Controleren of databasepoorten blootgesteld zijn aan internet

Waarom blootstelling ertoe doet

Databases en caches zijn bedoeld om door je eigen applicatie te worden gebruikt, niet door vreemden. Redis draait in standaardinstellingen vaak zonder wachtwoord, en een bereikbare MySQL- of PostgreSQL-poort nodigt uit tot het raden van wachtwoorden. Deze poorten buiten het openbare internet houden is een basale voorzorgsmaatregel.

Wat elk resultaat betekent

Een open poort betekent niet dat de database onbeschermd is. Authenticatie en hostregels kunnen de login nog steeds weigeren. Wel betekent het dat de dienst bereikbaar is en nader bekeken moet worden.

Typische oplossingen

1. Koppel de database aan localhost of aan een privénetwerk.
2. Voeg een firewallregel toe die de poort alleen toestaat vanaf je applicatieservers.
3. Controleer bij cloudservers ook de security group of de netwerk-ACL, naast de firewall van de host.
4. Scan opnieuw om te bevestigen dat de poort niet meer verschijnt.

Beperkingen van deze controle

Alleen de drie standaardpoorten worden getest. Een database op een aangepaste poort wordt niet gevonden. Gesloten, gefilterde en onbereikbare poorten geven hetzelfde lege resultaat. Een schone scan betekent dus alleen dat deze poorten vanaf hier geen verbinding hebben geaccepteerd, meer niet. Scan alleen servers die van jou zijn of die je beheert.

Wanneer blootstelling bewust is

Sommige opstellingen maken een database met opzet bereikbaar, bijvoorbeeld een beheerde dienst die verbindingen accepteert van een lijst toegestane adressen, of een replica waarmee andere regio’s verbinding maken. Dan is een open poort in deze scan te verwachten. De vraag die je moet stellen is of de toegestane lijst de toegang echt beperkt. Je controleert dat door te bevestigen dat de poort zich gedraagt zoals bedoeld vanaf adressen buiten die lijst.

Als je blootstelling niet bedoeld was, behandel een open databasepoort dan als een bevinding die je vandaag moet oplossen. Kijk daarna in de databaselogs naar verbindingspogingen van adressen die je niet herkent.