gelöst Offener Port ohne Dienst IT-Sicherheit

Mitglied: decehakan

decehakan (Level 1) - Jetzt verbinden

19.09.2020 um 17:25 Uhr, 1269 Aufrufe, 8 Kommentare

Hallo Zusammen,

für die Zertifisierung von Webapplikation öffne ich in drei Monat Rythmus den Port 443/80 ,dabei läuft die Tomcat Applikation auf dem Port 8443 und auf dem Port 80/443 läuft keine Webapplikation.
Wie sieht es mit der Sicherheit aus ? Kann ein Angreifer über ein offenen Port wo kein Dienst läuft dennoch denn Server ein Schaden zufügen ? Oder anders gesagt, ist das Sicherheitsrisiko groß ?
In meinem Fall ist es ein kurzer Augenblick, dennoch habe ich darüber Gedanken gemacht und bin kein Sicherheitsprofi, daher die Frage an euch experts

Vielen Dank und Viele Grüße aus Antalya

decehakan
Mitglied: ChriBo
19.09.2020 um 17:39 Uhr
Hi,
für die Zertifisierung von Webapplikation öffne ich in drei Monat Rythmus den Port 443/80
was meinst du damit, bzw. was willst du genau machen ?
öffnest du die Ports eingehend oder ausgehend ?

CH
Bitte warten ..
Mitglied: Vision2015
19.09.2020 um 17:46 Uhr
moin...
Zitat von ChriBo:

Hi,
für die Zertifisierung von Webapplikation öffne ich in drei Monat Rythmus den Port 443/80
was meinst du damit, bzw. was willst du genau machen ?
öffnest du die Ports eingehend oder ausgehend ?
ich denke mal eingehend....

CH
Frank
Bitte warten ..
Mitglied: Vision2015
19.09.2020 um 17:47 Uhr
moin...
Zitat von decehakan:

Hallo Zusammen,

für die Zertifisierung von Webapplikation öffne ich in drei Monat Rythmus den Port 443/80 ,dabei läuft die Tomcat Applikation auf dem Port 8443 und auf dem Port 80/443 läuft keine Webapplikation.
Wie sieht es mit der Sicherheit aus ? Kann ein Angreifer über ein offenen Port wo kein Dienst läuft dennoch denn Server ein Schaden zufügen ? Oder anders gesagt, ist das Sicherheitsrisiko groß ?
In meinem Fall ist es ein kurzer Augenblick, dennoch habe ich darüber Gedanken gemacht und bin kein Sicherheitsprofi, daher die Frage an euch experts

Vielen Dank und Viele Grüße aus Antalya

decehakan

nein, kurzfristig ist das kein problem!


Frank
Bitte warten ..
Mitglied: tikayevent
LÖSUNG 19.09.2020, aktualisiert um 17:49 Uhr
@ChriBo: Er will sagen, dass er alle paar Monate seine Lets Encrypt-Zertifikate erneuern muss, was ja je nach Validierungsmethode eine eingehende Verbindung benötigt.

Ja, grundsätzlich sind zugängliche Ports auch ohne Dienst eine mögliche Einfallsquelle. Am Ende ist ja das System bzw. der Netzwerkstack ebenfalls mit in die Kommunikation involviert. Selbst ohne Dienst besteht die Gefahr, dass sich System oder Stack mit einer Verbindung beschäftigen und eventuelle Sicherheitslücken ausgenutzt werden können.

Daher immer schön alles aktuell halten, sprich Updates installieren, sobald diese verfügbar sind (gab gerade genau den Fall mit Shitrix) und nur die notwendigen Sachen reinlassen.

Für den Moment ist es aber harmlos, wenn du es so schnell wie möglich machst (also der komplette Prozess in unter einer Minute).
Bitte warten ..
Mitglied: StefanKittel
20.09.2020 um 11:13 Uhr
Zitat von decehakan:
Kann ein Angreifer über ein offenen Port wo kein Dienst läuft dennoch denn Server ein Schaden zufügen ?
Ja, denn der Webserver (oder was auch immer) nimmt die Verbindung ja an und verarbeitet diese.
Wenn der Angreifer eine Sicherheitslücke dort findet bist Du am Arsch.

Oder anders gesagt, ist das Sicherheitsrisiko groß ?
Ich würde das Risiko eher als gering einstufen.

Wie wäre es mit gekauften Zertifikaten?
15 Euro für 2 Jahre sind nun nicht so viel und man hat Ruhe.

Stefan
Bitte warten ..
Mitglied: tikayevent
20.09.2020 um 11:32 Uhr
Wie wäre es mit gekauften Zertifikaten?
15 Euro für 2 Jahre sind nun nicht so viel und man hat Ruhe.

*zonk* Die Browserhersteller haben die maximale Lebensdauer von Zertifikaten mit einem Ausstellungsdatum nach dem 1.9.2020 auf 398 Tage begrenzt. Zertifikate mit längerer Gültigkeit werden mit einem Zertifikatsfehler quittiert.
Bitte warten ..
Mitglied: StefanKittel
20.09.2020 um 12:08 Uhr
Zitat von tikayevent:
*zonk* Die Browserhersteller haben die maximale Lebensdauer von Zertifikaten mit einem Ausstellungsdatum nach dem 1.9.2020 auf 398 Tage begrenzt. Zertifikate mit längerer Gültigkeit werden mit einem Zertifikatsfehler quittiert.
Ich dachte 30.09.20?
Bitte warten ..
Heiß diskutierte Inhalte
Windows Server
Hyper-V Server vs Datacenter?
holliknolliFrageWindows Server26 Kommentare

Hallo, hat jemand Erfahrung mit dem - kostenlosen - Hyper-V-Server? Ich meine, warum teure Lizenzen für Datacenter zahlen, wenn ...

LAN, WAN, Wireless
Spanning Tree Probleme
gelöst predator66FrageLAN, WAN, Wireless12 Kommentare

Hallo, wir haben hier eigenartige Spanningtree Probleme, die wir zur Zeit nicht gelöst bekommen: New Root Port MAC ist ...

Notebook & Zubehör
Business Support HP, Dell, Lenovo etc
fuzzyLogicFrageNotebook & Zubehör10 Kommentare

Moin, ich arbeite derzeit fast ausschließlich mit HP und frage mich wie es auf Support Baustelle bei anderen Herstellern ...

Exchange Server
Zustellbestätigung deaktivieren
defiant01FrageExchange Server10 Kommentare

Hallo, ich stehe vor der Aufgabe bei einem Postfach die Zustellbestätigung für eingehende Mails zu deaktivieren. Der User geht ...

E-Mail
Ticketsystem mit mailflow
CraftdorFrageE-Mail8 Kommentare

Hallo, Ich bin auf der Suche nach einem Ticketsystem das am besten Freeware ist und einfach nur eine Ankommende ...

Netzwerkgrundlagen
PfSense Virtuele IP mit NAT auf eine IP im VLAN90 zum VLAN30
OIOOIOOIOIIOOOIIOIIOIOOOFrageNetzwerkgrundlagen8 Kommentare

Guten Tag, ich stehe hier mit einer neuen Herausforderung. Hab ein Internetradio, welches jedoch nur mit eine App gesteuert ...

Ähnliche Inhalte
Tipps & Tricks
IT-Sicherheit
gelöst RaucherbeinFrageTipps & Tricks13 Kommentare

Hi Leute. Ich bin seit geraumer Zeit im Netz auf der Suche nach brauchbaren Inhalten zum Thema IT-Sicherheit. Ich ...

Sicherheit

Erneuerung IT-Infrastruktur mit IT-Sicherheit im KMU Bereich

MasterPhilFrageSicherheit13 Kommentare

Moin, wir ziehen demnächst mit ca 100 Mann (Tendenz steigend) in ein neues Gebäude und möchte da auch die ...

Erkennung und -Abwehr

IT-Sicherheit: Fake Mail, - Analyse, - Schulungssystem

m4rc.xFrageErkennung und -Abwehr12 Kommentare

Hallo zusammen, für mein Abschlussprojekt hat mir mein Abteilungsleiter eine Projektidee in den Raum geworfen: Ein anderer IT-Leiter eines ...

Sicherheit

Vorschläge zur Verbesserung der IT Sicherheit

jktz84FrageSicherheit28 Kommentare

Hallo, ich würde euch gerne mal um eine Empfehlung bitten, wie die Sicherheit im Bezug auf Internetzugriff in meinem ...

Weiterbildung

2. IT Pro Night Thema Sicherheit

1Werner1InformationWeiterbildung

Moin, nach dem im letzten Jahr die IT ProNight ein voller Erfolg war, haben wir diese dies Jahr ins ...

Datenschutz

Frage zur IT-Sicherheit im HomeOffice

gelöst 136346FrageDatenschutz33 Kommentare

Liebe Community, Ich hätte eine Frage an euch zum Thema IT-Sicherheit im HomeOffice. Ich werde in wenigen Wochen eine ...

Berechtigungs- und IdentitätsmanagementBerechtigungs- und IdentitätsmanagementWebdienste und -serverWebdienste und -serverDatenbankenDatenbankenMonitoring & SupportMonitoring & SupportHybrid CloudHybrid CloudSmall Business ITSmall Business IT