atentamos para alguns requisitos básicos de setup. Como por exemplo, o uso da porta 80.
Sabemos que podemos ter uma referência com a utilização IANA (Internet Assigned Numbers Authority, uma autoridade mundial que supervisiona a atribuição de números na Internet), muitas vezes por falta de conhecimento ou até mesmo uma falta de visão é utilizada a porta 80 para softwares que manipulam informações extremamente delicadas, como mapeamento de ativos da empresa. Esses softwares possuem vulnerabilidades conhecidas que ssão facilmente descobertos por scanners que verificam as portas padrões e identificam serviços mal configurados expostos nelas, que se tornam alvos imediatos.
Inclusive, muitos ataques automatizados focam nas portas mais comuns como por exemplo um apache desatualizado.
Sabendo disso, qual o custo que temos para uma parada em seu ambiente de produção por má configuração de um porta padrão?
Interrupção total ou parcial dos serviços
Exposição de dados sensíveis
Roubo de informações de negócio
Comprometimento da rede interna
Perda de credibilidade e confiança do cliente
Como mitigar os riscos?
Não utilize as portas padrões sem necessidade e planejamento de segurança adequado para o monitoramento.
Mantenha os serviços atualizados
Implemente regras no firewall de acesso restritiva
Evite exporta interfaces administrativas em portas padrões (como painel de WordPress, CPanel, dentre outros).
Implemente autenticação e WAF.
