開いているポートを保護するための最良/一般的なオプションは何ですか? たとえば、Plex や Torrent の場合、いくつか考えられます:
- 難読化を助けるためにポート番号を標準からランダムな未使用のものに変更する
- ファイアウォールを設定して、有効なソース（つまりプレックス）のみに着信トラフィックを制限するが、偽装される可能性がある。
- VPN内で実行しますが、インターネットに面したVPNの方が注目度が高い可能性があります。
- 違反を阻止するためにVMでサービスを実行する
何か見落としているのでしょうか? Plex はすでに暗号化されていることは知っていますが、Plex の脆弱性が排除されるわけではありません。
答え1
開いているポートを保護するための最良/一般的なオプションは何ですか?
最も良い方法は、ポートをリッスンしているものを実行しないことです。必要なものだけを実行し、必要なインターフェースとポートをリッスンするものだけを実行することで、攻撃対象領域を制限することが、最初で最良の方法です。
その他の一般的なオプションには、
ルーターのポートをブロック/制限する
サービスが実行されているシステムでファイアウォールを構成し、システムのポートをブロック/制限します。このファイアウォールはウイルス対策パッケージの一部である場合があります。
ネットワーク上で監視ソフトウェアを実行して、A) トラフィックをログに記録して後で分析する、B) サービスからの IP やその他のブロックリストを更新して適用する、C) 着信トラフィックのパターンを探して異常が見つかった場合にアラートを送信する、
上記のいずれかを実行するデバイス（専用ファイアウォール、セキュリティデバイス）をルータとコアスイッチの間に挿入する
システム上のソフトウェアのブラックリスト化（特定の実行ファイルは実行できず、多くの場合、ウイルス対策ソフトウェアやその他のセキュリティ スイートと統合されている）
システム上のソフトウェアのホワイトリスト化（特定の実行可能ファイルのみ実行可能）
物理ネットワークトポロジまたはVLAN割り当てによるアクセス制限
ネットワークのエッジ（ルータとコア スイッチ上またはその間）で実行され、認証および暗号化された場合にのみ外部アクセスを許可する VPN/暗号化トンネル サービス。
難読化を助けるためにポート番号を標準からランダムな未使用のものに変更する
これは「隠蔽によるセキュリティ」であり、すべてのポートをチェックする意志の固い敵には影響しません。ただし、多くの自動攻撃を阻止し、ログに記録されるインシデントの数は減少する可能性があります。
これの本当の問題は、サービスが使用するポートを自分の側で変更できる一方で、クライアント側ではそれを制御できない可能性があり、中間のネットワークが標準ポートをブロックする可能性があることです。自宅で携帯電話接続から Plex にアクセスすると、443 以外のポートが携帯電話ネットワークによってブロックされていることがあります。一部のゲスト Wi-Fi ホットスポットでも同様です。
インサイダーVPNを実行しますが、インターネット向けのVPNの方が注目度が高い可能性があります。
すべてが背後にある単一の IP があると仮定すると、保護すべきネットワークへのエントリ ポイントは 1 つだけです。VPN は認証と暗号化を追加しますが、VPN の暗号化または認証が弱くない限り、VPN を使用しても悪影響はありません。
違反を阻止するためにVMでサービスを実行する
これは役に立つかもしれませんが、高度な攻撃者が VM 内でも利用できる Spectre などの CPU の脆弱性があります。極めて機密性の高いサービスは、独自の物理デバイスで最適に実行する必要があります。