Порт 3128 для чего

Атаки злоумышленников и уязвимости. При чем здесь коммерческий SOC?

Делая выбор в пользу подключения к SOC (Security Operations Center), компания, зачастую, рассматривает провайдера как «подстраховку» в работе со сложными инцидентами и угрозами, справиться с которыми своими силами для нее потенциально было бы затруднительно. При этом часто бывает, что уже на этапе пилотного тестирования сервиса проявляются узкие места или критичные недоработки в существующей стратегии обеспечения информационной устойчивости цифровых активов. Именно поэтому SOC – это совместный «путь», где компания и провайдер сервиса идут рука об руку, дополняя и помогая друг другу на всей дистанции.

Рис. 1. Распространенные слабые места у компаний

Мы накопили многолетний опыт по обеспечению информационной безопасности: как своей собственной, так и наших клиентов. И хотим им поделиться с читателями. В рамках этой статьи будут приведены несколько кейсов, успешно предотвращенных нашим коммерческим SOC. Из них можно извлечь для себя немало полезного.

Случай 1. «Прокси-обыкновенный»

Дежурным была зафиксирована сетевая атака с адреса 10.X.X.250 на хост 10.X.X.70 (Y.Y.ru)

Выяснилось, что на хосте 10.X.X.250 установлено ПО Kerio WinRoute Firewall. Со слов ответственного за эксплуатацию хоста это ПО использовалось исключительно как межсетевой экран. Сканирование хоста показало нам следующее:

На 443 порту комфортно расположился веб-интерфейс Kerio:

Рис. 2. Kerio, смотрящий прямо в душу

Однако не меньший интерес вызвал открытый порт 3128, на котором работал http-proxy. В продолжении проверки было установлено, что, используя прокси 10.X.X.250:3128, был возможен выход в интернет без необходимости ввода учетных данных. Выход в интернет при этом осуществлялся с внешним IP 89.X.X.18. Сканирование внешнего ip-адреса показало доступность:

3128/tcp – порт прокси сервера Kerio WinRoute Firewall.

Для этого сервиса оказалось частично возможно использование метода Connect:

Итог: через прокси на порту 3128/tcp возможен доступ из сети интернет во внутреннюю сеть компании.

31415/TCP – работа сервиса ПО mrelayd

Принцип работы mrelayd похож на telnet-proxy. Для указания адреса подключения используется метод «relay», который указывается в виде строки вида: «relay targethost targetport».

Для проксирования ssh подключения в этом случае можно использовать опцию ProхyCommand (openssh) или опции подключения в Putty.

Итог: есть возможность доступа к внутренней сети, в том числе по управляющим протоколам.

Данный пример иллюстрирует, несмотря на свою кажущуюся простоту, важность правильной конфигурации прокси-сервера в компании. Ведь в противном случае информационное воздействие на внутренние цифровые активы возможно даже при отсутствии уязвимых служб на сетевом периметре и исключая вариации атак с перебором данных аутентификации протоколов удаленного управления.

Случай 2. Роутер, который смог (на самом деле – нет)

В ходе пилотного проекта внимание специалистов центра оперативного мониторинга привлек доступный из сети интернет веб-интерфейс сетевого оборудования. Пароль по умолчанию не подошёл, но в надежде на звериное везение была предпринята попытка подбора пароля из 6-ти символов к учетной записи admin.

Рис. 3. Выглядит легко доступным (использование дефолтных учётных записей)

Попытка увенчалась успехом, что позволило продолжить изыскания. В перечне интерфейсов, кроме всего прочего, был замечен «пациент» с типом «PPTP client», а в его настройках были заботливо указаны учетные данные для подключения к хосту во внутренней сети компании.

Было осуществлено успешное подключение с найденными учетными данными и определён внешний IP адрес устройства

Сканирование внешнего IP показало наличие портов, ассоциирующихся с майнингом криптовалют (что является признаком возможной компрометации системы). Кроме того, интерес привлек сервис на порту 5000/tcp. На злополучном 5000/tcp расположился уязвимый сервис, позволяющий запуск произвольных скриптов.

Рис. 4. Запущенный через web-интерфейс ping на внутренние сервисы

Рис. 5. Вывод файла /etc/shadow

Казалось бы, этого уже более чем достаточно, но в рамках дальнейшей проверки было установлено, что запущенный сервис мониторинга Cacti на 79/tcp использовал пароль доступа по умолчанию.

Рис. 6. Устройства на мониторинге

Факт доступа к Cacti позволял также получить информацию о сборе логов и SNMP community:

Данный пример в очередной раз поднимает вопрос об уже набившей оскомину проблеме использования учетных данных для доступа к системам, не отвечающим парольной политике, принятой в компании.

Случай 3. Пентест vs SOC

Хорошим тоном для компаний в рамках тестирования SOC MTС всё чаще является совмещение пилотного проекта сервиса с регулярным аудитом информационных систем в формате пентест.
Современный SOC обладает возможностью обнаружить в соответствии с SLA как факты первоначальной компрометации системы, так и дальнейшие попытки потенциального «злоумышленника» закрепиться в системе, повысить привилегии и развить атаку на хосты уже внутри корпоративной сети. Для этого соответствующим образом настраиваются политики аудита Windows/Unix систем заказчика, иные имеющиеся СЗИ. Собранные события безопасности проходят обработку, исходя из разработанных правил корреляции, что позволяет аналитику SOC эффективно детектировать возможные инциденты и осуществлять на них реагирование.

Рис. 7. Для рядового пентестера первый раунд «противодействия» с SOC заканчивается очень быстро

Уже после, путём уступок, закрывая глаза на активность подрядчика, клиенты предлагают нанятым специалистам по пентесту продолжить работу. Это ещё раз подчеркивает эффективность SOC — мы сразу вычисляем деятельность пентестеров, нанятых компанией для проверки защищённости инфраструктуры. Вопрос об эффективности и целесообразности использования SOC отпадает сразу.

Ниже приведён короткий кейс с одной из компаний:

Как можно заметить, все действия «злоумышленника», включая момент его изначального подключения к сети, были выявлены и представлены компании.

Была выявлена компрометация аккаунта, IP-адрес потенциального злоумышленника, факт установки пентестером вредоносных служб на хостах заказчика. В случае реального инцидента всей собранной информации было бы более чем достаточно для соответствующего реагирования и защиты цифровых активов компании.

И в качестве заключения

Хочется отметить, что описание реальных кейсов SOC как ничто другое должно позволить компаниям понять важность и целесообразность использования подобного сервиса.

Грамотная настройка сбора событий безопасности, их анализ, написание подходящих для компании правил корреляции, обогащение событий ИБ по средствам платформ киберразведки в проекции на реальные инциденты — дают возможность понять и оценить будущую эффективность от подключения к SOC провайдера.

Нужно всерьез понимать, что отдельные инструменты ИБ обеспечивают защиту от частных угроз, однако, не дают полного представления о том, что происходит «на границе». SOC, объединяя квалифицированных специалистов, инновационные технологии и выстроенные процессы, обеспечивает всестороннюю защиту организации от киберугроз в режиме реального времени.

Например, в рамках SOC МТС мы согласовываем с заказчиками итоговый перечень подключаемых систем-источников и правил корреляции. Вместе с защищаемой компанией подключаемся по организованному и предоставленному заказчиком туннелю доступа к системам-источникам, настраиваем защищённое соединение между ними, сервером сбора логов компании и системой SOC с целью передачи логов с систем-источников, передачу логов на сервер сбора логов компании и с него в систему SOC в режиме реального времени.

Рис. 8. Схема подключения заказчика к SOC провайдера

Команда SOC совместно с сотрудниками компании адаптирует правила выявления инцидентов ИБ, проводит профилирование сетевой и хостовой активности для минимизации ложных срабатываний. Дополнительными возможностями могут быть контроль уязвимостей внешнего периметра и расследования инцидентов ИБ.

По итогам расследования инцидентов формируется отчёт о проделанной работе. Команда SOC, помимо анализа инцидента и установления системы-источника и причин, формирует набор технических рекомендаций, позволяющих предотвратить или снизить вероятность возникновения аналогичных инцидентов в дальнейшем.

Авторы статьи:
Старший эксперт SOC МТС Дмитрий Берковец и руководитель направления по продуктам ИБ провайдера #CloudMTS Александр Карпузиков.

Если вы хотите присоединиться к команде #CloudMTS, то у нас открылись новые вакансии:

Типы Прокси HTTP, HTTPS, Socks

Прокси (в переводе с английского “proxy” – доверенное лицо) – это промежуточный транзитный веб-сервер, который используется как посредник между пользователем и конечным сервером.

Основное предназначение прокси — это смена IP адреса.

Рассмотрим ситуацию, когда пользователь посещает веб-сайт Google.com через прокси. В этом случае пользователь отправляет запрос к прокси на открытие веб-сайта. Прокси от своего имени открывает веб-сайт Google.com и затем передает данные пользователю.

Виды и типы прокси

Прокси сервера бывают нескольких типов:

• FTP прокси используются для загрузки данных на FTP сервера
• CGI прокси (анонимайзеры) помогают открыть любой веб-сайт прямо в браузере. Никаких дополнительных настроек не требуется. Чаще всего такие прокси выполнены в виде веб-сайта, где можно ввести адрес сайта, который необходимо посетить
• SMTP, POP3 и IMAP прокси используются для отправки и приема электронной почты
• HTTP и HTTPS прокси предназначены для просмотра веб-страниц
• Socks прокси передает все данные на конечный сервер как клиент, поэтому считается самым анонимным протоколом

HTTP, HTTPS и Socks прокси используются чаще всего, поэтому рассмотрим их подробнее.

HTTP прокси

HTTP прокси — это самый распространенный вид прокси. Основное предназначение — организация работы браузеров и других программ, использующих TCP протокол. Стандартные порты 80, 8080, 3128.

Принцип работы: программа или браузер посылает запрос прокси-серверу на открытие определенного URL ресурса. Прокси-сервер получает данные с запрашиваемого ресурса и отдает эти данные вашему браузеру.

HTTP прокси позволяют:

• кешировать загруженные файлы (картинки, страницы) для увеличения скорости открытия веб-сайтов
• ограничивать доступ к определенным ресурсам (например, Youtube)
• фильтровать данные. Например, вместо баннеров с рекламой показывать прозрачные картинки, которые не будут нарушать дизайн сайта, но будут существенно экономить время загрузки страницы и трафик
• ограничивать скорость соединения
• вести логи, контролировать трафик по пользователям

Виды прокси по анонимности

HTTP прокси по анонимности делятся на следующие виды:

• прозрачные прокси заявляют о том, что используется прокси и передают реальный IP адрес пользователя в HTTP заголовках. Прозрачные прокси использовать опасно, так как они не обеспечивают анонимности
• анонимные прокси уведомляют, что используется прокси, но при этом не передают реальный IP адрес пользователя. Анонимные прокси не могут гарантировать настоящей анонимности, так как заявляют, что прокси используется
• элитные прокси не уведомляют, что используется прокси и не передают реальный IP адрес пользователя. Только элитные прокси можно использовать для полной анонимности

HTTPS прокси

HTTPS прокси — фактически это HTTP-прокси, буква «S» в данном случае означает «secure» (защищенный) с поддержкой защищенного SSL соединения. Эти прокси применяются, когда требуется передать секретную информацию (например, логины/пароли, номера пластиковых карт). Стандартные порты 80, 8080, 3128.

При использовании обычного HTTP прокси всю информацию, передаваемую через него, можно перехватить с помощью самого прокси или на более низком уровне.

Например, все Интернет-провайдеры перехватывают и логируют абсолютно всю вашу активность в сети Интернет. Эти логи хранятся провайдером и является обоснованным доказательством ваших действий в сети Интернет. Поэтому для безопасности личных данных применяется протокол HTTPS, при этом весь передаваемый трафик шифруется устойчивым к взлому алгоритмом.

Принцип работы: прокси-сервер соединяется с ресурсом и ваш трафик шифруется. При таком методе отсутствует возможность узнать, какая именно информация передается через прокси-сервер (это ограничивает применение прокси как фильтра). Также в процессе шифрации и дешифрации прокси участия не принимает. Этим занимается клиентская программа (браузер) и целевой сервер. Таким образом, HTTPS proxy занимается пассивной передачей зашифрованной информации и не производит никакой обработки передаваемой информации. Такой метод работы позволяет использовать HTTPS proxy для передачи практически любого TCP-протокола. То есть HTTPS прокси может использоваться и как POP3, SMTP, IMAP, NNTP прокси.

Socks прокси

На сегодняшний день Socks прокси — самый прогрессивный протокол передачи информации. Иногда ошибочно называют Socs, Sox, Soks. Этот протокол разработан Дейвом Кобласом (Dave Koblas).

Протокол Socks разрабатывался для программ, которые не поддерживают использование прокси напрямую. Стандартные порты 1080, 1081.

Данный протокол пережил множество изменений и на данный момент используются две версии протокола:

• Socks 4 поддерживает только TCP соединения
• Socks 5 поддерживает TCP, UDP, авторизацию по логину и паролю и возможность удаленного DNS-запроса

Socks не занимается модерацией HTTP-заголовков. Socks-сервер будет передавать информацию через себя в чистом виде. Поэтому все Socks серверы являются анонимными.

Socks прокси не передает информацию о вашем IP адресе. Веб-сайт не сможет определить использование прокси. Соединение с веб-сайтом будет абсолютно прозрачным, также как если бы вы работали с ним напрямую. При этом веб-сайт будет видеть IP адрес прокси, а не ваш реальный IP адрес.

Socks поддерживает все протоколы, включая HTTP, HTTPS, FTP.

Мы рекомендуем использовать Socks 5 прокси

Сравнение разных типов прокси

Таблица сравнения разных видов прокси.

HTTP	HTTPS	Socks
Кэширование страниц, быстрая загрузка
Поддержка https (SSL) соединения
Полностью анонимный протокол

Откуда берутся прокси

Прокси – это программа, которая управляет запросами от пользователя к конечному серверу. Такая программа устанавливается на компьютере пользователя или на сервере.

1. Прокси установлены на обычных компьютерах пользователя с помощью троянских программ или вирусов через ботнет. Ботнет – это сеть инфицированных компьютеров, управляемых главным компьютером. Прокси выполняет ваши запросы, действуя от лица инфицированного компьютера. Данный вид прокси предоставляет максимальную анонимность. Минус прокси — невозможно гарантировать постоянную работу прокси, так как установлены на удаленном компьютере.
2. Прокси настроены на собственных серверах. Такие прокси являются самыми надежными, так как сервер работает все время. Постоянные прокси не нужно проверять на валидность. Минус таких прокси в том, что они не могут обеспечить идеальную анонимность, так как известно кому принадлежит сервер и его можно изъять.

Платные прокси настраиваются с целью получения материальной выгоды от продажи и чаще всего отличаются уровнем анонимности.

Бесплатные прокси

В Интернете существуют веб-сайты, где публикуются бесплатные прокси. С какой целью публикуются бесплатные прокси? Ответить на этот вопрос однозначно сложно. Бесплатные прокси можно использовать для обучения работе с прокси. Бесплатные прокси подходят вам, если анонимность не важна.

Причины появления бесплатных прокси:

• неправильная настройка доступа к прокси со стороны администратора локальной сети. Администратор сети не закрыл доступ к прокси из Интернета
• университеты и учебные заведения открывают доступ через прокси к библиотеке своего университета. При этом прокси попадает в список публичных
• прокси от государственных организаций

Использование публичных прокси очень опасно. Так как мы уже знаем, что прокси может кешировать, собирать статистику по пользователям. Соответственно некоторые организации заинтересованы в размещении публичных прокси с целью слежения за пользователями.

Мы не рекомендуем использовать бесплатные публичные прокси.

Как использовать прокси

Если ваша цель – это анонимное использование сети Интернет, мы рекомендуем использовать только Socks 5 прокси.

Для целей парсинга данных, SMM, SEO и онлайн игр можно использовать HTTP/HTTPS прокси.

Прокси можно настраивать в браузере или через специальные программы.

Цепочки прокси

Прокси сервера можно выстраивать в цепочки. С точки зрения анонимности и скорости работы достаточно использовать цепочку из 2 прокси в разных странах. Данные будут последовательно проходить через 2 прокси.

Помните, что Интернет-провайдер может логировать и прослушивать ваш трафик через прокси.

Мы рекомендуем использовать VPN + 2 прокси для обеспечения вашей анонимности.

VPN и прокси сервис защищает своих клиентов с 2006 года, используя надежные технологии в области анонимности передачи данных в Интернете.

TCP 3128

Looking for information on Protocol TCP 3128? This page will attempt to provide you with as much port information as possible on TCP Port 3128.

TCP Port 3128 may use a defined protocol to communicate depending on the application. A protocol is a set of formalized rules that explains how data is communicated over a network. Think of it as the language spoken between computers to help them communicate more efficiently.

Protocol HTTP for example defines the format for communication between internet browsers and web sites. Another example is the IMAP protocol that defines the communication between IMAP email servers and clients or finally, the SSL protocol which states the format to use for encrypted communications.

TCP Port 3128

Here is what we know about protocol TCP Port 3128. If you have information on TCP port 3128 that is not reflected on this page, simply leave a comment and we’ll update our information.

PORT 3128 – Information

• Port Number: 3128
• TCP / UDP: TCP
• Delivery: Yes
• Protocol / Name: squid
• Port Description: Squid-UDP (Squid Web Proxy Cache)
• Virus / Trojan: No

Side note: TCP port 3128 uses the Transmission Control Protocol. TCP is one of the main protocols in TCP/IP networks. Whereas the IP protocol deals only with packets, TCP enables two hosts to establish a connection and exchange streams of data. TCP guarantees delivery of data and also guarantees that packets will be delivered on port 3128 in the same order in which they were sent. Guaranteed communication over port 3128 is the key difference between TCP and UDP. UDP port 3128 would not have guaranteed communication in the same way as TCP.

Because protocol TCP port 3128 was flagged as a virus (colored red) does not mean that a virus is using port 3128, but that a Trojan or Virus has used this port in the past to communicate.

TCP 3128 – Disclaimer

We do our best to provide you with accurate information on PORT 3128 and work hard to keep our database up to date. This is a free service and accuracy is not guaranteed. We do our best to correct any errors and welcome feedback!

Не могу заставить SQUID работать как прозрачный прокси.

Добрый день! Имеется OS Fedora 17 и SQUID 3.2.0.16 установленный из репозитория. Все работает до тех пор, пока не указываю сквиду работать прозрачно:

что у тебя с iptables?

Еще вчера он у тебя слушал порт 8080 и все работало.
Ты его нарочно раз в день ломаешь?

Не в тему, но чтобы не создавать отдельную тему: что такое прозрачный и непрозрачный прокси? Чем они отличаются?

Перенаправь на iptables 80-ый на 3128.

а не transparent надо писать ?

в одном случае надо браузеру показать прокси, во втором нет.

Служба запущена, ошибок не показывает, но доступа в интернет — нету, как с явно указанным проки в браузере, так и без него.

Учи матчасть. Как трафик браузера должен попасть на прокси? варианты: любой nat или wccp

до 3.1 — transparent, начиная с 3.1 — intercept.

cat /etc/sysconfig/iptables в студию!

А еще у сквида есть волшебные строчки tcp_outgoing address

А ты NAT включить не забыл?

Но, он же работает в режиме НЕпрозрачного прокси! Почему тогда не хочет работать в прозрачном режиме?

Этот сервер имеет всего одну сетевуху, зачем ему NAT? В качестве шлюза указан маршрутизатор CISCO.

Этот сервер имеет всего одну сетевуху, зачем ему NAT? В качестве шлюза указан маршрутизатор CISCO.

Вот потому и не работает.

Он ведь почему прозрачный? Потому что клиент (браузер) не подозревает о его существовании.

Как сделать, чтобы трафик клиента шёл через сервер с прозрачным сквидом? Правильно — указать этот сервер в качестве шлюза по-умолчанию.

А у вас клиенты прутся в интернет мимо сквида — через циску.

В Вашем случае следует почитать про WCCP.

Этот сервер имеет всего одну сетевуху

И на кой черт туда ставить проксю, если любой дурак сможет в обход нее в интернет выйти?

Имеется оборудование: Маршрутизатор cisco c IP адресом 10.106.100.1; Проски-сервер Fedora 17 + SQUID c IP адресом 10.106.100.2; доменный контроллер Win2003 c IP адресом 10.106.100.3.

Вот настройки сетевой карты в Fedora: # cat /etc/sysconfig/network-scripts/ifcfg-em1

У всех пользователей в настройках TCP/IP вот такие параметры:

На CISCO разрешено выходить в интернет только для IP: 10.106.100.2 и 10.106.100.3, для остальных — все закрыто.

Так вот, как только я включаю параметр intercept (transparent) в сквиде, инет прекращается даже если в настройках браузера явно указан прокси-сервер. А в логах сквида появляется вот это: