El puerto abierto a internet

Una regla de red —un grupo de seguridad— dice qué puertos aceptan conexiones y desde qué orígenes. En el archivo de Cauce, el puerto de la base de datos de pagos está abierto al origen 0.0.0.0/0, que significa «cualquier punto de internet». Una base de datos no tiene nada que hacer escuchando al mundo entero: solo deberían alcanzarla los servicios de la propia aplicación. Abierta así, cualquiera puede intentar conectarse a ella y probar a entrar, sin haber pisado antes ninguna otra defensa.

Reconocer que un puerto de datos abierto a 0.0.0.0/0 es exposición directa —no hace falta atravesar nada para llamar a la puerta— es lo que esta sala enseña a ver en una regla de red.

El arreglo de un puerto expuesto no es cerrarlo del todo —el servicio que lo usa tiene que seguir llegando— sino restringir el origen: que solo acepte conexiones desde la red interna de la aplicación o desde las direcciones conocidas que deben hablar con él. Vale igual para un puerto de administración: un acceso de administración abierto a cualquier origen recibe intentos de entrada constantes; limitado a unas direcciones concretas, deja de ser una puerta para todo internet. Se cambia la regla en el archivo y se vuelve a escanear.

Cambiar «cualquier origen» por «solo quien debe» en el archivo de red es el arreglo que cierra la exposición sin romper el servicio.

No todo puerto público es un fallo. La aplicación de pagos de Cauce tiene que ser alcanzable por el puerto web estándar: ese es su acceso previsto y público a propósito, no un hallazgo. Lo que para es un puerto que nunca debió salir —la base de datos, la administración— abierto a todo internet: exposición de acceso directa, no se aplica hasta corregir. Distinguir el puerto que debe ser público del que no es justo la lectura que pide una regla de red: la misma forma —un puerto abierto— significa cosas opuestas según qué puerto sea.

Separar el acceso previsto de la exposición accidental, en vez de parar por todo puerto público, es lo que evita bloquear a la propia aplicación.

Abre el laboratorio de red de Cauce. Lee el archivo del grupo de seguridad y la salida de Checkov. Distingue el fallo que para —la base de datos de pagos abierta a todo internet— del aviso informativo del puerto web público.