Netwerkpoorten en hacking – wat je echt moet weten

Netwerkpoorten kun je zien als digitale poortjes op een apparaat die bepalen welke diensten toegankelijk zijn via internet of een lokaal netwerk.

Elke poort correspondeert met een specifiek protocol of service, zoals webverkeer, e-mail of bestandsdeling. In het TCP/IP-model zorgen poortnummers ervoor dat inkomend verkeer naar de juiste applicatie op een systeem wordt geleid.

TCP vs. UDP: Twee veelgebruikte transportprotocollen zijn TCP en UDP. TCP (Transmission Control Protocol) biedt betrouwbare verbindingen met foutcorrectie en wordt gebruikt voor o.a. websites (HTTP/HTTPS) en e-mailverkeer (SMTP/IMAP) waarbij het belangrijk is dat alle data intact aankomt.

UDP (User Datagram Protocol) is “lichtgewicht” en sneller omdat het geen verbinding opzet en geen foutcontrole doet – dit protocol wordt ingezet waar snelheid belangrijker is dan betrouwbaarheid, zoals bij DNS-opzoekingen of live videostreaming.

Elke poort heeft een nummer tussen 0 en 65535. Poorten 0 t/m 1023 worden well-known ports genoemd: deze zijn officieel toegewezen aan veelgebruikte diensten. Zo gebruikt webverkeer via HTTP standaard poort 80 en HTTPS standaard poort 443. Poorten 1024 t/m 49151 heten registered ports en zijn toegewezen aan bepaalde toepassingen, terwijl poorten 49152 t/m 65535 dynamische of ephemeral ports zijn – deze worden vaak tijdelijk door client-systemen gebruikt.

Het onderscheid is belangrijk: well-known ports geven vaak meteen aan welke service er draait, terwijl hogere poorten meestal door clients of tijdelijke diensten worden gebruikt.

Communicatie op netwerkpoorten werkt doorgaans volgens het client-servermodel. Een client maakt verbinding met een server via een IP-adres én een poortnummer. De server “luistert” op die poort naar binnenkomende verbindingen. Bijvoorbeeld: een webbrowser (client) verbindt naar poort 80 op het serveradres om een website op te halen. Als een poort open staat op een systeem, betekent dit dat er een service actief luistert op die poort en verzoeken in behandeling neemt. Is een poort gesloten, dan wordt verkeer daarop genegeerd of expliciet geweigerd. Firewalls kunnen poorten ook filteren, waardoor het lijkt alsof er geen reactie komt.

Voor beveiliging is inzicht in open poorten essentieel. Elke open poort kan immers verraden welke software of dienst er op een systeem draait, en daarmee mogelijk wijzen op specifieke kwetsbaarheden. Zo kan een scanner die poort 80 open ziet, aannemen dat er een webserver draait – wellicht een Apache of Nginx – en vervolgens zoeken naar bekende exploits voor die servers. Het “aanvalsoppervlak” van een machine wordt voor een groot deel bepaald door welke poorten er openstaan. Daarom is het een best practice om alleen die poorten open te zetten die noodzakelijk zijn, en alle andere te sluiten of te blokkeren met een firewall.

De 21 meest gebruikte netwerkpoorten

Een overzicht van de meest voorkomende netwerkpoorten:

Poort 20/21 – FTP (File Transfer Protocol)

Protocol & gebruik: FTP is een oud protocol voor bestandsoverdracht tussen systemen. Het gebruikt twee poorten: standaard luistert een FTP-server op poort 21 voor commando’s en bestandsbeheer, terwijl poort 20 wordt gebruikt voor de daadwerkelijke data-overdracht in actieve modus. FTP was lange tijd de hoofdmethodiek om bestanden te uploaden of downloaden van servers.

Risico’s: Helaas is FTP van nature onveilig. Het protocol versleutelt namelijk niets: gebruikersnamen, wachtwoorden en bestandendata gaan in plain text over het netwerk. Dit betekent dat een kwaadwillende die netwerkverkeer onderschept (bijv. via een sniffer) alle FTP-inloggegevens en bestanden kan meelezen. Bovendien kent FTP geen ingebouwde authenticatie per bestand of directory behalve de basis login; er is geen versleuteling of integriteitscontrole. Dit maakt FTP vatbaar voor afluisteren en zogeheten man-in-the-middle-aanvallen waarbij een aanvaller de data onderweg kan manipuleren of stelen.

Ook brute-force aanvallen komen voor: aanvallers proberen daarbij veelvoorkomende wachtwoorden om toegang tot FTP-accounts te krijgen. Omdat FTP zo wijdverspreid was, zijn er in het verleden veel malwarecampagnes geweest die misbruik maakten van standaard FTP-inloggegevens of anonieme FTP-toegang.

Tegenwoordig is het af te raden om FTP zonder beveiliging te gebruiken. Beter is om over te stappen op SFTP (FTP over SSH) of FTPS (FTP over TLS) voor encryptie.

Aanvallerperspectief: Een open FTP-poort (21) op een server is voor een hacker een hint dat er mogelijk een legacy systeem of nonchalante configuratie is. Ze zullen proberen de banner van de FTP-service op te vragen (welke software en versie draait er) en bekende kwetsbaarheden of standaardwachtwoorden uit te buiten. Ook kunnen ze via FTP proberen toegang te krijgen tot webbestanden (als FTP voor websitebeheer wordt gebruikt) om webshells te plaatsen.

Poort 22 – SSH (Secure Shell)

Protocol & gebruik: SSH draait op poort 22 en is de beveiligde tegenhanger van Telnet. Het biedt versleutelde terminaltoegang tot een systeem. Beheerders gebruiken SSH om veilig op afstand in te loggen op servers en commando’s uit te voeren, code te uploaden, tunnels op te zetten, etc. Het is vrijwel onmisbaar voor Linux/Unix-beheer en is ook beschikbaar op Windows als OpenSSH. SSH gebruikt sterke encryptie (bijv. RSA of ECC voor sleuteluitwisseling en AES voor de datastream) zodat vertrouwelijke sessies niet afgeluisterd kunnen worden.

Risico’s: Hoewel SSH zelf veilig ontworpen is, proberen aanvallers toch vaak misbruik te maken van open SSH-poorten. De meest voorkomende aanval is een brute-force of dictionary attack op inloggegevens. Bots scannen het internet af naar systemen met port 22 open en proberen vervolgens veelvoorkomende combinaties van gebruikersnamen en wachtwoorden (zoals “root/root” of “admin/123456”). Als beheerders zwakke wachtwoorden hebben ingesteld of nog de default credentials gebruiken, kan een aanvaller zo binnenkomen.

Daarnaast komt het voor dat oudere versies van SSH-implementaties beveiligingsfouten hebben – bijvoorbeeld een kwetsbaarheid in een verouderde OpenSSH versie – maar dit is zeldzamer vergeleken met bijvoorbeeld exploits voor oude Telnet- of FTP-servers. Eenmaal binnen via SSH kan een hacker volledige controle over het systeem krijgen, aangezien SSH shell-toegang biedt. SSH wordt door hackers ook vaak gebruikt ná een inbraak: ze installeren hun eigen sleutel of account, zodat ze later via SSH weer op het systeem kunnen zonder opgemerkt te worden. Omdat SSH versleuteld is, valt hun verkeer dan minder op in logs.

Aanvallerperspectief: Een open poort 22 is vaak een teken van een server die van buitenaf beheerd wordt. Hackers zullen deze kans aangrijpen door geautomatiseerde tools te gebruiken om inlogpogingen te doen. De activiteit is hoog: uit onderzoek blijkt dat een server met een open RDP- of SSH-poort binnen enkele minuten al inlogpogingen krijgt vanaf het internet – ook SSH-servers ontkomen hier niet aan. Door sterke wachtwoorden of (beter nog) sleutel-gebaseerde authenticatie te gebruiken en inlogpogingen te beperken (bijvoorbeeld via fail2ban), kun je het risico verlagen.

Het gebruik van two-factor authentication en niet-standaard poortnummers (security through obscurity) kan iets helpen, maar vastberaden aanvallers zullen ook niet-standaard poorten scannen. Kortom, SSH is essentieel maar moet strak beveiligd worden.

Poort 23 – Telnet

Protocol & gebruik: Telnet is een oud protocol voor tekstgebaseerde remote toegang, vergelijkbaar met SSH maar zonder encryptie. Standaard luistert Telnet op poort 23. Vóór de komst van SSH was Telnet een hoofdtool voor netwerkbeheerders om op afstand in te loggen op routers, switches, servers en andere apparatuur via een command-line interface. Het is zeer eenvoudig: je krijgt een terminalprompt van het remote systeem alsof je er lokaal op ingelogd bent.

Risico’s: Telnet is berucht onveilig omdat alle communicatie in klare tekst over de lijn gaat, inclusief inlognamen en wachtwoorden. Dit betekent dat iedereen die het netwerkverkeer kan aftappen, direct je sessie kan lezen en de credentials kan stelen. In moderne netwerken is Telnet daardoor vrijwel overal uitgeschakeld of vervangen door SSH. Echter, in de wereld van IoT en oudere netwerkapparaten duikt Telnet nog vaak op. Veel “smart” apparaten, camera’s, routers en industriële systemen hebben nog Telnet actief met standaardwachtwoorden. Dit heeft geleid tot grootschalige aanvallen zoals de Mirai-botnet in 2016, die tientallen tot honderden duizenden IoT-apparaten infecteerde door simpelweg op poort 23 te proberen in te loggen met fabriekswachtwoorden. Telnet-poorten worden dus actief misbruikt door wormen en botnets om zwakke apparaten over te nemen.

Bovenop het afluisterrisico is Telnet ook kwetsbaar voor sessie-kaping (session hijacking), aangezien een aanvaller verkeer kan overnemen als hij ertussen weet te komen. En omdat er geen versleuteling is, is er geen bescherming tegen integriteitsaanvallen: commando’s kunnen onderweg gemanipuleerd worden.

Aanvallerperspectief: Een open Telnet-poort is voor een hacker als een uitnodiging. Het duidt vaak op een slecht onderhouden systeem. Een aanvaller zal eerst proberen in te loggen met triviale inloggegevens (admin/admin, root/geen wachtwoord, etc.). Gezien de eenvoud van Telnet, kan hij na inloggen volledige controle over het apparaat krijgen. Telnet-servers tonen vaak meteen een banner met het besturingssysteem of apparaatnaam, wat de hacker nog meer info geeft.

Kortom, Telnet moet je uitzetten of afschermen. Moderne aanbevelingen zijn om Telnet volledig te disablen ten gunste van SSHstream.security. Als er echt een legacy reden is om het te gebruiken, kan men Telnetverkeer eventueel in een VPN tunnel stoppen, maar direct open bloot op internet is het vragen om problemen.

Poort 25 – SMTP

Protocol & gebruik: Poort 25 is de standaardpoort voor SMTP (Simple Mail Transfer Protocol), het protocol waarmee e-mailservers onderling e-mails uitwisselen. Wanneer je een mail verstuurt, gaat deze meestal via poort 25 van jouw mailserver naar de mailserver van de ontvanger. SMTP op poort 25 wordt ook gebruikt door applicaties of apparaten (bijv. printers, webformulieren) die direct e-mail willen versturen naar een mailserver.

Risico’s: Omdat SMTP zo’n fundamenteel en oud protocol is, zijn er door de jaren heen allerlei misbruiken ontstaan. Een groot risico was lange tijd de open relay. Dat is een mailserver die mail van willemand accepteert en naar willemand doorstuurt. Spammers maken hier graag misbruik van: ze zoeken naar SMTP-servers die open relaying toestaan en gebruiken die dan als “uitzendstation” voor enorme hoeveelheden spam. Hierdoor lijkt de spam van een legitieme server te komen. Gelukkig hebben de meeste mailservers tegenwoordig open relays dichtgezet of vereisen ze authenticatie voor externe verzending. Modernere e-mailbeveiliging zoals SPF, DKIM en DMARC is ook ingevoerd om te zorgen dat alleen geautoriseerde servers mails voor een domein mogen sturen. Toch blijft het belangrijk om SMTP-servers goed te configureren; een misconfiguratie kan al snel betekenen dat jouw server op een blocklist belandt vanwege spamrelay.

Daarnaast is SMTP in basis niet versleuteld. E-mails tussen servers via poort 25 kunnen vaak opportunistisch TLS gebruiken (STARTTLS), maar als dat niet gebeurt, gaan ze in plaintext. Dit maakt afluisteren mogelijk als iemand het verkeer tussen twee mailservers onderschept. Voor client-naar-server verkeer zijn overigens andere poorten gangbaar (587 of 465 voor SMTP submission met verplicht TLS). Poort 25 wordt vooral tussen servers gebruikt.

Aanvallerperspectief: Een open poort 25 op een systeem wijst op een draaiende mailserver (bijv. Postfix, Exim, Exchange). Aanvallers zouden kunnen proberen gebruik te maken van bekende kwetsbaarheden in die mailserver-software (er zijn weleens exploits geweest voor bijv. buffer overflows in Exim of Sendmail). Ook kunnen ze testen of de server als open relay te misbruiken is – hoewel dit tegenwoordig minder vaak lukt, zijn verkeerde configuraties niet uit te sluiten. Verder is een SMTP-server een interessante bron van informatie: via vragen (SMTP VRFY of EXPN commando’s) proberen aanvallers soms gebruikersadressen op de server te achterhalen. Zulke commando’s zijn meestal uitgeschakeld op moderne setups.

Kortom, zorg dat je mailserver goed dichtgetimmerd is: geen open relay, authenticatie voor uitgaande mail, TLS afdwingen waar kan en updates draaien om kwetsbaarheden te patchen.

Poort 50 – IPSec (VPN verkeer)

Protocol & gebruik: Strikt genomen is “poort 50” hier een uitzondering: IPSec VPN-verkeer gebruikt eigenlijk geen TCP- of UDP-poort 50, maar IP-protocolnummer 50. Dat staat voor ESP (Encapsulating Security Payload), het protocol dat door IPsec VPN’s gebruikt wordt om gegevens versleuteld te verzenden. Ook IP-protocol 51 (AH, Authentication Header) en UDP poort 500 (voor de IKE-key exchange) zijn relevant voor IPsec. Desalniettemin noemen we hier port 50 omdat in security-scans verkeer gerelateerd aan IPsec zo geïdentificeerd kan worden. IPsec wordt veel gebruikt voor VPN’s (Virtual Private Networks) om twee netwerken of hosts veilig met elkaar te laten communiceren over het internet. Denk aan een bedrijfskantoor dat via een IPsec VPN verbindt met een cloudomgeving – die tunnel zorgt dat al het verkeer versleuteld is.

Risico’s: IPsec op zich gebruikt sterke cryptografie, maar kan doelwit zijn als de configuratie niet goed is of de implementatie lekken heeft. Kwetsbaarheden rond IPsec zitten vaak in de uitwisseling van sleutels (bijv. bugs in IKE-daemonen) of in te zwakke instellingen (verouderde encryptie-algoritmes). Als een aanvaller een VPN-poort ziet, kan hij proberen een DoS-aanval uit te voeren op de VPN-gateway of te proberen de authenticatie te kraken (bijvoorbeeld pre-shared keys brute-forcen als die zwak zijn). Ook bekend zijn aanvallen waarbij misconfiguraties worden misbruikt, zoals fouten in firewallregels die IPsec-verkeer doorlaten waar het niet zou moeten, of het lekken van VPN-credentials via social engineering. Verkeer op IP-protocol 50 zelf is versleuteld, dus daar valt voor een afluisteraar weinig uit te halen. De grootste risico’s zijn dus eerder: zwakke VPN-wachtwoorden, certificate issues of outdated software met exploits.

Aanvallerperspectief: Als een hacker ziet dat poort 500/UDP (IKE) of IP-protocol 50 openstaat op een doelwit, weet hij dat er waarschijnlijk een VPN draait. Hij zal mogelijk specifieke tools inzetten om de VPN te fuzz’en op bekende issues, of proberen inloggegevens te achterhalen. Bijvoorbeeld, er zijn tools om met brute force VPN-accounts te proberen (op basis van gebruikersnamen/wachtwoorden als de VPN die gebruikt voor authenticatie). Eenmaal binnen op een IPsec VPN kan een aanvaller vaak bij interne netwerksegmenten komen, dus het is een zeer aantrekkelijk doelwit. Vandaar dat bedrijven sterk worden aangeraden om multifactorauthenticatie op VPN’s te verplichten en goed te loggen welke accounts inloggen.

Poort 53 – DNS

Protocol & gebruik: DNS (Domain Name System) gebruikt poort 53 om domeinnamen te vertalen naar IP-adressen. Het is een van de fundamenten van het internet: elke keer dat je een website bezoekt, doet je apparaat een DNS-lookup op de domeinnaam (bijv. example.com) om het bijbehorende IP-adres te verkrijgen. Standaard gebruikt DNS het UDP-protocol op poort 53, omdat DNS-queries meestal klein zijn en snelheid belangrijk is. In sommige gevallen (bij grote DNS-antwoorden of bij zone transfers tussen DNS-servers) wordt TCP op poort 53 gebruikt.

Risico’s: DNS is een publiek protocol en draait vaak op nameservers die open internettoegang hebben. Dit brengt een paar risico’s met zich mee:

• DNS Spoofing / Cache Poisoning: Aanvallers kunnen proberen valse DNS-antwoorden in de cache van een resolver te injecteren, zodat gebruikers naar verkeerde (malafide) IP-adressen worden gestuurd. Bijvoorbeeld de klassieke Kaminsky-attack maakte misbruik van zwakke transaction ID’s om DNS-servers te vergiftigen. Een geslaagde DNS-spoof kan verkeer omleiden naar een phishing-website of malwareserver.
• DDoS Amplificatie: DNS is berucht om zijn misbruik in DDoS-aanvallen. Een aanvaller stuurt kleine DNS-vragen met als afzender het IP van het slachtoffer, naar open DNS-servers. Die servers reageren met veel grotere DNS-antwoorden richting het slachtoffer, wat diens netwerk overspoelt. Dit is de DNS amplification attack. Vooral de ANY query of misbruik van DNSSEC-records kan enorme antwoorden genereren. In 2023 is een grote toename in DNS-amplificatie-aanvallen gezien, met bijna 958% stijging in volume ten opzichte van het kwartaal ervoor.
• Informatielekken: Open DNS-servers (recursors) die ook door onbevoegden gebruikt kunnen worden, kunnen misbruikt worden voor het uitvragen van interne hostnames of voor zogenaamde subdomain enumeration. Hoewel dat voor een hacker minder interessant is dan directe exploits, kan het wel context bieden over een doelwit.

Aanvallerperspectief: Een open DNS-poort op een server maakt hackers alert. Het kan duiden op een DNS-server die mogelijk verkeerd geconfigureerd is (bijv. een recursor die ook queries van buiten beantwoordt). Zo’n open resolver is een potentieel wapen voor DDoS (de hacker kan hem gebruiken in amplificatie-aanvallen) en bovendien een doelwit om cache poisoning tegen te proberen. Aanvallers beschikken over toolkits om DNS-servers te testen op bekende kwetsbaarheden (bijvoorbeeld oude BIND-software had eerder wel eens remote exploits). Daarnaast zullen ze misschien proberen zone transfers uit te voeren (AXFR requests) als de server autoritatief is, om zo alle DNS-records van een domein te stelen. Dit laatste voorkom je door zone transfers alleen toe te staan vanaf specifieke secundaire DNS-servers.

Voor verdedigers is het zaak om ervoor te zorgen dat jouw DNS-server:

• Recursieve lookups alleen toestaat voor eigen cliënten (niet open voor de hele wereld)
• Up-to-date is zodat bekende DNS-kwetsbaarheden gepatcht zijn
• Eventueel DNSSEC implementeert om spoofing tegen te gaan, hoewel dat weer eigen risico’s heeft als het verkeerd geconfigureerd is.

Poort 67/68 – DHCP

Protocol & gebruik: DHCP (Dynamic Host Configuration Protocol) werkt op poort 67/UDP (server-side) en poort 68/UDP (client-side). Via DHCP krijgen apparaten in een netwerk automatisch een IP-adres en andere netwerkconfiguraties (gateway, DNS, etc.). Wanneer een nieuw apparaat op het netwerk komt, stuurt het een broadcast DHCP-request (vanuit UDP bronpoort 68 naar bestemming 67); een DHCP-server antwoordt vanaf poort 67 naar poort 68 van de client met de config. DHCP is onmisbaar in vrijwel elk lokaal netwerk om IP-configuratie te automatiseren.

Risico’s: In een afgesloten lokaal netwerk is DHCP handig, maar het protocol vertrouwt in principe op broadcast-communicatie en heeft geen ingebouwde authenticatie. Dit opent de deur voor twee klassieke aanvallen:

• DHCP Spoofing (Rogue DHCP Server): Een aanvaller plaatst een eigen DHCP-server in het netwerk die sneller reageert dan de legitieme. Nieuwe (of herstartende) clients kunnen dan IP-instellingen van de valse server krijgen. De aanvaller kan zo bijvoorbeeld als gateway een kwaadwillig IP opgeven, zodat al het verkeer via een machine van de aanvaller loopt (Man-in-the-Middle). Of de aanvaller geeft een verkeerde DNS-server die naar phishing-sites wijst. Kortom, door een rogue DHCP server kan een aanvaller de netwerkconfiguratie van clients kapen.
• DHCP Starvation: Dit is een Denial-of-Service techniek waarbij een aanvaller een groot aantal DHCP-aanvragen doet met steeds andere (valse) MAC-adressen, om zo het IP-adresbereik van de DHCP-server uit te putten. Als alle beschikbare adressen “vergeven” zijn aan niet-bestaande clients, kan de echte DHCP-server geen adressen meer uitdelen aan legitieme gebruikers. Die zitten dan zonder netwerkverbinding. Dit is relatief eenvoudig uit te voeren met tools als Yersinia of scapy-scripts.

Omdat DHCP normaal gesproken alleen binnen één LAN segment werkt (het is niet routbaar), is de impact extern beperkt – een internet-hacker kan je DHCP-server meestal niet direct bereiken tenzij er een misconfiguratie is. Maar insider threats of geïnfecteerde machines binnen het netwerk kunnen bovenstaande aanvallen uitvoeren.

Aanvallerperspectief: Als een hacker al toegang heeft tot een netwerk (bijv. via wifi of een binnengedrongen apparaat), is een van de eerste stappen vaak DHCP spoofing. Het stelt hem in staat om de traffic van andere clients te monitoren of om hen naar exploits te leiden (door bijv. een valse DNS te geven die populaire sites naar exploitservers laat wijzen). Tools voor DHCP spoofing zijn vrij beschikbaar. Verdere geavanceerde trucs zijn bijv. het combineren met ARP spoofing om verkeer te kapen als een client toch statisch IP heeft.

Verdediging: Segmenteer netwerken en gebruik DHCP Snooping (een feature op veel managed switches) om ongeautoriseerde DHCP-servers te blokkeren. DHCP Snooping houdt bij welke switchpoorten de echte DHCP-server mag zijn en dropt DHCP-offers van andere poorten. Ook kun je met 802.1X zorgen dat alleen geauthenticeerde devices het netwerk op mogen, zodat een rogue device geen kans krijgt.

Poort 69 – TFTP

Protocol & gebruik: TFTP (Trivial File Transfer Protocol) luistert op UDP poort 69. Het is een erg eenvoudig bestandsoverdrachtprotocol, nog eenvoudiger dan FTP. TFTP biedt geen authenticatie of listing van directories; het kan alleen een specifiek bestand lezen of schrijven als je de bestandsnaam kent. Het wordt voornamelijk gebruikt binnen lokale netwerken, bijvoorbeeld om netwerkapparatuur automatisch firmware of configuraties te laten ophalen (PXE-boot voor computers, of een router die zijn configuratiebestand ophaalt van een TFTP-server). Juist door die eenvoud zit TFTP vaak ingebakken in embedded devices.

Risico’s: De eenvoud van TFTP is tegelijk de achilleshiel op beveiligingsvlak. Er is geen login, geen encryptie en geen rechtenbeheer. Als een TFTP-server draait en toegankelijk is, kan in principe iedereen die het IP weet proberen een bekend bestandsnaam op te vragen. In het gunstigste geval staat de TFTP-server zo ingesteld dat hij alleen een specifiek directory’tje serveert of alleen lezen toestaat voor bepaalde files. Maar er zijn legio voorbeelden van misconfiguraties waarbij gevoelige bestanden uitleesbaar waren. Bijvoorbeeld: Cisco routers hadden vroeger standaard TFTP aan voor back-up van config; als dat openstond, kon een aanvaller simpelweg startup-config opvragen via TFTP en daarmee alle wachtwoorden in het config bemachtigen.

Een ander risico is dat TFTP geen integriteitscontrole heeft. Iemand zou onderweg pakketjes kunnen manipuleren (hoewel dat binnen een LAN lastiger is tenzij de aanvaller al in dat LAN zit). TFTP is UDP gebaseerd, dus forgery is denkbaar. Ook kan een kwaadwillende proberen een TFTP-server te overspoelen met requests, maar gezien TFTP weinig resources vergt, is dat niet zo effectief als DoS-vector.

Aanvallerperspectief: Een open poort 69 is een aanwijzing dat er TFTP draait – wellicht voor legitime doeleinden zoals telefoons die config ophalen. Maar een hacker zal zeker checken welke bestanden toegankelijk zijn. Ze gebruiken tools of zelfs standaard TFTP-clients om anonieme lees-/schrijf-acties te proberen. Daarbij gokken ze op bestandsnamen als config.cfg, backup.img, firmware.bin etc. als ze iets over de omgeving weten. Ook kunnen ze proberen een kwaadaardig bestand op de server te zetten (als schrijven toegestaan is) in de hoop dat een apparaat dat laadt. Dit laatste is minder gebruikelijk maar niet onmogelijk, denk aan een bootserver die via TFTP OS-images levert – een attacker zou een gemanipuleerd image kunnen droppen als er geen authenticatie is.

Verdediging: Gebruik TFTP nooit open naar internet. Hou het beperkt tot interne netwerksegments en liefst achter een firewall. En als het niet nodig is, schakel de TFTP-service uit of gebruik alternatieven met auth (SFTP, SCP).

Poort 80 – HTTP

Protocol & gebruik: Poort 80 is de standaardpoort voor HTTP, het ongecodeerde webverkeer. Wanneer je in een browser “http://” intypt of op een link zonder HTTPS klikt, maakt de browser verbinding op poort 80 van de webserver. HTTP is het protocol waarmee webpagina’s (HTML, CSS, afbeeldingen, etc.) worden overgebracht. In de begindagen van het internet was al het webverkeer via HTTP (plaintext). Tegenwoordig wordt om veiligheidsredenen bijna overal HTTPS gebruikt, maar poort 80 blijft van belang: vaak draait er nog wel een webservice op die poort die alleen maar doorverwijst (redirect) naar de beveiligde 443, of in interne netwerken voor simpele webinterfaces.

Risico’s: Het grootste risico van HTTP is gebrek aan encryptie. Alle data gaat als leesbare tekst over de lijn. Daardoor kunnen gevoelige gegevens zoals wachtwoorden, sessiecookies of persoonlijke informatie eenvoudig door derden worden onderschept als men op hetzelfde netwerk zit (denk aan open wifi) of ergens onderweg tussen client en server toegang heeft tot de verbinding. Een klassieke aanval is de Man-in-the-Middle: een aanvaller plaatst zich tussen de gebruiker en de website (bijv. via ARP spoofing in een LAN, of controle over een router) en leest of wijzigt het verkeer. Met HTTP kan hij onopgemerkt content manipuleren (bijv. kwaadaardige JavaScript injecteren in een pagina) of de gebruiker naar een andere pagina leiden zonder dat die het merkt.

Een ander gevaar is dat gebruikers vaak niet goed opletten of de verbinding beveiligd is. Dit maakt phishing makkelijker: een nepwebsite op http kan eruitzien als een echte, en als gebruikers niet op het slotje letten, geven ze mogelijk hun credentials af. Ook kon vroeger op openbare wifi met tools als Firesheep iemands sessiecookies gekaapt worden om in te loggen op zijn accounts (session hijacking), precies doordat sites nog op HTTP draaiden.

Modernere aanvallen: Zelfs als een site voornamelijk HTTPS afdwingt, kan een aanvaller via poort 80 proberen SSL stripping toe te passen. Hierbij onderschept de aanvaller een gebruikersverzoek naar een HTTPS-site en serveert hem een HTTP-versie, zodat de gebruiker onbedoeld zijn verkeer onversleuteld door de aanvaller laat lopen. Dit lukt alleen als de site niet HSTS (HTTP Strict Transport Security) gebruikt en de gebruiker via een onbeveiligd kanaal begint. Veel sites redirecten meteen naar HTTPS, maar die eerste redirect van poort 80 kan weggekaapt worden als de aanvaller ertussen zit.

Aanvallerperspectief: Een open poort 80 betekent vaak dat er een webserver draait. Hackers zullen in eerste instantie via HTTP proberen te verbinden en banners of pagina’s opvragen om te zien om welke server het gaat (Apache, nginx, IIS, een applicatie als WordPress, JBoss etc.). Vervolgens kunnen ze bekende kwetsbaarheden proberen, zoals oude CMS-exploits, directory listings, SQL-injectie op formulieren, noem maar op. Ook als de site normaliter op 443 draait, kan poort 80 hint geven over verouderde pagina’s of extra vhosts. Aanvallers hebben scanners (zoals nikto, OpenVAS) die automatisch op poort 80 bekende issues checken.

Kortom: Poort 80 is tegenwoordig een potentieel ingangspunt als het beveiligde deel faalt. De beste praktijk is om zoveel mogelijk verkeer naar 443 om te leiden en op poort 80 zelf niets gevoeligs te hosten. En uiteraard de webapplicatie up-to-date houden.

Poort 110 – POP3

Protocol & gebruik: POP3 (Post Office Protocol v3) draait standaard op poort 110 en wordt gebruikt door e-mailclients om e-mail op te halen van een mailserver. Het idee van POP3 is dat het je mailbox op de server leegmaakt: mails worden gedownload naar de client en meestal van de server gewist. POP3 is wat ouderwets in vergelijking met IMAP (waarbij mails op de server blijven staan en gesynchroniseerd worden tussen apparaten), maar wordt nog wel gebruikt in eenvoudige situaties of waar slechts één apparaat mail ophaalt.

Risico’s: POP3 in zijn basisvorm (op poort 110) is onbeveiligd: de login en e-mails worden in plaintext verzonden. Dit betekent dat als POP3 zonder TLS wordt gebruikt, een afluisteraar gebruikersnaam, wachtwoord en de volledige inhoud van mails zou kunnen onderscheppen. Gezien e-mail vaak vertrouwelijke informatie bevat en hetzelfde wachtwoord misschien ook voor andere diensten wordt gebruikt, is dit riskant. Daarom ondersteunen vrijwel alle mailservers en -clients tegenwoordig POP3 over TLS (POP3S), meestal via poort 995 of via STARTTLS op poort 110. In praktijk zou dus niemand meer plain POP3 moeten gebruiken – maar uit metingen blijkt dat er anno eind 2024 nog steeds miljoenen servers zijn die onversleutelde POP3/IMAP toelaten, waarschijnlijk voor legacy redenen.

Een ander issue is dat POP3 meestal basale AUTH alleen heeft (USER/PASS). Er is wel een variant APOP voor iets veiligere auth, maar dat lost het transportprobleem niet op. Verder hebben mailservers die POP3 aanbieden soms specifieke vulnerabilities gehad (bijv. bufferoverflows in oude POP3 daemons), al is dat minder common tegenwoordig.

Aanvallerperspectief: Als een hacker ziet dat poort 110 openstaat, weet hij dat er een mailservice draait, waarschijnlijk voor gebruikers om mail te downloaden. Mogelijk kan hij met brute-force of credential stuffing proberen in te loggen op accounts (zeker als er geen lockout is en als hij usernamen kent). Ook zou hij kunnen kijken of de server CAPA (capabilities) toont dat STARTTLS niet verplicht is – in zo’n geval zou hij een man-in-the-middle kunnen doen en de gebruiker verleiden om onversleuteld in te loggen, zodat hij de credentials steelt. Dit is echter meer een scenario bij actieve tussenkomst. Simpelweg op poort 110 connecten en ‘USER’ commando’s proberen met veelvoorkomende namen is eenvoudiger.

Voor de verdediger is het advies: zet plain POP3 uit, forceer TLS, en gebruik eventueel moderne alternatieven (IMAP) tenzij POP3 om specifieke redenen nodig is. En monitor op brute-force pogingen.

Poort 119 – NNTP

Protocol & gebruik: Poort 119 is voor NNTP (Network News Transfer Protocol), het protocol voor Usenet nieuwsgroepen. Vóór de opkomst van webforums en social media was Usenet een belangrijk wereldwijd discussieplatform, waarbij servers nieuwsartikelen uitwisselen. NNTP wordt ook wel gebruikt voor interne discussieservers. Het protocol lijkt op e-mail in de manier van berichten, maar technisch gaat het anders. Poort 119 is de standaardpoort voor onbeveiligde NNTP (er is ook een poort 563 voor NNTP over SSL).

Risico’s: NNTP is tegenwoordig een stuk minder gangbaar. Veel organisaties draaien helemaal geen NNTP-server meer. Dit betekent dat als poort 119 openstaat, er mogelijk sprake is van een vergeten service. Een oude newsserver die nog aanstaat zonder dat iemand er erg in heeft, vormt een risico omdat hij waarschijnlijk niet goed wordt bijgewerkt. Oude NNTP-serversoftware kan kwetsbaarheden bevatten – denk aan bufferoverflows of misconfiguraties. Daarnaast werd NNTP vroeger anoniem of met zwakke authentificatie gebruikt, wat betekent dat een open server mogelijk als spam- of content distribution platform misbruikt kan worden (bijvoorbeeld voor illegale content).

Specifieke exploits voor NNTP zijn niet heel bekend publiekelijk, maar een aanvaller zou kunnen proberen of de server third-party command injection toeliet via bepaalde artikelheaders, of of men via NNTP files kan lezen (news spools). De meeste van dit soort issues zijn theoretisch of historisch.

Aanvallerperspectief: In een portscan zal een hacker een open 119 opmerken als atypisch. Hij zal proberen te banner-grabben om te zien welke server het is (bijv. INN – InterNetNews – of iets anders). Aan de hand daarvan kan hij zoeken naar bekende CVE’s voor die software. Ook zou hij kunnen proberen om via NNTP postings te doen – bijvoorbeeld als de server misbruikt kan worden om data door te geven (exfiltration via NNTP, al is dat ongebruikelijk). Aangezien Usenet niet meer zo mainstream is, zal een open NNTP-poort vooral een rode vlag zijn dat er iets verouderds draait. De beste aanpak: als je geen nieuwsserver meer actief gebruikt, sluit die poort en zet de service uit.

Poort 123 – NTP

Protocol & gebruik: NTP (Network Time Protocol) gebruikt poort 123 UDP en dient voor tijdsynchronisatie tussen computers. Bijna alle systemen synchroniseren periodiek hun klok met een betrouwbare tijdserver (bijv. pool.ntp.org of een eigen NTP-server binnen het domein). Een accurate tijd is cruciaal voor logbestanden, certificaatvalidatie, geplande taken etc. NTP zorgt ervoor dat duizenden machines binnen een netwerk dezelfde tijd houden met hooguit milliseconden verschil.

Risico’s: Net als DNS is NTP een infrastructuurprotocol dat helaas misbruikt kan worden voor DDoS-amplificatie. Een bekende kwetsbaarheid in oudere NTP-versies was het monlist commando (monitored list), dat een lijst teruggeeft van de laatste 600 clients die zich met de server verbonden. Een klein request hiervoor resulteerde in een groot antwoord. Aanvallers ontdekten dat ze hiermee enorme DDoS-aanvallen konden uitvoeren: door monlist-requests te spoofen vanaf het slachtofferadres, stuurden NTP-servers enorme hoeveelheden data naar dat slachtoffer. In 2014 werd zo een DDoS van 400 Gbps gegenereerd – destijds recordbrekend. Inmiddels zijn de meeste NTP-implementaties gepatcht om monlist standaard uit te zetten (het is vervangen door een veiliger ntpq query). Maar toch, elk UDP-protocol met grotere antwoorden dan vragen blijft gevoelig voor dit soort misbruik. In Q1 2023 zagen we nog steeds volumetrische aanvallen met NTP, al is DNS tegenwoordig vaker gekozen.

Een ander risico met NTP is dat als je tijdserver wordt gekaapt of je met een valse NTP-server synchroniseert, je systeemklok fout kan worden gezet (een zogenaamde time shifting attack). Dit kan impact hebben op beveiliging (certificaten kunnen ineens geldig lijken als de datum veranderd is, of juist verlopen, waardoor diensten uitvallen). Echter, zo’n aanval is lastig uit te voeren tenzij de aanvaller man-in-the-middle is en jouw NTP-verkeer kan onderscheppen of je DHCP-server misleidt om een andere NTP-server op te geven.

Aanvallerperspectief: Een scanner die poort 123 open ziet, herkent een NTP-service. Een hacker zal allereerst proberen de NTP-versie op te vragen (met bijv. ntpversion of het leveren van bepaalde pakketjes). Als het een oude versie is (<4.2.7), zou hij het monlist-commando kunnen proberen om te zien of dat nog werkt. In dat geval kan hij jouw server misbruiken als reflectiebron in aanvallen. Ook kan hij het zien als een kwetsbaarheid op zich (je NTP is oud, dus wellicht zijn ook andere services niet up-to-date). Direct binnendringen via NTP is zeldzaam; het blijft meestal bij DoS-misbruik. Toch zijn er gevallen geweest van buffer overflows in NTPd (CVE-2014-9295 bijvoorbeeld) die remote code execution mogelijk maakten. Een attacker zou dus kunnen kijken of jouw NTPd die versie draait.

Verdediging: Zorg dat je NTP-server up-to-date is en beperk toegang indien mogelijk. Voor interne NTP-servers: sta geen NTP van buiten toe. Voor publieke NTP (als je die aanbiedt), schakel potentieel gevaarlijke functies uit en overweeg rate-limiting of het toepassen van NTP Authentication.

Poort 135 – Windows RPC (NetBIOS/DCOM)

Protocol & gebruik: Poort 135 (TCP en UDP) wordt op Windows-systemen gebruikt door RPC Endpoint Mapper en gerelateerde DCOM-diensten. Dit valt onder de NetBIOS/Windows netwerkfunctionaliteit. Concreet: als je op een Windows machine bepaalde remote procedure calls wilt doen of bijvoorbeeld met Windows File Sharing in oudere versies (voor de naamresolutie) werkt, komt poort 135 in beeld. Het is de poort waarop het systeem luistert voor RPC-service requests – denk aan de DCOM service die gebruikt wordt door o.a. Windows Management Instrumentation (WMI) op afstand, of door de Exchange Management Console, etc. In een Windows-netwerk is 135 intern vaak open, maar extern hoort hij dicht te zijn.

Risico’s: Dit geeft een lijst van interne service GUIDs en bijbehorende port numbers. Hieruit valt af te leiden welke Windows-functies ingeschakeld zijn (bijvoorbeeld als de machine ook Exchange of SQL-geïntegreerde services draait). Die informatie is goud waard voor een aanvaller om verdere exploitaanvallen voor te bereiden.

Daarnaast is poort 135 geassocieerd met NetBIOS-diensten (al zijn poort 137-139 daar specifieker voor, zie SMB later). Een gevaar is informatie lekkage: via 135/137 kan een hacker soms de netwerknaam, workgroup/domain en geregistreerde services van een Windows-machine opvragen. Dit lijkt triviaal, maar in handen van een aanvaller helpt dit om bijvoorbeeld de Windows-versie of rol te identificeren (domain controller of niet, etc.).

Aanvallerperspectief: Open 135 betekent “Windows-machine die onbeschermd aan internet hangt” in de ogen van een hacker. Ze zullen waarschijnlijk allereerst proberen of er bekende exploits werken. Hoewel MS03-026 (Blaster exploit) nu oud is, zijn er in loop der jaren wel meer RPC/DCOM-bugs geweest (MS08-067 – Conficker worm via SMB, maar dat is poort 445). Specifiek 135 blijft wel een ingang tot DCOM. Een moderne aanval is bijvoorbeeld RemotePotato0 die misbruik maakt van het RPC/DCOM-mechanisme om privilege escalation te doen binnen een netwerk (maar dat vereist al voet aan de grond elders).

Voor een direct externe aanvaller zal 135 vooral dienen om info op te vragen, of als hint dat wellicht ook 445 open staat (vaak gaan deze samen bij slordige firewall). Het advies is eenduidig: bloot nooit Windows RPC poort 135 direct aan internet. Segmentatie en firewalling moeten dit intern houden.

Poort 143 – IMAP

Protocol & gebruik: IMAP4 (Internet Message Access Protocol) gebruikt standaard poort 143 voor onversleutelde communicatie, en poort 993 voor IMAP over SSL. IMAP is de moderne manier om e-mail te synchroniseren tussen client en server, waarbij berichten op de server blijven staan en de client mappen kan beheren. In tegenstelling tot POP3 kun je met IMAP op meerdere apparaten je mailbox beheren en blijft alles gesynchroniseerd. Vrijwel alle e-mailproviders bieden IMAP aan voor toegang tot mailboxen.

Risico’s: Qua beveiliging geldt een vergelijkbaar verhaal als bij POP3: het basisprotocol op poort 143 is plaintext, dus zonder TLS kunnen inloggegevens en mails onderschept worden. Gelukkig wordt IMAP bijna altijd met TLS (STARTTLS upgrade of direct TLS op 993) ingezet tegenwoordig. Toch, als een server poort 143 open heeft, moet je erop letten dat hij waarschijnlijk STARTTLS als optie biedt. Een man-in-the-middle zou potentieel de STARTTLS upgrade kunnen strippen als de client dat niet valideert, waardoor alsnog een plaintext sessie ontstaat. Dit vereist echter dat zowel server als client onveilige fallback toelaten. Moderne clients waarschuwen de gebruiker als de verbinding niet beveiligd is.

Afgezien van transportencryptie, is IMAP een complexer protocol dan POP en heeft daardoor een grotere attack surface. Denk aan mogelijke bufferoverflows in IMAP-commando parsing (er zijn in het verleden wel kwetsbaarheden geweest in o.a. Washington University IMAP-server en MS Exchange IMAP-component). Als een aanvaller zo’n exploit heeft en hij kan op poort 143 verbinden, kan dat remote code execution betekenen op de mailserver. Dergelijke exploits zijn echter schaars en meestal snel gepatcht, maar een vergeten IMAP-service kan er kwetsbaar voor zijn.

Aanvallerperspectief: Bij een open IMAP-poort zal een hacker wederom eerst proberen inloggegevens te achterhalen. Vaak komen gelekte wachtwoordlijsten in aanmerking; veel mensen hergebruiken wachtwoorden, dus als de aanvaller een lijst met e-mailadressen heeft en wat wachtwoorden, probeert hij geautomatiseerd in te loggen via IMAP. In 2025 zien we dat er tools zijn die miljoenen wachtwoordpogingen doen op IMAP/POP-diensten van verschillende providers. Eenmaal in een mailbox, heeft de hacker toegang tot allerlei gevoelige informatie en kan hij mogelijk via mail verder binnendringen (password resets aanvragen, phishing vanuit het account, etc.).

Ook kan de hacker via IMAP eventueel een mail-bombardement uitvoeren of de server overbelasten door zeer intensieve queries. Maar de echte waarde zit hem in het lezen van mail en stelen van data.

Net als bij POP3 geldt: zorg voor sterke wachtwoorden, implementeer bij voorkeur OAuth of twee-factor auth voor mailtoegang, en schakel plain authentication uit op de server. Veel bedrijven doen nu ook IP-restricties of aanvullende monitoring (bijv. Microsoft 365 die verdachte IMAP-logins detecteert).

Poort 161/162 – SNMP

Protocol & gebruik: SNMP (Simple Network Management Protocol) gebruikt poort 161/UDP voor algemene queries en 162/UDP voor traps (meldingen van apparaten naar de manager). SNMP dient om netwerkapparatuur en computers te monitoren en te beheren. Via SNMP kan een beheerapplicatie informatie opvragen zoals CPU-belasting, interface status, temperatuur, etc., en bepaalde instellingen wijzigen (via SNMP set). Apparaten kunnen ook spontaan “traps” sturen naar de management server op poort 162 als er iets gebeurt (bijv. een interface down). SNMP is al oud (jaren ’80) en kent versies 1, 2c en 3. Versie 1 en 2c gebruiken een community string als een soort wachtwoord – in de praktijk vaak “public” voor read-only en “private” voor read-write, tenzij aangepast. Versie 3 ondersteunt echte authentication en encryptie.

Risico’s: Heel veel apparaten hebben standaard SNMP enabled met de community “public” voor lezen. Dit betekent dat een aanvaller via poort 161 enorm veel over het apparaat kan te weten komen: routingtabellen, ARP-cache, list van open TCP-poorten, serienummer van het apparaat, noem maar op. Dit zonder ook maar enige echte hack – het zijn normale SNMP-queries met een bekend wachtwoord. Er zijn zelfs search engines die op internet zoeken naar open SNMP en standaard communities (soort Shodan voor SNMP), wat aantoont hoeveel systemen er per abuis open staan. Als een aanvaller read-write toegang weet te verkrijgen (bijv. als iemand “private” community niet heeft veranderd en poort 161 is toegankelijk), dan kan hij potentieel settings veranderen. Denk aan: een router herconfigureren (via SNMP set kun je vaak IP’s, routes en zelfs firmware-updates triggeren), of een server uitschakelen door OID’s te veranderen.

Buiten de community-issue, zijn er ook enkele bekende exploits in SNMP-implementaties geweest. SNMP-pakketjes zijn relatief complex (ASN.1 encoding) en er waren buffer overflow bugs waar een kwaadwillende een malafide SNMP-bericht stuurt dat de service laat crashen of code uitvoert. Dit kwam onder meer in 2002 aan het licht in veel netwerkapparaten (het beruchte CERT SNMP advisory).

Ten slotte: SNMP-verkeer zelf (v1/v2c) is niet versleuteld. Dus als een aanvaller mee kan luisteren, kan hij community strings aflezen en daarna zelf queries sturen. SNMPv3 lost dit op met encryption, maar vereist dat ook correct geconfigureerd.

Aanvallerperspectief: Een open 161 poort intrigeert hackers omdat het vaak een schat aan informatie oplevert. Ze zullen eerst proberen of de community “public” werkt. Tools als snmpwalk kunnen vervolgens de hele MIB doorlopen en alle data dumpen. Hieruit kan men bijvoorbeeld lijst van user accounts op een systeem halen (als host MIB dat toelaat), softwareversies, netwerkconfig, etc. Dit is waardevolle recon. Met een beetje geluk is ook write mogelijk: de aanvaller zou bijv. de ARP-tabel kunnen spoofen of DNS-server settings via SNMP aanpassen als het apparaat dat ondersteunt.

Omdat SNMP vaak op infrastructuur draait (switches, routers, printers), kan misbruik leiden tot pivoting: stel een core router heeft SNMP open met default creds, een aanvaller kan routes aanpassen of poorten uitschakelen. In industrial control scenarios zijn sommige PLC’s via SNMP te beïnvloeden (al is dat niet gebruikelijk voor actuatie).

Verdediging: Change die community strings! Zet SNMP uit als je het niet nodig hebt, of beperk het tot bepaalde management stations (via ACL’s op de device). Gebruik SNMPv3 waar mogelijk, zodat brute-forcen moeilijker wordt en sniffen niets oplevert. Monitor ook zelf op ongebruikelijke SNMP-access (bijv. logs van mislukte SNMP auth). Realiseer je dat SNMP-data soms privacy-gevoelig is (alle procesnamen op een server, etc.), dus open het nooit voor de hele wereld.

Poort 389 – LDAP

Protocol & gebruik: LDAP (Lightweight Directory Access Protocol) draait standaard op poort 389 (TCP). Het is een protocol om directory services te benaderen, zoals een Active Directory of OpenLDAP-server. LDAP wordt gebruikt voor het opzoeken van gebruikers, groepen, rechten, en voor authenticatie-integraties. In Windows-domeinen is LDAP op 389 cruciaal (hoewel moderne AD versleuteld LDAP op 636 of via LDAPS gebruikten). Clients kunnen queries doen om user attributes te krijgen, of om te binden (in te loggen) bij de directory.

Risico’s: Een open LDAP-poort naar internet toe kan erg riskant zijn. Ten eerste: als anonieme binding of eenvoudige credentials worden geaccepteerd, kan een aanvaller mogelijk het hele gebruikersregister opvragen (alle usernames, groepen, emails, enz.). Dit heet LDAP enumeration. Zelfs als er een login vereist is, is soms een “gast” of laag privileged account voldoende om toch veel te lezen. Deze informatie is waardevol voor social engineering of voor gerichte aanvallen (nu weet de hacker bijvoorbeeld alle login-namen, wat password guessing vereenvoudigt).

Daarnaast zijn er kwetsbaarheden ontdekt in bepaalde LDAP-implementaties. Bijvoorbeeld in 2017 waren er berichten over anonieme queries in Microsoft AD via SAMR (gerelateerd protocol) die teveel info prijsgaven. Maar de klassieke aanval is brute-force op LDAP bind: proberen veelvoorkomende wachtwoorden voor bekende accounts. Sommige oudere systemen locken niet snel op deze manier, of de lockout geldt niet voor LDAP simple bind.

Een ander scenario is LDAP injection: als een webapplicatie user input in een LDAP-query stopt zonder sanitizing, zou een aanvaller op poort 389 via die applicatie de query kunnen manipuleren (soort SQL-injectie maar dan LDAP-filtermanipulatie) om ongeautoriseerde info te krijgen. Dit vereist echter een kwetsbare applicatie bovenop LDAP.

Aanvallerperspectief: Als poort 389 openstaat, vermoedt een hacker dat er een Active Directory Domain Controller of een LDAP-server draait. Hij zal eerst proberen anoniem te binden: lukt dat, dan gaat hij entries opvragen (bijv. alle objectClass=user entries). Als dat geweigerd wordt, probeert hij wellicht een verzameling van standaardwachtwoorden op bekende accountnamen (Administrator, Guest, ldapuser, etc.) in de hoop dat er eentje niet gewijzigd is. Active Directory domain controllers hebben vaak “Admin”-accounts die hopelijk goede wachtwoorden hebben, maar je weet maar nooit.

Mocht hij wat accounts kunnen valideren, dan kan hij die gebruiken om verder in te loggen via andere services (een AD-account werkt vaak ook voor VPN, OWA, RDP). Dus LDAP kan de sleutel tot het rijk zijn.

Verdediging: Expose LDAP niet direct naar internet als het niet strikt nodig is. Gebruik LDAPS (LDAP over TLS op poort 636) als je toch directory-toegang extern moet hebben, zodat credentials niet in plaintext gaan. Zet anonieme bind uit of beperk het tot volstrekt onschuldige queries. In AD kun je fine-grained rechten instellen zodat een onbekende weinig ziet. Gebruik account lockout policies om brute-force tegen te houden. En monitor de LDAP-logs; veel mislukte binds kunnen een teken van aanval zijn.

Poort 443 – HTTPS

Protocol & gebruik: HTTPS is HTTP over TLS/SSL en gebruikt standaard poort 443. Dit is tegenwoordig dé poort voor webverkeer, aangezien vrijwel elke website encryptie gebruikt om privacy en integriteit te bieden. Een browser verbindt op 443, doet een TLS-handshake, wisselt certificaten uit en vervolgens loopt de HTTP-verzoek/antwoord-communicatie versleuteld binnen die verbinding. Voor eindgebruikers is dit herkenbaar als het slotje in de adresbalk. Achter de schermen is dit essentieel om afluisteren en manipuleren van webverkeer te voorkomen.

Risico’s: Hoewel HTTPS de communicatie versleutelt, zijn er nog steeds aanvallen mogelijk. Een aantal aandachtspunten:

• SSL/TLS-kwetsbaarheden: In de loop der jaren zijn er zwakke plekken gevonden in oudere versies van SSL/TLS en sommige ciphers. Denk aan Heartbleed (OpenSSL bug in 2014 die private keys kon lekken), POODLE (TLS fallback exploit op SSL3), BEAST en CRIME (inbreken op versleutelde sessies) en meer. Servers die nog oude protocollen ondersteunen of niet geüpdatete libraries gebruiken, lopen risico. Een aanvaller kan bijvoorbeeld een downgrade proberen (client dwingen TLS1.0 te gebruiken als server dat toestaat) en dan een bekende kwetsbaarheid misbruiken.
• Certificaatproblemen: Als een aanvaller erin slaagt een vals certificaat te presenteren dat door de client vertrouwd wordt (bijv. via een onterecht uitgegeven certificaat van een gecompromitteerde Certificate Authority), kan hij zich als de echte site voordoen zonder dat de gebruiker het merkt. Dit is niet triviaal, maar is gebeurd (zoals DigiNotar hack in 2011). Modern browsen heeft pinning en CAA records om dit te bemoeilijken.
• SSL Stripping: Zoals eerder genoemd bij poort 80, kunnen aanvallers proberen gebruikers terug te downgraden naar HTTP als de site dat niet goed afdwingt. HSTS (Strict Transport Security) is de tegenmaatregel, maar niet elke site heeft dat even lang ingesteld.
• Expired of misconfigured certs: Hoewel niet direct een hack, komt het vaak voor dat certificaten verlopen. Een aanvaller kan proberen dat moment te benutten: gebruikers zien een waarschuwing en misschien probeert de aanvaller ze naar een nep-site te lokken door te zeggen “onze site is verplaatst, klik hier”. Dit vereist wel phishingtactiek.

Aanvallerperspectief: Hackers scannen poort 443 om de TLS-handshake-informatie te zien. Daaruit halen ze de certificaatnaam, wellicht subdomeinen (via SANs) en de gebruikte software (via TLS-banners of cipher support). Dit kan hen helpen bij gerichte aanvallen (bijv. als ze zien dat een server nog TLS 1.0 accepteert, weten ze dat de beheerders slordig zijn, of dat de software oud is). Verder zal de aanvaller net als bij poort 80 kijken naar de webapplicatie zelf voor eventuele kwetsbaarheden. De versleuteling hindert hem niet als hij zelf client is; het hindert alleen derden.

Een interessant geval is ook HTTPS MITM appliances: sommige bedrijven intercepten intern HTTPS door eigen certificaten uit te rollen. Als een hacker intern is, kan hij dat misbruiken door zelf een valse site te hosten met dat interne CA-cert. Maar dit gaat wat ver voor algemeen verhaal.

Poort 445 – SMB (Windows-bestandsdeling)

Protocol & gebruik: Poort 445 is de moderne poort voor SMB (Server Message Block), ook bekend als CIFS in sommige context. Dit is het Windows-bestandsdelingsprotocol (file en printer sharing) dat ook gebruikt wordt voor allerlei andere zaken binnen Windows-netwerken (bijv. DC-replicatie). Vroeger (Windows 9x) liep SMB over NetBIOS via poort 139, maar sinds Windows 2000 gaat SMB direct over TCP op 445. Dit protocol stelt gebruikers in staat om bestanden te delen, netwerkschijven te mappen (\\\\server\\share), maar ook om remote admin taken te doen (IPC$, ADMIN$ shares voor admin toegang).

Risico’s: Poort 445 is wellicht de meest beruchte poort in Windows security. Een open 445 naar internet betekent in feite dat je Windows SMB-service (oftewel je hele bestands- en resource-sharing) openstaat voor de wereld. Hier zijn meerdere grote risico’s:

• Exploits op SMB-diensten: De bekendste is EternalBlue (MS17-010), een exploit ontwikkeld door de NSA en gelekt in 2017, die een wormbare RCE mogelijk maakte in SMBv1. Dit is waar de WannaCry-ransomware gebruik van maakte om zich razendsnel over de hele wereld te verspreiden in mei 2017. EternalBlue is zo effectief dat anno 2022 nog steeds 91% van alle aanvallen op poort 445 probeerden juist díe exploit te gebruiken – er zijn blijkbaar nog genoeg ongepatchte of verouderde systemen. Naast EternalBlue waren er varianten (EternalRomance, EternalChampion) voor andere SMB-versies, en nog recenter zijn er bijvoorbeeld bugs als BlueKeep (weliswaar RDP) en print spooler issues, maar SMB blijft een favoriet target.
• Brute-force en ongelockte shares: Los van exploits, als shares opengesteld zijn of zwakke wachtwoorden hebben, kan een aanvaller via SMB direct toegang tot bestanden krijgen. Bijvoorbeeld een open “C$” admin share en een default Administrator-wachtwoord – dat is directe volledige compromittatie.
• Relay-attacks: In interne netwerken doet men wel NTLM relaying via SMB: een machine lokt je om op hem in te loggen (bijv. via een spoof), en stuurt die auth door naar een ander systeem. Extern is dit minder van toepassing, maar vermeldenswaardig.
• Wormable spreads: SMB leent zich voor wormen. We hebben gezien met WannaCry en later NotPetya dat een enkele infectie zich via SMB-kwetsbaarheden of credentials horizontaal door een netwerk kan bewegen. Daarom is isolatie en patchen zo belangrijk.

Aanvallerperspectief: Een open 445 is jackpot voor een hacker. Ze zullen eerst proberen anoniem of met een lijst van veel voorkomende credentials te verbinden (er zijn tools zoals SMBMap, Medusa etc. om SMB-auth te proberen). Daarnaast draaien ze wellicht een versie scan (bijv. welke SMB-dialect wordt aangeboden – SMBv1, v2, v3 – en welke OS het ongeveer is). Aan de hand daarvan proberen ze exploits. EternalBlue detecteren ze bijvoorbeeld door te kijken of SMBv1 actief is op een oud ogend systeem (Windows 7/Server 2008 of eerder). Tools als Metasploit hebben kant-en-klare modules om EternalBlue of andere SMB-exploits te runnen.

Succesvol misbruik van SMB kan een volledige systeemovername betekenen. Bijvoorbeeld EternalBlue geeft SYSTEM-rechten direct. Vandaar dat hackers er zo op gebrand zijn. Zelfs scriptkiddies kunnen met publieke exploits proberen binnen te komen als je onbeschermd bent.

Verdediging: Ten eerste, stel SMB nooit open aan internet – er is bijna geen goede reden om dat te doen. Gebruik VPN voor remote file access, of zero-trust oplossingen. Binnen het LAN: patch, patch, patch. Zet SMBv1 uit op alle systemen (Microsoft heeft dit vanaf Windows 10/2016 standaard al uitgefaseerd). Gebruik firewalls om segmenten te scheiden; bijvoorbeeld productiesystemen hoeven niet bij domain controllers via SMB. En monitor het netwerk: veel scanning op 445 of mislukte logons kunnen een indicatie van een worm zijn.

Poort 989/990 – FTPS (FTP Secure)

Protocol & gebruik: Poort 989 (en 990) worden geassocieerd met FTPS, dat is FTP over TLS-beveiliging. Er zijn twee modes: Implicit FTPS (waarbij een client direct TLS connect op 990 voor commando’s, en 989 voor data) en Explicit FTPS (waarbij eerst gewone FTP connectie wordt gemaakt en dan een AUTH TLS-commando gegeven – dit gebruikt doorgaans dezelfde poort 21 maar upgrade). In beide gevallen is het doel dat FTP eindelijk beveiligd wordt met encryptie, zodat wachtwoorden en bestanden niet langer in plaintext gaan.

Risico’s: FTPS lost het grootste probleem van FTP op, namelijk het afluisterrisico. De communicatie is versleuteld, dus een aanvaller kan credentials niet zomaar sniffen. Echter, FTPS erft nog wel een paar andere FTP-problemen:

• Complexiteit met firewalls/NAT: Net als FTP, gebruikt FTPS meerdere poorten (commando en data). Die dataporten worden dynamisch gekozen en door de TLS-versleuteling kan een firewall niet meer automatisch NAT aanpassen (zoals bij plain FTP met ALG). Dit leidt vaak tot configuratiefouten waarbij poorten onbedoeld open blijven of active mode mislukt. Dit is meer een beheeraspect maar kan tot frustratie en tijdelijke uitschakeling van TLS leiden als mensen het niet werkend krijgen.
• Certificaatvalidatie: FTPS gebruikt certificaten voor de server. Als die self-signed zijn en gebruikers negeren warnings, kan een man-in-the-middle zich ertussen wringen met een eigen cert (minder kans, want clients waarschuwen meestal wel). Maar als gebruikers ftp-scripts draaien die geen cert check doen, zou dat een zwak punt zijn.
• Brute force: Versleuteling houdt een aanvaller niet tegen om gewoon loginpogingen te doen. FTPS-servers zijn net zo gevoelig voor brute-force op accounts als FTP. Sterker nog, omdat beheerders denken “het is veilig want TLS”, vergeten ze soms de basics als fail2ban of IP-blocking in te stellen.
• Softwarekwetsbaarheden: FTPS is vaak een module op een FTP-server (bv. FileZilla Server, IIS FTP Service). Deze kunnen hun eigen security bugs hebben, los van TLS. Bijv. een buffer overflow in hoe de server met certificaten omgaat, of een DoS als je met SSL renegotiation speelt.

Aanvallerperspectief: Een open poort 990 duidt vrijwel zeker op een FTPS-service. Een hacker zal proberen een TLS-handshake te doen en kijken welk certificaat eruit komt (vaak verraadt de CN of O-naam de organisatie of software). Daarna zal hij proberen te authenticeren met standaard accounts (anonymous FTPS is niet gebruikelijk, meestal is het met login). Als dat niet lukt, misschien enumereren of er anonieme TLS-session wel directory listing geeft (onwaarschijnlijk tenzij misconfig). Over het algemeen is FTPS minder aantrekkelijk dan plain FTP, behalve als de admin een zwak wachtwoord heeft gelaten. De versleuteling voorkomt passief afluisteren, maar een actieve aanvaller die zelf connect kan natuurlijk wel proberen in te loggen.

Voor de verdediger is FTPS aan te raden boven FTP, maar tegenwoordig kiezen velen voor SFTP (FTP via SSH) wat technisch verschillend is maar eenvoudiger te firewallen. Hoe dan ook, als je FTPS draait: zorg voor sterke wachtwoorden, limiet op inlogpogingen, en een geldig certificaat zodat clients niet geneigd zijn om certificaatcontrole uit te schakelen.

Poort 3306 – MySQL

Protocol & gebruik: Poort 3306/TCP is de default voor MySQL-database servers (en ook gebruikt door compatible forks zoals MariaDB). Applicaties (bijv. webservers, ERP-systemen) verbinden naar die poort om queries uit te voeren op de database. In veel gevallen draait MySQL alleen lokaal of in een afgeschermd netwerksegment, maar soms staat hij open voor remote connecties (bijv. een cluster, of beheer op afstand).

Risico’s: Een database-poort open naar de buitenwereld is een hoog risico als er niet goed is opgelet. Hier enkele gevaren:

• Slechte authenticatie: MySQL had historisch soms standaard gebruikers zonder wachtwoord (bv. user “root” zonder pass op localhost-only, of testdatabases open). Als zo’n server per ongeluk op een publieksinterface luistert, kan een aanvaller wellicht inloggen zonder moeite. Ook accounts met simpele wachtwoorden lopen gevaar van brute force. Er zijn miljoenen MySQL-servers online; onderzoek in 2022 liet zien dat meer dan 3,6 miljoen MySQL-servers exposed waren op het internet. Vaak zijn dat misconfiguraties. Een aanvaller die één zo’n server vindt met “root/root” of “test/test”, krijgt direct toegang tot alle data daarin.
• Kwetsbaarheden & exploits: MySQL zelf is redelijk goed onderzocht. Af en toe duiken er kwetsbaarheden op, zoals privilege escalation of een bug die remote crash (DoS) veroorzaakt. Maar remote code execution bugs in MySQL zijn zeldzaam, zeker zonder auth. Wel is er in het verleden eens geweest dat een onvoldoende geauthenticeerde gebruiker escalatie kon doen. In combinatie met zwak auth kan dat ernstig zijn.
• SQL-injectie via open port: Normaliter exploit je SQL-injectie via een webapplicatie. Maar als een MySQL openstaat, zou een aanvaller met wat creativiteit direct queries kunnen sturen als hij credentials vindt. Denk scenario: configuratiebestand van een webapp gelekt met DB-wachtwoord, en MySQL staat open, dan kan de hacker rechtstreeks connecten en queries doen buiten de webapp om (en zo mogelijk destructie aanrichten of data stelen).
• Data exfiltratie & vernietiging: Als iemand in je database kan, kan hij waarschijnlijk alle data dumpen (diefstal van gevoelige informatie) en zelfs verwijderen of ransom-en. Er zijn incidenten geweest waarbij onbeschermde databases werden gewist en er een ransom note achterbleef (2020/2021 had je MongoDB en MySQL ransom-attacks: “We hebben je data, betaal of het is weg”). In 2023 meldde onderzoek dat ~85.000 MySQL-databases gecompromitteerd waren in zo’n campagne.

Aanvallerperspectief: Een open 3306 is een potentieel goudmijn. De hacker zal eerst proberen te verbinden met standaard creds (root zonder wachtwoord was jaren geleden nog vaak succesvol). Als dat niet werkt, en als geen verbinding mogelijk is zonder SSL, zal hij kijken naar de serverversie (MySQL stuurt een handshake met versienummer). Bekende exploits zijn versiegebonden, dus dat is belangrijke info. Eventueel kan hij met een zgn. MySQL hash sniffing als een Man-in-the-Middle tussen client en server komen, maar dat scenario is moeilijk van buitenaf tenzij er een client is die inlogt via hem.

Lukt inloggen, dan is het spel eigenlijk al gespeeld: hij kan SELECT statements doen om data te bekijken (wachtwoordhashes, persoonlijke gegevens, enz.), gebruiker-tabellen aanpassen (bijv. een backdoor account aanmaken), of XP_CMDSHELL-equivalente dingen uitvoeren (MySQL heeft UDFs en FILE privilege waarmee je shells kunt schrijven als je die rechten hebt).

Gegeven de waarde van data, zijn open databases een lucratief doelwit voor afpersing. Zoals genoemd, groepen scannen er actief op en hebben geautomatiseerde scripts om bij binnenkomst direct data te stelen en verwijderen.

Verdediging: Simpel: laat een productie-database niet direct op internet luisteren. Mocht het toch nodig zijn (bijv. je DB-server is een aparte host die door een webserver benaderd moet worden over internet), werk dan met VPN of streng IP-whitelisting. Gebruik sterke unieke wachtwoorden voor databaseaccounts. Schakel accounts die je niet nodig hebt uit (gast, test). En update de MySQL-server zodat exploits niet lukken. Logging van connecties kan helpen om te zien of iemand probeerde in te breken.

Poort 3389 – RDP (Remote Desktop Protocol)

Protocol & gebruik: RDP is het Remote Desktop Protocol van Microsoft, op poort 3389/TCP. Hiermee kun je grafisch inloggen op een Windows-machine alsof je erachter zit. Veel systeembeheerders gebruiken RDP voor serverbeheer, en in thuisomgevingen wordt het ook gebruikt om bij een PC te kunnen van elders. RDP biedt eigenlijk een volledige desktopervaring op afstand, versleuteld en al (nieuwere versies hebben standaard SSL/TLS en Network Level Auth voor login). Het is zeer krachtig maar ook gevoelig als het in verkeerde handen valt.

Risico’s: RDP is een van de meest aangevallen diensten als het open aan internet staat, vooral door ransomwaregroepen en cryptojackers. De primaire aanvalsvector is brute-force of credential stuffing: er bestaan gigantische botnets die continu het internet afzoeken naar systemen met poort 3389 open en dan proberen in te loggen met lijsten van veelvoorkomende wachtwoorden. Sophos-onderzoekers hebben eens een experiment gedaan: een verse machine met RDP open online gezet – binnen één minuut begon de eerste brute-force poging al binnen te komen. Over 15 dagen logden ze meer dan 2 miljoen mislukte loginpogingen op dat ene systeem. Dit illustreert hoe geautomatiseerd en constant deze scans zijn. Als je een zwak wachtwoord hebt, is de kans groot dat zo’n bot het raadt of brute-forcet. Bekende scenario’s zijn dat aanvallers toegang kregen tot een server via een gestolen of geraden RDP-wachtwoord en vervolgens ransomware installeerden.

Behalve wachtwoorden is er ook een kritieke exploit bekend: BlueKeep (CVE-2019-0708). Dit was een wormbare RDP-kwetsbaarheid in oudere Windows-versies (Windows 7/Server 2008 en ouder) die geen inlog vereiste om uit te buiten. Microsoft bracht met spoed patches uit en waarschuwde dat dit als worm kon misbruikt worden (gelukkig is een wereldwijde ramp uitgebleven, maar er zijn wel gerichte aanvallen mee gedaan). Kortom, ongepatchte RDP-services zijn risico nummer 1, zelfs als wachtwoorden sterk zijn. Andere RDP-problemen omvatten o.a. man-in-the-middle (als iemand op je netwerk verkeer kan afluisteren en je geen certificatemanagement goed hebt) en Denial-of-Service bugs die een RDP-server kunnen laten crashen.

Aanvallerperspectief: Een open RDP-poort is erg aantrekkelijk. De hacker zal meestal eerst gaan voor de laaghangende fruit: wachtwoorden. Er zijn tools en ook diensten (Shodan, etc.) die vaak al gecompromitteerde RDP-endpoints vermelden. Hackers proberen standaard accounts als “Administrator” zonder wachtwoord, of “User:User”. Veel slecht beveiligde machines bestaan, vooral oudere, of systemen die ooit tijdelijk opengezet zijn en vergeten. Er zijn zelfs lijsten online te koop van RDP-inloggegevens. Daarnaast als de hacker een exploit als BlueKeep tot zijn beschikking heeft en ziet dat het een kwetsbaar OS betreft (via o.a. RDP-handshake-info of OS-fingerprint), zal hij die zeker inzetten omdat dat direct toegang geeft zonder credentials.

Eenmaal binnen via RDP, heeft de aanvaller volledige GUI-controle. Ze kunnen op die machine allerlei acties uitvoeren: malware draaien, netwerk verkennen, zichzelf als backdoor installeren, etc. Vaak wordt RDP-gebruik door aanvallers detecteerbaar in logs, maar als niemand die checkt, kunnen ze dagenlang rustig rondneuzen.

Verdediging: Gebruik RDP bij voorkeur alleen via VPN of remote gateway – niet direct op internet. Als het echt moet, zet twee-factor authenticatie erop (er zijn oplossingen om dat te doen met RDP-gateways of via Azure AD, etc.). Minimáál: forceer sterke wachtwoorden en account lockout na een paar foute pogingen om brute-force te bemoeilijken. Overweeg het poortnummer te veranderen van 3389 naar iets anders – hoewel scanners dat ook vinden, elimineer je misschien de aller-simpelste bots. Realiseer je dat een open RDP direct op internet door bots gezien wordt als een makkelijk doelwit. Zoals een onderzoeker zei: het is niet de vraag of er aanvallen komen, maar hoeveel per uur.

Hacking via poorten: hoe dan?

Nu we de belangrijkste poorten hebben doorgenomen, is het goed om het algemene patroon te zien hoe aanvallers dit benutten. In vrijwel elke cyberkill-chain is port scanning één van de eerste stappen. Een hacker – of een geautomatiseerd botnet – begint met het in kaart brengen van de doelwitmachine(s). Dit doen ze door alle poorten te scannen, meestal op TCP (en soms UDP voor specifieke diensten als DNS/NTP).

Portscanning: Een populaire techniek is de TCP SYN-scan, waarbij de scanner een SYN-pakket stuurt (alsof hij een verbinding wil starten) maar meteen weer sluit na de SYN-ACK van de server. Dit is relatief snel en onopvallend omdat de TCP-handshake niet voltooid wordt (vandaar de naam “half-open” of stealth scan). Firewalls loggen incomplete handshakes minder vaak, dus de kans op detectie is kleiner. Alternatief is de TCP Connect scan, die gewoon een volledige verbinding opent per poort – eenvoudiger maar trager en luidruchtiger. Voor UDP zijn scans lastiger omdat UDP geen duidelijke gesloten-poort reactie geeft behalve een ICMP unreachable. Toch worden voor bekende UDP-services scans gedaan (53, 123, 161, etc.).

Informatie verzamelen: Het doel van de scan is om erachter te komen welke poorten open staan en dus welke services draaien. Zoals we zagen, verraadt een open 22 vaak een SSH, open 3389 een Windows-host met RDP, open 1433 (SQL Server) of 1521 (Oracle DB) specifieke databases, etc. Hackers gebruiken hier vaak banner grabbing bij: ze maken een verbinding en lezen het welkomstbericht of protocoluitwisseling uit. Veel diensten sturen hun naam en versie zodra je connect of bij een bepaald request. Bijvoorbeeld een FTP-server meldt “220 Welcome to vsFTPd 3.0.2” bij connect. Een SMTP-server geeft zijn softwareversie bij een VRFY-commando, enz. Banner grabbing is een standaard techniek om snel versie-informatie te verzamelen. Met die informatie kunnen aanvallers gerichter naar exploits zoeken (een exploit voor vsFTPd 3.0.2 bijvoorbeeld, als dat bekend is).

Tools voor scanning en analyse:

• Nmap: Dit is veruit de bekendste portscanner. Open-source en zeer krachtig. Nmap kan niet alleen ports scannen, maar ook OS fingerprinten, service-versie detectie, scripts draaien om bekende kwetsbaarheden te checken, enzovoort. Het is de Zwitsers zakmes voor elke pentester. Nmap is ontworpen om snel grote netwerken te scannen, maar kan ook fijnmazig 1 host onderzoeken. Aanvallers gebruiken Nmap voor stealth scans, maar ook voor diepere inspectie (bijvoorbeeld nmap -sV -sC om versies en default scripts te runnen). Omdat Nmap zo bekend is, kijken intrusion detection-systemen vaak specifiek naar Nmap-patronen.
• Masscan: Waar Nmap meer functies heeft, is Masscan gemaakt voor rauwe snelheid. De auteur claimt dat Masscan het gehele IPv4-internet kan scannen op één poort in enkele minuten, met pakweg 10 miljoen pakketten per seconde. Dit vereist wel zware hardware en een goede connectie, maar het wordt inderdaad gebruikt door onderzoekers (en waarschijnlijk ook minder bonafide partijen) om continu het internet te monitoren. Masscan is minder subtiel – het stuurt zo veel SYNs dat detectie vrijwel zeker is als je een IDS hebt. Maar qua bereik is het ongeëvenaard.
• Shodan & Censys: Dit zijn als het ware de zoekmachines voor open poorten en devices. Shodan scant doorlopend het hele internet op allerlei poorten en indexeert de banners. Hierdoor kun je bijvoorbeeld zoeken naar “port:22 OpenSSH 7.4” en dan krijg je alle IP’s met die eigenschap. Voor hackers is Shodan een snellere weg om doelwitten te vinden zonder zelf te hoeven scannen. Het wordt wel de “search engine for hackers” genoemd, want je vindt er bijvoorbeeld industriële systemen die per ongeluk online staan, webcams, databases, noem maar op. Censys is een vergelijkbare dienst maar meer gericht op certificaten en onderzoek.
• Overige tools: Er zijn nog meer zoals Uniscan, ZMap (een academische fast scanner), Medusa/Hydra voor brute-force op services zodra poorten bekend zijn, en exploit frameworks als Metasploit die ingebouwde portscans hebben maar vaak na scanning worden ingezet.

Scanstrategieën en ontwijking: Geavanceerde aanvallers passen soms hun scansnelheid en patronen aan om onder de radar te blijven. Ze kunnen bijv. heel langzaam scannen, verspreid over dagen, zodat een target het niet opmerkt (d.w.z. zodat geen tientallen verbindingen per seconde vanaf hetzelfde IP komen). Of ze spoofen hun bronadres bij UDP-scans om detectie te ontwijken (maar dan krijgen ze geen antwoord terug, dus dat is alleen nuttig voor DoS, niet voor reconnaissance). Sommigen gebruiken botnets om verdeeld te scannen: elk botje scant een paar poorten, samen heb je het geheel maar geen enkel IP lijkt een volledige scan te doen.

Uiteindelijk, als de attacker open poorten heeft gevonden en versies heeft herkend, gaat hij over naar de volgende stap: kwetsbaarheden zoeken en uitbuiten. Hier komen vaak specifieke exploits kijken of technieken:

• Ze kijken in databases (Exploit-DB, CVE-list) welke bekende vulnerabilities passen bij de gevonden softwareversies. Bijvoorbeeld, “ProFTPD 1.3.5” draait op target; was daar niet een bekend exploit voor een backdoor?
• Ze proberen default credentials als dat relevant is (bijv. admin/admin op een Tomcat-managementinterface).
• Ze kunnen ook gewoon dienstspecifieke fuzzing doen. Bijvoorbeeld een HTTP op poort 80 open: probeer eens een lange reeks tekens te posten naar een CGI-script om te zien of het crasht (buffer overflow ontdek je zo misschien).
• Zodra een eerste toegang verkregen is (via exploit of wachtwoord), verandert de aanval van aard: dan gaan ze pivotten binnen, malware installeren, etc., maar dat valt buiten scope van “poorten”.

Beveiligingsmaatregelen voor open poorten

Gezien de vele risico’s is het duidelijk dat je proactief met poortbeveiliging aan de slag moet. Enkele algemene adviezen:

• Sluit alle poorten die je niet gebruikt. Dit klinkt simpel, maar in de praktijk staan er vaak onnodige diensten aan. Maak er een gewoonte van om nieuwe servers “minimal” op te leveren: draai alleen wat expliciet nodig is, niets extra. Als een bepaalde poort alleen intern gebruikt moet worden, block hem dan op de firewall voor extern verkeer. Het minimaliseren van open poorten verkleint je aanvalsvlak drastisch.
• Houd software up-to-date: De diensten achter de poorten moeten bijgewerkt zijn met de laatste securitypatches. Veel exploits mislukken gewoon als de target de gepatchte versie draait. Automatische updates of een goed patch-managementproces zijn essentieel. Dit geldt voor OS (denk aan SMB-patches op Windows) én applicaties (webservers, database-software, etc.).
• Sterke authenticatie & configuratie: Als een service auth vereist, zorg dan voor sterke wachtwoorden of keys en verander fabrieksstandaarden. Schakel anonieme of gasttoegang uit. Gebruik versleuteling waar mogelijk (b.v. forceer SMTP AUTH over TLS, FTP over TLS, etc.). Standaardinstellingen van producten zijn vaak gericht op gemak, niet op veiligheid – loop deze na en harden je services.
• Firewall & Access Control: Implementeer een degelijke firewall die verkeer filtert op basis van IP, port en eventueel applicatie. Bijvoorbeeld: is het nodig dat de hele wereld bij jouw databasepoort kan? Waarschijnlijk niet, dus whitelist enkel jouw applicatieserver-IP. Firewalls kunnen ook port knocking of single-packet auth doen voor heel gevoelige poorten (zoals SSH), zodat scanners ze niet eens zien openstaan zonder juiste token.
• Segmenteer je netwerkdiensten: Plaats diensten van verschillend risiconiveau in aparte netwerksegmenten of VLAN’s. Bijvoorbeeld, zet publieke webservers in een DMZ die gescheiden is van je interne netwerk. Als zo’n webserver gehackt wordt, kan de aanvaller niet rechtstreeks bij je database komen als die in een ander VLAN zit zonder toegestane route. Netwerksegmentatie beperkt laterale beweging van aanvallers en is een kernprincipe in Zero Trust-architectuur.
• IDS/IPS inzetten: Een Intrusion Detection System (of Prevention System) monitort netwerkverkeer en kijkt voor patronen van aanvallen. Bijvoorbeeld, een IDS kan merken “hé, dit IP probeert in 1 minuut 1000 poorten op rij te scannen” en een alarm slaan of zelfs blokkeren (IPS). Ook kan het bekende exploit-signatures herkennen (bijv. een EternalBlue-exploit pakketje richting 445) en ingrijpen. Hiermee kun je tijdig een scanning of aanval detecteren en stoppen. Populaire open-source IDS is Snort of Suricata; commercieel zie je ze vaak geïntegreerd in Next-Gen Firewalls.
• Gebruik van 2FA waar mogelijk: Vooral op poorten met logins (SSH, RDP, VPN, etc.) is multi-factor authenticatie een zeer doeltreffende extra beveiligingslaag. Zelfs als je inlognaam/wachtwoord geraden of gestolen is, kan de aanvaller er dan niet in zonder bijvoorbeeld de smartphone OTP-code. Dit heeft al veel RDP- en SSH-incidenten voorkomen. Het is soms wat werk om in te richten, maar zeker de moeite voor admin-toegang op afstand.
• Logging en monitoring: Zorg dat je systemen loggen welke verbindingen gemaakt worden en of logins slagen of falen. En nog belangrijker: kijk naar die logs, of laat een SIEM/monitoring-systeem dat doen. Als je ineens honderden mislukte SSH-logins ziet van vreemde IP’s, weet je dat iemand je aan het brute-forcen is en kun je ingrijpen (IP blokkeren bijvoorbeeld). Monitoring van poortactiviteit kan ook uitgaande verbindingen betreffen – als een server ineens verbindingen naar buiten opent op gekke poorten, kan dat duiden op malware die “phone home” doet. Veel aanvallen worden laat ontdekt doordat logs ongelezen blijven; een goede alarmdrempel (bijv. 10 failed RDP-logins trigger een waarschuwing) kan schade schelen.

Samengevat zijn verdediging per poort en protocol vaak op twee pijlers gebaseerd: reduceer blootstelling (minimaal open poorten, streng controleren wat er binnen mag) en versterk de services zelf (patches, config, auth). Door te “denken als een hacker” kun je per poort nagaan: Wat zou iemand met kwaad in de zin hier kunnen proberen? en daarop proactief maatregelen nemen.

Conclusie: poorten als poortwachters én poortopeners

Netwerkpoorten vormen de toegangspunten tot onze computersystemen – zowel de legitieme toegang voor gewenste communicatie als de mogelijke sluiproutes voor aanvallers. In dit artikel hebben we gezien dat elk veelgebruikt poortnummer zijn eigen verhaal heeft in de security-wereld. Of het nu gaat om een klassieke service als FTP of Telnet die vanwege inherent onveilige ontwerpkeuzes een gemakkelijk doelwit vormt, of om moderne diensten als RDP en SMB die keer op keer in de vuurlinie staan van grootschalige aanvallen, het blijft essentieel om inzicht te hebben in welke poorten op jouw systemen openstaan en waarom.

Voor een hacker is een scan met open poorten vaak het eerste aanknopingspunt: het vertelt hen welke software draait en welke aanvalsmethoden kansrijk zijn. Als verdediger moet je dus zorgen dat dat beeld zo min mogelijk oplevert. Een systeem zonder onnodige open poorten en met actuele patches biedt weinig laaghangend fruit. Combineer dat met gelaagde beveiliging (firewalls, IDS/IPS, sterke authenticatie) en je dwingt aanvallers tot veel meer moeite of ze zoeken een makkelijker doelwit.

Regelmatige portscans (door jezelf of een securityteam) zijn geen overbodige luxe. Zie het als het controleren van de deuren en ramen van je digitale huis. Je wilt geen “raam op een kier” over het hoofd zien. Gebruik tools als Nmap in je eigen netwerk om te ontdekken wat een buitenstaander zou zien, en dicht gaten waar nodig.

Tot slot, blijf waakzaam. Dreigingen evolueren – wie had gedacht dat iets simpels als een tijdserver (NTP) ooit misbruikt zou worden voor gigabit-aanvallen? Door op de hoogte te blijven van nieuwe kwetsbaarheden en trends (bijvoorbeeld via CVE-meldingen of threat intelligence feeds) kun je anticiperen en je poortbeleid aanpassen. Netwerkpoorten zijn zowel poortwachters die je data binnenlaten als poortopeners naar potentieel gevaar. Met bewuste configuratie en continue alertheid zorg je dat geen poort onbedoeld een achterdeur wordt.