Port ve servis

Açılış

Defne Hanım'ın envanterinde, rafın arkasında unutulmuş bir ağ depolama kutusu yeni bir satır olarak duruyordu. Teknisyen kutuyu incelemeye geldiğinde önce modemin ayarlarını açtı ve orada bir kural buldu: dışarıdan, internetten gelen ve belirli bir numaraya yönelen bağlantılar doğrudan o kutuya iletiliyordu. Birkaç yıl önce biri, eve gidince de dosyalara ulaşabilmek için kutunun uzaktan erişim özelliğini açmış, modemde de bunun için bir kapı aralamıştı. Sonra kimse hatırlamamıştı.

Kutunun yazılımı yıllardır güncellenmemişti. Ve kapı açıktı: dünyanın herhangi bir yerinden biri, büronun genel adresine o numarayla bağlandığında kutunun giriş ekranıyla karşılaşıyordu. Teknisyen kutunun kayıtlarına baktığında her gün yüzlerce başarısız giriş denemesi gördü. Kimse büroyu özel olarak hedeflememişti; internetteki otomatik tarayıcılar o kapıyı bulmuştu.

Adres paketi doğru binaya getiriyordu. Ama binada hangi kapının açık olduğunu başka bir numara belirliyordu. Bu ders o numarayı, portu, ve bir kapının ardında dinleyen servisi anlatıyor.

Tek fikir

Bir cihazdaki her ağ servisi kendi numaralı kapısından, yani portundan dinler. Dinleyen her port bir girişin olası kapısıdır; savunmanın ilk kuralı, gerekmeyen kapıları kapatmak ve gereken kapıların yalnız gereken kişilere açık olmasını sağlamaktır.

Nasıl çalışır

IP adresinin paketi doğru cihaza ulaştırdığını gördük. Oysa tek bir makinede birçok program ağla konuşur: tarayıcı web sayfalarını çeker, e-posta programı postaları indirir, bir güncelleme servisi yeni sürümleri sorar, belki bir paylaşım servisi dosya sunar. Cihaza ulaşan paketin hangi programa gideceğini bir numara söyler.

Bir porta bağlanılabilmesi için cihazda o portu bekleyen bir programın olması gerekir.

Hangi servisin hangi portu kullanacağı konusunda internet çapında bir düzen var.

Bu numaraların bir sözleşme olduğunu, bir zorunluluk olmadığını da bilmek gerekir. Bir servis istenirse başka bir portta da dinleyebilir; 443 numaralı portta her zaman bir web sitesi olmayabilir. İyi bilinen portlar bir tahmindir, bir kanıt değil.

Bir bağlantıda iki port vardır. Sunucu tarafındaki port, iyi bilinen bir port olabilir: senin tarayıcın bir siteye bağlandığında hedef port 443'tür. İstemci tarafındaki port ise dinamik aralıktan geçici olarak seçilir ve bağlantı bitince bırakılır. Bilgisayarındaki bağlantılara baktığında bu yüzden çok sayıda yüksek numaralı ve sürekli değişen port görürsün; bunlar senin dışarıya açtığın konuşmalardır, dışarıdan sana açılmış kapılar değil.

Güvenlik açısından asıl önemli olan, dinleyen servislerdir. Her dinleyen servis, ağdan gelen bir paketin bir programla doğrudan konuşabildiği bir noktadır. O programda bir zafiyet varsa, Modül 2'nin altıncı dersinde gördüğümüz gibi, bozuk bir girdi o porttan içeri girer. WannaCry tam olarak böyle yayıldı: dosya paylaşım servisinin dinlediği ve internete ya da kurum içi ağa açık kalan porta.

Sahada

Savunma

Port ve servisler için savunma, bir binanın kapılarını yönetmeye benzer ve üç soruyla ilerler.

Hangi kapılar açık? İlk adım, cihazlarda hangi servislerin hangi portlarda dinlediğini bilmektir. İşletim sisteminin kendi servisleri, kurulan programlar ve unutulmuş özellikler port açar. Bunları listelemek, Defne Hanım'ın kutusu gibi unutulmuş kapıları ortaya çıkarır.

Bu kapı gerekli mi? Kullanılmayan bir servis kapatıldığında, o servisteki bütün zafiyetler de ortadan kalkar. Bir servisi kapatmak, onu güncellemekten de güvenlidir, çünkü artık güncellenmesi gerekmez. Ama sistem servislerini rastgele kapatmak işletim sistemini bozabilir; neyin ne iş yaptığını öğrenmeden kapatma.

Bu kapı kime açık? Gerekli bir servis bile herkese açık olmak zorunda değildir. Selin'in veritabanı yalnız kendi bilgisayarından gelen bağlantıları dinleyebilir; bir dosya paylaşımı yalnız yerel ağdan ulaşılabilir; bir yönetim paneli yalnız belirli bilgisayarlardan açılabilir. Bilgisayarlardaki ve modemdeki güvenlik duvarları bu kararların uygulandığı yerdir; onlar ağ güvenliği seviyesinin konusu.

Ev ve küçük işyeri için en önemli kural basittir: modemde dışarıdan içeriye port yönlendirmesi yapma. Uzaktan erişim gerekiyorsa servisi internete açmak yerine, önce güvenli bir bağlantıyla ağın içine girilmesini sağlayan bir yöntem kullan. İnternete açık bir servis, Kaan'ın gördüğü gibi, saatler içinde bulunur ve dakikalar içinde denenmeye başlar.

Son olarak modemin kendisini kontrol et. Ev yönlendiricilerinin bazılarında, cihazların kendi kendine port açmasına izin veren otomatik bir özellik varsayılan olarak açık gelir. Bu özelliğin açık olup olmadığını bilmek ve gerekmiyorsa kapatmak, unutulmuş kapıların sayısını azaltır.

Uygulama

Şimdi sıra kendi makinende: hangi servis hangi portta dinliyor? Komutlar yalnız okur; hiçbir şeyi kapatman gerekmez.

Bir de modemine bak: yönetim sayfasına girme yetkin varsa, port yönlendirme ya da sanal sunucu bölümünde tanımlı bir kural olup olmadığını kontrol et. Yetkin yoksa, bunu evin ağından sorumlu kişiye sor.

Defter: Envanterde bilgisayar satırının yanına ağdaki herkese açık dinleyen portların listesi ve her birini hangi programın açtığı; modem satırının yanına dışarıdan içeriye port yönlendirmesi olup olmadığı. Araştırılacak tanımadık programlar tehditler bölümüne.

Hata köşesi

Etik ve sınırlar

Bu derste kendi bilgisayarının dinleyen portlarına baktın; bu tamamen senin hakkındır. Başka cihazların hangi portlarının açık olduğunu öğrenmek için kullanılan tarama araçları da var ve onları Seviye 3'te ve Seviye 8'de, kendi ağında ve yetkiyle nasıl kullanılacaklarıyla birlikte ele alacağız. Başkasına ait bir adresi ya da ağı taramak, sahibinin açık izni olmadan yapıldığında hem bir saldırının ilk adımı gibi görünür hem de hukuki sorun doğurabilir; iyi niyetle yapılmış bir tarama da karşı tarafın kayıtlarında bir saldırı denemesi olarak görünür. Bir iş yerinde tarama yapacaksan, bunun yazılı yetkisini ve kapsamını önceden alırsın. Bir kafede ya da ortak bir ağda başkalarının cihazlarının portlarına bakmak ise, ağa bağlanma iznin olsa bile, o cihazların sahiplerinin rızası olmadan yapılamaz.

Kapanış

1. Port, bir cihazdaki ağ trafiğini doğru programa yönlendiren numaradır; bir bağlantı her zaman bir adres ile bir port çiftine yapılır.
2. Dinleyen servis, bir portu açıp bağlantı bekleyen programdır ve ağdan gelen bir paketin doğrudan konuşabildiği bir noktadır; zafiyetler bu kapılardan içeri girer.
3. Savunma üç sorudur: hangi kapılar açık, bu kapı gerekli mi ve kime açık; ev ve küçük işyerinde dışarıdan içeriye port yönlendirmesi yapılmaz, uzaktan erişim güvenli bir yolla sağlanır.

Üç soru

1. Bir bilgisayarın bağlantı listesinde görülen çok sayıda yüksek numaralı port neden genellikle endişe verici değildir?
2. Defne Hanım'ın ağ depolama kutusu kimse büroyu hedef almadığı hâlde neden her gün giriş denemesi alıyordu?
3. Bir servisin dinlediği adres sütununda 127.0.0.1 ile 0.0.0.0 görmek arasındaki fark nedir?

Yanıtlar

1. Bu portların çoğu, bilgisayarın dışarıya açtığı bağlantılar için dinamik aralıktan geçici olarak seçilen istemci portlarıdır. Dışarıdan gelen bağlantıları beklemezler ve bağlantı bitince bırakılırlar. Güvenlik açısından önemli olan, gelen bağlantıları bekleyen dinleyen portlardır.
2. Modemde dışarıdan gelen bağlantıları kutuya yönlendiren bir kural vardı ve kutunun bir servisi internete açıktı. İnternetteki otomatik tarayıcılar bütün adresleri sürekli yokladığı için açık portu hedef seçmeden buldular ve giriş denemeye başladılar. Açık bir kapı bulunmak için tanınmaya gerek yoktur.
3. 127.0.0.1 yalnız bilgisayarın kendisini gösterir; o adreste dinleyen bir servise yalnız aynı bilgisayardaki programlar bağlanabilir. 0.0.0.0 ise bilgisayarın bütün ağ arayüzlerini gösterir; o adreste dinleyen bir servise aynı ağdaki herkes bağlanabilir. Selin'in kafedeki veritabanı ilk durumdan ikinci duruma çekilerek ağdaki yabancılara kapatıldı.

Sonraki derse köprü

Bu derste portlardan bağlantı kapısı olarak söz ettik. Ama bütün bağlantılar aynı biçimde kurulmaz. Bir web sayfası açılırken iki cihaz önce birbirine selam verir ve her paketin ulaştığını doğrular; bir görüntülü konuşmada ise paketler birbiri ardına, alınıp alınmadıkları sorulmadan gönderilir. Ders 3.4 bu iki yolu, TCP ve UDP protokollerini ve bağlantıyı başlatan üçlü el sıkışmayı ele alıyor.