Проверка, открыты ли порты баз данных для интернета

Почему важна открытость

Базы данных и кэши создаются для того, чтобы к ним обращалось ваше приложение, а не посторонние. Redis в настройках по умолчанию часто работает без пароля, а доступный порт MySQL или PostgreSQL провоцирует подбор паролей. Держать эти порты вне публичного интернета: базовая мера предосторожности.

Что означает каждый результат

Открытый порт не означает, что база данных не защищена. Аутентификация и правила для хостов по-прежнему могут отклонить вход. Он означает, что служба доступна и ее стоит проверить внимательнее.

Типичные исправления

1. Привяжите базу данных к localhost или приватной сети.
2. Добавьте правило брандмауэра, которое разрешает порт только с ваших серверов приложений.
3. Для облачных серверов проверьте также группу безопасности или сетевой ACL, а не только брандмауэр хоста.
4. Просканируйте снова, чтобы убедиться, что порт больше не отображается.

Ограничения этой проверки

Проверяются только три стандартных порта. База данных на нестандартном порту не обнаруживается. Закрытый, отфильтрованный и недоступный порт дают одинаковый пустой результат, поэтому чистое сканирование означает лишь, что эти порты не приняли подключение отсюда, и ничего больше. Сканируйте только серверы, которыми вы владеете или управляете.

Когда открытость намеренная

Некоторые конфигурации намеренно открывают базу данных, например управляемую службу, которая принимает подключения из списка разрешенных адресов, или реплику, к которой подключаются другие регионы. В этом случае открытый порт в сканировании ожидаем. Вопрос в том, действительно ли список разрешенных адресов ограничивает доступ. Проверить это можно, убедившись, что порт ведет себя так, как вы задумали, с адресов вне этого списка.

Если открытость не планировалась, считайте открытый порт базы данных проблемой, которую нужно исправить сегодня, а затем просмотрите журналы базы данных на предмет попыток подключения с адресов, которые вы не узнаете.