كيف تراقب المنافذ المفتوحة لخوادم الويب وقواعد البيانات وخدمات البريد؟

تُراقَب المنافذ المفتوحة على مستوى كل خدمة: تحقّق من أن كل منفذ متوقَّع يقبل الاتصالات، وأن البروتوكول الصحيح هو الذي يستجيب عليه، وقارن زمن الاتصال بخط أساس. ينبغي فحص منافذ الويب والبريد من عدة مناطق عامة، بينما تُراقَب منافذ قواعد البيانات من نقطة داخلية أو مصرّح بها عبر قائمة سماح، مع إطلاق تنبيه فور أن تصبح قابلة للوصول من الإنترنت.

لماذا لا يكفي اتصال TCP

إتمام مصافحة TCP بنجاح يثبت فقط أن شيئًا ما يستمع على المنفذ. فقد يقبل مجمّع عمّال معلَّق أو وكيل (proxy) سيئ الإعداد الاتصالات دون أن يعيد أي استجابة مفيدة. لذلك تتحقق المراقبة الجيدة للمنافذ من استجابة البروتوكول نفسه: سطر حالة HTTP، أو مصافحة TLS، أو تحية SMTP برمز 220، أو مصافحة قاعدة البيانات. ويضيف التعرّف على بصمة الخدمة (fingerprinting) إشارة ثانية بتأكيد البرنامج الذي يستجيب وإصداره.

جدول مرجعي حسب الخدمة

الخدمة	المنفذ/المنافذ	ما يجب التحقق منه	التعرّض المتوقع
HTTP	80	إعادة التوجيه إلى HTTPS	عام
HTTPS	443	مصافحة TLS، الشهادة، رمز الحالة	عام
MySQL	3306	رسالة الترحيب والإصدار	داخلي فقط
PostgreSQL	5432	الرد على SSLRequest	داخلي فقط
MongoDB	27017	الرد على أمر hello	داخلي فقط
Redis	6379	+PONG أو -NOAUTH	داخلي فقط
SQL Server	1433	رد TDS pre-login	داخلي فقط
SMTP	25	لافتة 220، دعم STARTTLS	عام (MX)
الإرسال (Submission)	587 / 465	220؛ STARTTLS / TLS ضمني	عام أو مقيّد
IMAP	143 / 993	* OK؛ TLS على 993	عام أو مقيّد
POP3	110 / 995	+OK؛ TLS على 995	عام أو مقيّد

خوادم الويب: المنفذان 80 و443

افحص المنفذين من عدة مناطق. على المنفذ 80، توقّع إعادة توجيه 301 أو 308 إلى HTTPS؛ أما الرد 200 فقد يعني أن إعادة التوجيه فُقدت بعد تغيير في الإعدادات. وعلى المنفذ 443، تحقّق من مصافحة TLS والشهادة، لأن الشهادة المنتهية أو غير المطابقة تعطّل العملاء حتى لو كان المنفذ مفتوحًا. وتتبّع زمن الاتصال بمعزل عن زمن الاستجابة: ارتفاع زمن الاتصال يشير إلى ضغط على الشبكة أو موازن الأحمال، وارتفاع زمن الاستجابة يشير إلى التطبيق.

قواعد البيانات: راقب داخليًا ونبّه عند التعرّض

يجب ألا تكون منافذ قواعد البيانات مكشوفة للإنترنت أبدًا، مما يعني فحصين منفصلين:

1. فحص السلامة من الداخل. شغّله من مضيف داخلي أو من مصدر مدرج في قائمة السماح. يرسل MySQL رسالة ترحيب فور فتح الاتصال، بينما تنتظر PostgreSQL وMongoDB وRedis وSQL Server أن يبدأ العميل، لذا يجب أن يبادر الفحص بالإرسال أولًا.
2. فحص التعرّض من الخارج. افحص المنافذ 3306 و5432 و27017 و6379 و1433 من مواقع عامة، واعتبر حالة «مفتوح» فشلًا. فتعديل واحد على مجموعة أمان (security group) أو حاوية منشورة بربط منافذ خاطئ قد يكشف قاعدة بيانات خلال دقائق، والماسحات الآلية تكتشف النسخ المكشوفة بسرعة.

خدمات البريد: اقرأ اللافتة

تعرّف بروتوكولات البريد عن نفسها، مما يسهّل التحقق منها. يجب أن ترد خوادم SMTP بالرمز 220؛ أما الرمز 421 فيعني أن الخدمة ترفض الاتصالات. على المنفذ 587، تأكّد من الإعلان عن STARTTLS بعد أمر EHLO؛ وعلى المنافذ 465 و993 و995، تأكّد من نجاح مصافحة TLS. ينبغي أن يرحّب IMAP بـ * OK وPOP3 بـ +OK. تحظر بعض الشبكات السحابية حركة المنفذ 25 الصادرة، لذا افحص من مواقع يُسمح فيها بها.

فترات الفحص والعتبات

نقاط انطلاق شائعة تُضبط وفق خط الأساس الخاص بك:

• الويب (80/443): كل دقيقة من ثلاث مناطق على الأقل؛ نبّه عند فشل موقعين أو أكثر في فحصين متتاليين.
• البريد (25/587/993): كل 1 إلى 5 دقائق؛ نبّه عند فشلين متتاليين أو ظهور لافتة غير متوقعة.
• سلامة قواعد البيانات (داخليًا): كل دقيقة؛ نبّه بعد فشلين إلى ثلاثة متتالية.
• تعرّض قواعد البيانات (خارجيًا): كل 5 إلى 15 دقيقة؛ نبّه عند أول نتيجة «مفتوح».
• زمن الاستجابة: حذّر عندما يبقى زمن الاتصال عند ضعفين إلى ثلاثة أضعاف خط الأساس.

للاطلاع على صورة أشمل، راجع أفضل ممارسات مراقبة المنافذ.

التطبيق العملي مع UpScanX

تُجري مراقبة المنافذ في UpScanX فحوصات لمنافذ TCP وUDP من أكثر من 15 موقعًا حول العالم، مع التعرّف على بصمة الخدمة واكتشاف الإصدار، والتحقق من الاستجابة الخاص بكل بروتوكول، وتتبّع زمن الاتصال وزمن الاستجابة. كما تقارن حالة المنافذ بخط أساس للإعدادات، وتكشف الخدمات غير المتوقعة، وترسل التنبيهات عبر البريد الإلكتروني أو Slack أو Telegram أو Microsoft Teams أو Webhook.

أهم النقاط

• تحقّق من استجابة البروتوكول على كل منفذ، لا من اتصال TCP فقط.
• افحص منافذ الويب والبريد العامة من عدة مناطق واشترط توافقها قبل التنبيه.
• راقب سلامة قواعد البيانات داخليًا وتعامل مع أي إمكانية وصول عامة إليها كحادث.
• احتفظ بقائمة جرد للمنافذ المتوقعة ونبّه عند أي انحراف عنها.