19.3 Standardports-Spickzettel Dieser Spickzettel fasst wichtige Standardports kompakt zusammen. Er ist besonders wichtig für: - Firewall-Regeln - Fehlersuche - Protokollzuordnung - Sicherheitsfragen - Prüfungsaufgaben - Netzwerkdokumentation Merksatz: Ports zeigen, welcher Dienst auf einem Host angesprochen wird. Grundidee: Was ist ein Port? Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem System angesprochen wird. Beispiel: IP-Adresse: Welcher Host? Port: Welcher Dienst auf diesem Host? Beispiel: 192.168.1.10:443 Bedeutung: Host 192.168.1.10 Dienst auf Port 443 Merksatz: IP findet den Host. Port findet den Dienst. Port und OSI-Schicht Ports gehören zur Transportschicht. OSI-Schicht: Schicht 4 Protokolle: TCP UDP Merksatz: Ports sind Schicht 4. TCP und UDP bei Ports Ein Port allein reicht nicht immer aus. Wichtig ist auch, ob TCP oder UDP verwendet wird. Beispiel: TCP 53 und UDP 53 sind nicht dasselbe, auch wenn die Portnummer gleich ist. Merksatz: Portnummer immer zusammen mit TCP oder UDP betrachten. Well-Known Ports Well-Known Ports sind bekannte Standardports. Bereich: 0 bis 1023 Beispiele: TCP 22 SSH TCP 80 HTTP TCP 443 HTTPS UDP 53 DNS Merksatz: Well-Known Ports sind bekannte Dienstports. Registered Ports Registered Ports liegen im Bereich: 1024 bis 49151 Sie werden häufig von Anwendungen, Diensten oder Herstellern genutzt. Beispiele: TCP 3306 MySQL TCP 5432 PostgreSQL TCP 8080 alternativer HTTP-Port Merksatz: Registered Ports werden oft von Anwendungen genutzt. Dynamic oder Ephemeral Ports Dynamische Ports werden häufig für Clientverbindungen genutzt. Bereich: 49152 bis 65535 Beispiel: Client verbindet sich von zufälligem hohen Quellport zu Server TCP 443. Merksatz: Server lauscht meist auf bekanntem Port. Client nutzt oft dynamischen Quellport. Quellport und Zielport Bei einer Verbindung gibt es: Quell-IP Quellport Ziel-IP Zielport Beispiel: Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Bedeutung: Client nutzt dynamischen Quellport. Server nutzt Zielport HTTPS. Merksatz: Zielport zeigt meist den angesprochenen Dienst. Wichtige Standardports Gesamtübersicht Dienst Protokoll Port Zweck FTP Control TCP 21 klassische FTP-Steuerverbindung FTP Data TCP 20 klassische FTP-Datenverbindung im aktiven Modus SSH TCP 22 verschlüsselter Kommandozeilenzugriff Telnet TCP 23 unverschlüsselter Fernzugriff SMTP TCP 25 E-Mail-Versand zwischen Mailservern DNS UDP/TCP 53 Namensauflösung DHCP Server UDP 67 DHCP-Server DHCP Client UDP 68 DHCP-Client HTTP TCP 80 unverschlüsselte Webkommunikation POP3 TCP 110 E-Mail-Abruf NTP UDP 123 Zeitsynchronisation IMAP TCP 143 E-Mail-Abruf und Synchronisation SNMP UDP 161 Netzwerkmanagement SNMP Trap UDP 162 SNMP-Ereignismeldungen LDAP TCP/UDP 389 Verzeichnisdienst HTTPS TCP 443 verschlüsselte Webkommunikation SMB TCP 445 Datei- und Druckfreigaben SMTPS TCP 465 SMTP über TLS Syslog UDP 514 Logübertragung LDAPS TCP 636 LDAP über TLS IMAPS TCP 993 IMAP über TLS POP3S TCP 995 POP3 über TLS RDP TCP 3389 Remote Desktop PostgreSQL TCP 5432 Datenbankdienst HTTP Alternate TCP 8080 alternativer Webport Merksatz: Port, Protokoll und Dienst zusammen lernen. Webports Dienst Protokoll Port Bedeutung HTTP TCP 80 unverschlüsselte Webseite HTTPS TCP 443 verschlüsselte Webseite HTTP Alternate TCP 8080 alternativer Webdienst HTTPS Alternate TCP 8443 alternativer verschlüsselter Webdienst Merksatz: HTTP ist unverschlüsselt. HTTPS ist verschlüsselt. HTTP und HTTPS unterscheiden HTTP: Hypertext Transfer Protocol nutzt meist TCP 80 keine Transportverschlüsselung HTTPS: HTTP über TLS nutzt meist TCP 443 verschlüsselte Verbindung Merksatz: HTTPS = HTTP plus TLS. E-Mail-Ports Dienst Protokoll Port Zweck SMTP TCP 25 Mailserver zu Mailserver Submission TCP 587 E-Mail-Versand durch Clients mit Authentifizierung SMTPS TCP 465 SMTP über TLS POP3 TCP 110 E-Mail abrufen POP3S TCP 995 POP3 verschlüsselt IMAP TCP 143 E-Mail synchronisieren IMAPS TCP 993 IMAP verschlüsselt Merksatz: SMTP sendet. POP3 und IMAP empfangen. SMTP, POP3 und IMAP unterscheiden SMTP: E-Mails senden POP3: E-Mails abrufen, eher einfaches Herunterladen IMAP: E-Mails auf Server synchron verwalten Merksatz: SMTP raus. POP3 und IMAP rein. DNS-Ports Dienst Protokoll Port Zweck DNS UDP 53 normale DNS-Abfragen DNS TCP 53 große Antworten, Zonentransfers, bestimmte Spezialfälle Merksatz: DNS nutzt häufig UDP 53, kann aber auch TCP 53 nutzen. DHCP-Ports Dienst Protokoll Port Bedeutung DHCP Server UDP 67 Server empfängt Anfragen DHCP Client UDP 68 Client empfängt Antworten Merksatz: DHCP nutzt UDP 67 und 68. DHCP und Broadcast DHCP nutzt am Anfang Broadcast, weil der Client noch keine vollständige IP-Konfiguration hat. Ablauf: Discover Offer Request Acknowledge Merksatz: DHCP-DORA gehört zu UDP 67 und 68. Fernadministration-Ports Dienst Protokoll Port Sicherheit SSH TCP 22 verschlüsselt Telnet TCP 23 unverschlüsselt, unsicher RDP TCP 3389 verschlüsselt möglich, stark absichern Merksatz: SSH statt Telnet. RDP nicht offen ins Internet stellen. SSH SSH steht für: Secure Shell Standardport: TCP 22 Nutzung: sichere Kommandozeile SFTP SCP Administration von Servern und Netzwerkgeräten Merksatz: SSH = sicherer Fernzugriff über TCP 22. Telnet Telnet nutzt: TCP 23 Problem: unverschlüsselte Übertragung Risiko: Zugangsdaten können mitgelesen werden. Merksatz: Telnet ist unsicher und sollte vermieden werden. RDP RDP steht für: Remote Desktop Protocol Standardport: TCP 3389 Nutzung: grafischer Fernzugriff auf Windows-Systeme Sicherheit: möglichst über VPN, RDP-Gateway, MFA und Firewall-Beschränkung Merksatz: RDP = TCP 3389, aber nicht offen ins Internet. Dateiübertragungs- und Freigabeports Dienst Protokoll Port Zweck FTP Data TCP 20 FTP-Datenkanal aktiv FTP Control TCP 21 FTP-Steuerkanal SFTP TCP 22 Dateiübertragung über SSH FTPS TCP 21 oder 990 FTP mit TLS SMB TCP 445 Datei- und Druckfreigaben NFS TCP/UDP 2049 Unix-/Linux-Dateifreigaben Merksatz: SFTP nutzt SSH. SMB nutzt TCP 445. FTP, FTPS und SFTP FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS-Verschlüsselung nutzt FTP-Grundlage SFTP: Dateiübertragung über SSH nutzt TCP 22 Merksatz: FTPS ist FTP mit TLS. SFTP ist Dateiübertragung über SSH. SMB SMB steht für: Server Message Block Standardport: TCP 445 Nutzung: Windows-Dateifreigaben Druckerfreigaben Netzlaufwerke Merksatz: SMB = Dateifreigaben über TCP 445. NFS NFS steht für: Network File System Standardport: TCP/UDP 2049 Nutzung: Unix- und Linux-Dateifreigaben Serverfreigaben Virtualisierungsspeicher Backupziele Merksatz: NFS ist typisch für Unix- und Linux-Umgebungen. Verzeichnisdienst-Ports Dienst Protokoll Port Zweck LDAP TCP/UDP 389 Verzeichnisdienst LDAPS TCP 636 LDAP über TLS Kerberos TCP/UDP 88 Authentifizierungsprotokoll Merksatz: LDAP fragt Verzeichnisinformationen ab. Kerberos dient der Authentifizierung. LDAP und LDAPS LDAP: Lightweight Directory Access Protocol nutzt meist TCP/UDP 389 LDAPS: LDAP über TLS nutzt meist TCP 636 Merksatz: LDAPS = LDAP verschlüsselt. Kerberos Kerberos ist ein Authentifizierungsprotokoll. Standardport: TCP/UDP 88 Wichtig: Zeitabweichungen können Kerberos-Probleme verursachen. Merksatz: Kerberos braucht korrekte Zeit. Zeit und Management Dienst Protokoll Port Zweck NTP UDP 123 Zeitsynchronisation SNMP UDP 161 Netzwerkmanagement SNMP Trap UDP 162 Ereignismeldung vom Gerät Syslog UDP 514 Logübertragung Merksatz: NTP sorgt für gleiche Zeit. SNMP überwacht Geräte. Syslog sammelt Logs. NTP NTP steht für: Network Time Protocol Standardport: UDP 123 Wichtig für: Logs Zertifikate Kerberos Tickets Zeitstempel geplante Aufgaben Merksatz: Ohne korrekte Zeit wird Fehlersuche schwerer. SNMP SNMP steht für: Simple Network Management Protocol Standardports: UDP 161 für Abfragen UDP 162 für Traps Nutzung: Netzwerkgeräte überwachen Status abfragen Messwerte erfassen Ereignisse melden Merksatz: SNMP fragt ab, SNMP Trap meldet Ereignisse. Syslog Syslog dient zur Übertragung von Logmeldungen. Standardport: UDP 514 Nutzung: zentrale Logsammlung Firewall-Logs Switch-Logs Router-Logs Server-Logs Merksatz: Syslog transportiert Logmeldungen. Datenbankports Dienst Protokoll Port Zweck MySQL / MariaDB TCP 3306 Datenbankdienst PostgreSQL TCP 5432 Datenbankdienst Microsoft SQL Server TCP 1433 Datenbankdienst MongoDB TCP 27017 Datenbankdienst Merksatz: Datenbankports sollten nicht unnötig öffentlich erreichbar sein. Sicherheitsregel für Datenbankports Datenbanken sollten normalerweise nur erreichbar sein für: Anwendungserver Adminnetz Backupsysteme Monitoring Nicht sinnvoll: Datenbank direkt öffentlich ins Internet stellen. Merksatz: Datenbankports gehören nicht offen ins Internet. Typische Proxy- und Alternativports Dienst Protokoll Port Zweck HTTP Alternate TCP 8080 alternativer Webdienst HTTPS Alternate TCP 8443 alternativer HTTPS-Dienst Proxy TCP 3128 häufig genutzter Proxy-Port SOCKS Proxy TCP 1080 SOCKS-Proxy Merksatz: 8080 und 8443 werden oft für Weboberflächen oder Testdienste genutzt. Portbereiche kompakt Bereich Name Bedeutung 0 bis 1023 Well-Known Ports bekannte Systemdienste 1024 bis 49151 Registered Ports registrierte Anwendungsports 49152 bis 65535 Dynamic / Ephemeral Ports dynamische Clientports Merksatz: Niedrige Ports sind oft Serverdienste. Hohe Ports sind oft Client-Quellports. Ports in Firewall-Regeln Firewall-Regeln sollten enthalten: Quelle Ziel Protokoll Zielport Aktion Richtung Zweck Beispiel: Quelle Ziel Protokoll Port Aktion Zweck Client-Netz Webserver TCP 443 erlauben HTTPS-Zugriff Adminnetz Server TCP 22 erlauben SSH-Administration Internet Datenbank TCP 5432 blockieren Datenbank schützen Merksatz: Firewall-Regeln immer so genau wie möglich formulieren. Any-to-Any-Regeln Any-to-Any bedeutet: jede Quelle zu jedem Ziel Problem: sehr große Angriffsfläche schlechte Nachvollziehbarkeit unnötige Freigaben hohes Sicherheitsrisiko Merksatz: Any-to-Any ist fast immer kritisch. Ports bei Fehlersuche Wenn ein Dienst nicht erreichbar ist, prüfen: Läuft der Dienst? Lauscht der Dienst auf dem richtigen Port? Lauscht der Dienst auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Ist NAT oder Portweiterleitung korrekt? Stimmt TCP oder UDP? Zeigen Logs Fehler? Merksatz: Host erreichbar heißt nicht, dass der Port erreichbar ist. Typische Fehlerbilder mit Ports Fehlerbild Mögliche Ursache Ping funktioniert, Webseite nicht TCP 80 oder 443, Webdienst oder Firewall SSH nicht erreichbar TCP 22 blockiert, Dienst aus, falscher Port RDP nicht erreichbar TCP 3389 blockiert, RDP deaktiviert, VPN fehlt DNS funktioniert nicht UDP/TCP 53 blockiert oder DNS-Server falsch DHCP funktioniert nicht UDP 67/68, VLAN oder DHCP-Relay SMB-Freigabe nicht erreichbar TCP 445 blockiert oder Rechteproblem Mailversand schlägt fehl SMTP-Port, Authentifizierung oder Mailserver Datenbank nicht erreichbar Datenbankport, Firewall oder Dienststatus Merksatz: Bei Dienstproblemen immer Port, Protokoll und Dienststatus prüfen. TCP-Status kurz einordnen Status Bedeutung LISTEN Dienst wartet auf eingehende Verbindung ESTABLISHED Verbindung besteht SYN_SENT Verbindungsaufbau gestartet TIME_WAIT Verbindung wurde beendet, Wartephase CLOSE_WAIT Gegenseite hat beendet, lokale Anwendung noch nicht Merksatz: LISTEN zeigt: Ein Dienst wartet auf Verbindungen. Portscanner fachlich einordnen Ein Portscanner prüft, welche Ports auf einem Ziel erreichbar sind. Nutzung: Sicherheitsprüfung Fehlersuche Inventarisierung Prüfung von Firewall-Regeln Wichtig: Nur mit Erlaubnis einsetzen. Merksatz: Portscan zeigt erreichbare Dienste, aber nicht automatisch deren Sicherheit. Ports und Sicherheit Offene Ports bedeuten: ein Dienst ist erreichbar Risiko: Angriffsfläche steigt Sicherheitsmaßnahmen: nur notwendige Ports öffnen Dienste patchen starke Authentifizierung Firewall einschränken Logging aktivieren nicht benötigte Dienste deaktivieren keine Adminports öffentlich bereitstellen Merksatz: Jeder offene Port ist eine mögliche Angriffsfläche. Besonders kritische Ports Kritisch bei direkter Internet-Erreichbarkeit: TCP 22 SSH TCP 3389 RDP TCP 445 SMB TCP 3306 MySQL TCP 5432 PostgreSQL TCP 1433 Microsoft SQL Server TCP 23 Telnet Warum kritisch? Adminzugänge Dateifreigaben Datenbanken unverschlüsselte Protokolle häufige Angriffsziele Merksatz: Admin-, Datei- und Datenbankports nicht frei ins Internet stellen. Prüfungsfalle: Port offen bedeutet nicht Zugriff erlaubt Ein offener Port bedeutet: Dienst ist grundsätzlich erreichbar. Aber Zugriff kann trotzdem scheitern durch: falsche Zugangsdaten fehlende Rechte Anwendungskonfiguration Zertifikatsproblem IP-Beschränkung MFA Lizenz interne Fehlermeldung Merksatz: Port offen heißt nicht automatisch: Anwendung funktioniert vollständig. Prüfungsfalle: Ping ersetzt keinen Porttest Ping prüft ICMP. Ping prüft nicht automatisch, ob ein TCP- oder UDP-Dienst erreichbar ist. Beispiel: ping auf Webserver funktioniert aber TCP 443 ist blockiert Ergebnis: Webseite trotzdem nicht erreichbar. Merksatz: Ping prüft Host-Erreichbarkeit, nicht den Dienst. Prüfungsfalle: gleicher Port, anderes Protokoll Beispiel: DNS nutzt UDP 53 und DNS kann TCP 53 nutzen. Eine Firewall-Regel nur für TCP 53 reicht nicht immer aus. Merksatz: TCP und UDP getrennt beachten. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welchen Port nutzt SSH? - Welchen Port nutzt HTTPS? - Welchen Port nutzt RDP? - Welchen Port nutzt SMB? - Welche Ports nutzt DHCP? - Warum nutzt DNS UDP und TCP 53? - Warum ist Telnet unsicher? - Warum sollte RDP nicht direkt im Internet erreichbar sein? - Was ist der Unterschied zwischen Quellport und Zielport? - Was ist ein Well-Known Port? - Warum ist ein offener Datenbankport kritisch? - Warum ersetzt ping keinen Porttest? - Welche Angaben gehören in eine Firewall-Regel? Typische Prüfungsfallen TCP und UDP nicht angegeben. Portnummer richtig, aber falsches Protokoll. DNS nur als UDP betrachten, TCP 53 vergessen. DHCP-Ports 67 und 68 verwechseln. SSH und Telnet verwechseln. SFTP und FTPS verwechseln. SMTP, POP3 und IMAP verwechseln. RDP öffentlich erlauben. SMB öffentlich erlauben. Datenbankport öffentlich erlauben. Ping als Diensttest verstehen. Offenen Port mit erfolgreicher Anmeldung verwechseln. Merksatz: Portwissen muss immer mit Dienst, Protokoll und Sicherheitswirkung verbunden werden. IHK-sichere Kurzformulierung Ports dienen auf der Transportschicht zur Zuordnung von Netzwerkverkehr zu Diensten oder Prozessen. Ein Zielport zeigt meist den angesprochenen Dienst, zum Beispiel TCP 22 für SSH, TCP 443 für HTTPS, TCP 445 für SMB oder TCP 3389 für RDP. Dabei muss immer zwischen TCP und UDP unterschieden werden. DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. DHCP nutzt UDP 67 für den Server und UDP 68 für den Client. Offene Ports vergrößern die Angriffsfläche und sollten über Firewall-Regeln nur gezielt freigegeben werden. Besonders Admin-, Datei- und Datenbankports sollten nicht unnötig öffentlich erreichbar sein. Merksätze Port = Dienstadresse auf einem Host. Ports gehören zu OSI-Schicht 4. Port immer mit TCP oder UDP nennen. Zielport zeigt meist den Dienst. Quellport ist beim Client oft dynamisch. Well-Known Ports liegen bei 0 bis 1023. SSH nutzt TCP 22. Telnet nutzt TCP 23 und ist unsicher. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. SMTP nutzt TCP 25. Submission nutzt TCP 587. POP3 nutzt TCP 110. IMAP nutzt TCP 143. SMB nutzt TCP 445. RDP nutzt TCP 3389. NTP nutzt UDP 123. SNMP nutzt UDP 161 und 162. LDAP nutzt 389. LDAPS nutzt 636. Kerberos nutzt 88. MySQL nutzt TCP 3306. PostgreSQL nutzt TCP 5432. SFTP nutzt SSH und damit TCP 22. FTPS ist FTP mit TLS. FTP ist unverschlüsselt. Jeder offene Port ist Angriffsfläche. Ping ersetzt keinen Porttest. Port offen heißt nicht automatisch Anwendung funktioniert. Datenbankports nicht öffentlich freigeben. Adminports stark absichern. Firewall-Regeln genau formulieren. Any-to-Any ist kritisch.