Monitor di rete

Porte in ascolto e connessioni senza ss né netstat

ss -tulpn risponde alla domanda di sicurezza più utile che esista: che cosa, su questa macchina, è raggiungibile dall’esterno? L’output è denso, scorre e va riletto ogni volta. Questa pagina presenta le stesse informazioni distese: i socket in ascolto con porta, protocollo, indirizzo di bind e processo corrispondente, seguiti dalle connessioni attualmente stabilite.

L’indirizzo di bind è il campo da leggere per primo e quello che più spesso sfugge. Un servizio su 127.0.0.1 è raggiungibile solo dalla macchina stessa; lo stesso servizio su 0.0.0.0 lo è da tutta internet, a meno che una regola del firewall non dica altro. Database, cache, message broker e interfacce di amministrazione finiscono esposti esattamente così, di solito perché una configurazione predefinita non è mai stata cambiata.

Leggete questa pagina accanto a quella di UFW. Il firewall dice quali porte dovrebbero essere aperte; questa dice che cosa è davvero in ascolto. Quando le due si contraddicono, è questo elenco a rispecchiare la realtà.