A cura del team tecnico di VAY · Aggiornata il
In breve
- Ogni porta esposta è un punto d'ingresso: va giustificata da un servizio che deve davvero essere pubblico.
- RDP (3389) esposto su Internet è tra le prime vie d'accesso usate negli attacchi ransomware.
- I database non devono mai essere raggiungibili direttamente da Internet.
- La soluzione non è spegnere i servizi, ma metterli dietro VPN, gateway o filtri per IP.
- Dopo ogni intervento su firewall e router conviene rifare la scansione delle porte.
Perché le porte aperte sono un rischio
Su Internet girano in continuazione scansioni automatiche che cercano servizi esposti. Quando trovano una porta aperta provano password comuni, credenziali rubate o vulnerabilità note del software in ascolto.
Il problema non è la porta in sé, ma ciò che c'è dietro: un servizio non aggiornato, una password debole o un pannello di amministrazione pensato per la rete interna. Le agenzie per la sicurezza informatica, come CISA e il CSIRT Italia, indicano i servizi di accesso remoto esposti tra le cause più frequenti degli incidenti.
Quali porte chiudere verso Internet
La tabella riassume le porte che troviamo più spesso aperte senza motivo sui server delle aziende, con il rischio e l'alternativa sicura.
| Porta | Servizio | Rischio | Alternativa sicura |
|---|---|---|---|
| 3389 | RDP (Desktop remoto) | Tentativi di accesso continui, vulnerabilità sfruttate dal ransomware | VPN, gateway RDP con autenticazione a più fattori |
| 445 / 139 | SMB (cartelle condivise) | Accesso ai file, diffusione di malware | Mai su Internet: solo rete interna o VPN |
| 135 | RPC di Windows | Informazioni sul sistema, vulnerabilità note | Chiusa verso l'esterno |
| 21 | FTP | Credenziali in chiaro | SFTP o condivisione cloud con permessi |
| 23 | Telnet | Credenziali e comandi in chiaro | SSH con chiavi, limitato per IP |
| 3306 / 1433 / 5432 | Database MySQL, SQL Server, PostgreSQL | Furto o cifratura dei dati | Accesso solo dall'applicazione o via VPN |
| 27017 / 6379 / 9200 | MongoDB, Redis, Elasticsearch | Spesso senza password nelle configurazioni predefinite | Solo rete interna |
| 5900 | VNC | Controllo remoto con password deboli | VPN e strumenti di assistenza gestiti |
3389
- Servizio
- RDP (Desktop remoto)
- Rischio
- Tentativi di accesso continui, vulnerabilità sfruttate dal ransomware
- Alternativa sicura
- VPN, gateway RDP con autenticazione a più fattori
445 / 139
- Servizio
- SMB (cartelle condivise)
- Rischio
- Accesso ai file, diffusione di malware
- Alternativa sicura
- Mai su Internet: solo rete interna o VPN
135
- Servizio
- RPC di Windows
- Rischio
- Informazioni sul sistema, vulnerabilità note
- Alternativa sicura
- Chiusa verso l'esterno
21
- Servizio
- FTP
- Rischio
- Credenziali in chiaro
- Alternativa sicura
- SFTP o condivisione cloud con permessi
23
- Servizio
- Telnet
- Rischio
- Credenziali e comandi in chiaro
- Alternativa sicura
- SSH con chiavi, limitato per IP
3306 / 1433 / 5432
- Servizio
- Database MySQL, SQL Server, PostgreSQL
- Rischio
- Furto o cifratura dei dati
- Alternativa sicura
- Accesso solo dall'applicazione o via VPN
27017 / 6379 / 9200
- Servizio
- MongoDB, Redis, Elasticsearch
- Rischio
- Spesso senza password nelle configurazioni predefinite
- Alternativa sicura
- Solo rete interna
5900
- Servizio
- VNC
- Rischio
- Controllo remoto con password deboli
- Alternativa sicura
- VPN e strumenti di assistenza gestiti
Porte come 443 (sito HTTPS), 25 e 587 (server di posta) o 22 (SSH protetto con chiavi e limitato per IP) possono restare aperte se servono davvero. Per il sito, verifica anche il certificato SSL.
Come verificare le porte aperte del server
- 1
Individua gli IP pubblici dell'azienda: la linea della sede, eventuali linee di backup, i server in cloud. Con l'IP lookup controlli a chi è intestato ogni indirizzo.
- 2
Esegui il port scanner online su ciascun IP: vedi cosa risponde da Internet, cioè quello che vede chiunque.
- 3
Per ogni porta aperta individua il servizio e il responsabile: chi l'ha aperta, quando e perché.
- 4
Confronta il risultato con la configurazione del firewall e del router: spesso ci sono regole di port forwarding dimenticate.
Esegui scansioni solo sui server della tua azienda o su quelli per cui hai l'autorizzazione del proprietario.
Come chiudere le porte senza fermare i servizi
Chiudere una porta di colpo può interrompere il lavoro di qualcuno. Conviene procedere per ordine, sostituendo l'accesso diretto con uno sicuro.
- 1
Per ogni porta decidi se il servizio deve essere pubblico. Se no, va chiuso verso Internet.
- 2
Se serve l'accesso da fuori (smart working, fornitori, assistenza), predisponi prima una VPN o un gateway con autenticazione a più fattori.
- 3
Comunica agli utenti il nuovo modo di collegarsi e fissa una data di passaggio.
- 4
Rimuovi la regola di port forwarding o di apertura dal firewall e dal router.
- 5
Se un accesso diretto è indispensabile, limitalo agli IP autorizzati.
- 6
Rifai la scansione con il port scanner e conserva il risultato come riferimento.
Dopo la chiusura: le verifiche da fare
- Controlla nei log se ci sono stati accessi riusciti dall'esterno mentre la porta era aperta: in quel caso va considerata una possibile compromissione.
- Aggiorna il software dei servizi rimasti esposti e verifica le versioni nel catalogo delle vulnerabilità sfruttate di CISA.
- Cambia le password degli account che usavano l'accesso diretto e attiva l'autenticazione a più fattori.
- Verifica che l'IP non sia finito in blacklist: un server compromesso spesso invia spam. Vedi IP o dominio in blacklist.
- Pianifica una scansione periodica, soprattutto dopo cambi di linea, router o fornitore.
Come dare accesso remoto in sicurezza
Chiudere le porte non significa rinunciare al lavoro da remoto o all'assistenza dei fornitori. Significa farli passare da un ingresso controllato, invece che da tante porte aperte sul server.
| Esigenza | Soluzione consigliata | Perché |
|---|---|---|
| Smart working su PC e server dell'ufficio | VPN aziendale con autenticazione a più fattori | Un solo punto d'accesso, protetto e tracciato |
| Desktop remoto per molti utenti | Gateway RDP o accesso tramite portale | RDP non è mai esposto direttamente su Internet |
| Assistenza dei fornitori | Accessi temporanei, nominativi e registrati | Si sa chi è entrato, quando e per quanto tempo |
| Scambio di file con clienti e partner | SFTP o condivisione cloud con permessi | Niente FTP in chiaro né cartelle SMB esposte |
| Gestione di apparati di rete e telecamere | Accesso solo dalla rete interna o via VPN | I pannelli di amministrazione non devono essere pubblici |
Smart working su PC e server dell'ufficio
- Soluzione consigliata
- VPN aziendale con autenticazione a più fattori
- Perché
- Un solo punto d'accesso, protetto e tracciato
Desktop remoto per molti utenti
- Soluzione consigliata
- Gateway RDP o accesso tramite portale
- Perché
- RDP non è mai esposto direttamente su Internet
Assistenza dei fornitori
- Soluzione consigliata
- Accessi temporanei, nominativi e registrati
- Perché
- Si sa chi è entrato, quando e per quanto tempo
Scambio di file con clienti e partner
- Soluzione consigliata
- SFTP o condivisione cloud con permessi
- Perché
- Niente FTP in chiaro né cartelle SMB esposte
Gestione di apparati di rete e telecamere
- Soluzione consigliata
- Accesso solo dalla rete interna o via VPN
- Perché
- I pannelli di amministrazione non devono essere pubblici
Gli accessi dei fornitori vanno trattati come quelli dei dipendenti: account personali, autenticazione a più fattori e disattivazione a fine incarico. Un account condiviso e mai chiuso è un'apertura permanente.
Cosa vediamo più spesso nelle aziende
Il caso più frequente è il desktop remoto aperto in fretta per lo smart working e mai più chiuso: una regola sul router che porta la 3389 dritta al server o a un PC dell'ufficio, con utenti e password che nessuno ha più cambiato.
Subito dopo vengono le aperture lasciate da interventi temporanei: un database esposto per un fornitore, un NAS raggiungibile per scaricare un backup, un pannello di amministrazione della telecamera o del centralino. Sono regole create per qualche ora che restano attive per anni.
Gli strumenti da usare
Domande frequenti
È legale fare la scansione delle porte del proprio server?
+
Sì, sui server della tua azienda o su quelli per cui hai l'autorizzazione del proprietario. Non va fatta su sistemi di terzi senza permesso.
Se una porta risulta chiusa, il servizio è sicuro?
+
Da Internet non è raggiungibile, ed è già molto. Resta raggiungibile dalla rete interna: se un PC dell'ufficio viene compromesso, i servizi interni vanno comunque protetti con aggiornamenti e password robuste.
Cambiare la porta di RDP o SSH risolve il problema?
+
Riduce i tentativi automatici, ma non li elimina: le scansioni trovano anche le porte non standard. La protezione vera è VPN, autenticazione a più fattori e filtri per IP.
Ogni quanto conviene verificare le porte aperte?
+
Dopo ogni modifica a firewall, router o servizi esposti e, in prevenzione, con cadenza regolare, per esempio mensile. Le aperture dimenticate sono quasi sempre il risultato di interventi temporanei mai chiusi.
Il firewall del provider basta a proteggere il server?
+
Dipende da come è configurato. Molti router forniti con la linea hanno regole di inoltro impostate durante l'installazione. La scansione dall'esterno mostra cosa è davvero raggiungibile, indipendentemente da cosa ci si aspetta.
Fonti
Preferisci che se ne occupi qualcuno?
I tecnici VAY gestiscono dominio, posta, server e sicurezza delle aziende clienti, con un unico referente.
Parla con un tecnico