高いポート番号を使用しても安全ですか？（re：ウェブサービスを隠す）

私は小規模なホームネットワークを使用しており、セキュリティの必要性と利便性のバランスをとろうとしています。内部Webサーバーを保護する最も安全な方法は、VPNを使用してのみ接続することですが、これはDVRのリモートWebインターフェース（たとえば）を保護するのはやり過ぎのようです。

妥協案として、非常に大きなポート番号を使用する方が良いでしょうか？（例：5桁で最大65531）

通常、ポートスキャナーは最初の10,000個のポートのみをスキャンするため、非常に高いポート番号を使用する方が安全です。

これは本当ですか？

Webサーバーを保護するより良い方法はありますか？（つまり、アプリケーションのWeb GUI）

通常、ポートスキャナーは最初の10,000個のポートのみをスキャンするため、非常に高いポート番号を使用する方が安全です。

多くの人がこれを信じています。私はしません。

多分それは少し安全ですが、それほどではありません。低い番号のポートがより一般的であるため、一部のスキャナーは最初にそこを探します。

もし私がクラッカーだったら、セキュリティのためにこの方法に依存している人々を捕まえるために、最初にハイポートをスキャンしました。不明瞭なセキュリティに依存している人々は、おそらくセキュリティについての理解が乏しく、他のセキュリティ手法の使用を忘れがちです。したがって、これらのサービスはより脆弱であり、解読が容易になる可能性があります。

一部のスキャナーはこれを悪用し、最初から始めて、リストの下に向かって進みます。他のスキャンでは、範囲全体でランダムなポートが選択されるため、すべてのポートがスキャンされる可能性が等しくなります。

NMAPを使用してこれを自分でテストしてください。ポート1〜10,000に対してnmapスキャンを実行してHTTPサーバーを探し、それをすべての1〜65、xxxポートに対してスキャンするスキャンと比較します。違いは通常3〜10分であることがわかります。Nessusなどを使用して詳細なスキャンを行うと、20〜60分かかる場合があります。

良いクラッカーは忍耐強いクラッカーです。彼らは待ちます。

奇数のポート番号を使用しても、非rootユーザーとしてアプリケーションを実行できるという事実を賭けているのでない限り、セキュリティはまったくありません。

この種のものは、あいまいさからセキュリティと見なすことができますが、実際にはセキュリティではありません。

両端でLinuxを使用している場合は、sshトンネルを使用することもできます。

ssh -f -N -L 9090:localhost:9090 user@remote-host

たとえば、リモートホストのポート9090をのローカルポート9090に転送するためcherokee-adminに使用するもので、他のWeb GUIにも同様の設定を使用します。アプリケーションをlocalhost、つまりでのみ実行するようにアプリ構成で指定することで、この方法でアプリケーションを保護できます127.0.0.1。この方法では、外部からは到達できませんが、で転送できますssh。man sshポート転送を使用して他のオプションを確認します（Xを含め、別の方法で問題を完全に解決できる可能性があります）。

これは、セットアップによっては、追加のソフトウェアをインストール/構成せずに目標を達成するのに適した方法です。

ファイアウォールで許可されている場合は、最初にファイアウォールレベルで認証を行うことができます。パスワードの複雑さが十分であれば、公開されているサービスのセキュリティが強化されます。また、たとえばstunnelや相互認証などを使用してSSLトンネリングを使用することもできます。

より高いポート番号を使用する方が特定の方法でより安全であるという事実を考慮すると、ボットがIPをスキャンしてエクスプロイトを試行することを参照するかもしれませんが、誰かが本当に侵入したい場合、より高いポート番号を使用してもセキュリティは向上しません。