Intermédiaire30 minPrérequis : Module 5

Audit réseau et ports

Scanner de ports, ports en écoute, corriger les expositions dangereuses.

Comprendre l'exposition réseau

Chaque port en écoute sur votre serveur est une porte potentielle. Certaines sont légitimes (SSH sur 22, nginx sur 80/443), d'autres sont des oublis dangereux : une base de données MySQL laissée accessible sur 0.0.0.0:3306, un service de debug exposé par erreur.

Xytherion propose deux vues complémentaires : le Scanner de ports (scan TCP actif sur les 30 ports les plus risqués) et les Ports en écoute (lecture directe des tables de sockets du noyau).

Xytherion Dashboard — Scanner de ports
SCAN DE PORTS — Score sécurité : 72/100RISQUE MOYEN22SSHOUVERTÉlevé80HTTPOUVERTFaible443HTTPSOUVERTFaible3306MySQLOUVERTCritique5432PostgreSQLLOCALInfo

Scanner de ports vs Ports en écoute

Scanner de ports

Scan TCP actif. Simule un attaquant extérieur. Scanne 30 ports connus dangereux. Plus lent mais indépendant du noyau.

Ports en écoute

Lecture /proc/net/tcp. Voit tous les ports, pas seulement les 30. Inclut le processus associé et son PID. Instantané.

États des ports

OUVERT — le port écoute sur 0.0.0.0 ou :: (accessible depuis le réseau). C'est ce qu'un attaquant voit depuis l'extérieur.

LOCAL — le port écoute sur 127.0.0.1 (localhost uniquement). Accessible seulement depuis la machine elle-même.

!
MySQL sur 3306, PostgreSQL sur 5432, Redis sur 6379, MongoDB sur 27017 — si ces ports sont en état OUVERT sur un serveur en production, c'est une faille critique. Liez-les à 127.0.0.1.

Corriger une exposition

Exemple pour MySQL laissé accessible depuis le réseau :

bash
# Dans /etc/mysql/mysql.conf.d/mysqld.cnf[mysqld]bind-address = 127.0.0.1   # Au lieu de 0.0.0.0 sudo systemctl restart mysql # Re-lancez le scan dans Xytherion — MySQL doit passer en LOCAL

Corréler avec UFW

Un port peut être en écoute mais bloqué par UFW. La vue "Ports en écoute" montre l'état réel du processus, le scanner de ports montre ce qui est accessible depuis l'extérieur. Si un port est OUVERT dans les deux vues, il est vraiment accessible.

✎

Exercice pratique — Audit réseau complet

  1. 1Lancez un scan depuis l'onglet Sécurité et notez les ports en état OUVERT.
  2. 2Pour chaque port ouvert, identifiez le service associé dans 'Ports en écoute'.
  3. 3Vérifiez si ces ports devraient vraiment être accessibles depuis le réseau.
  4. 4Restreignez les ports de bases de données à 127.0.0.1 dans leurs configs respectives.
  5. 5Re-lancez le scan et vérifiez que le score de sécurité a augmenté.

Ce que vous venez d'apprendre

  • OUVERT = accessible depuis le réseau. LOCAL = localhost uniquement.
  • Bases de données sur 0.0.0.0 sont une faille critique — les lier à 127.0.0.1.
  • Le scanner TCP simule un attaquant ; les ports en écoute lisent le noyau directement.
  • UFW peut bloquer un port même s'il est en écoute — les deux vues sont complémentaires.
← Module précédentServices systemd
Module suivant →Processus et ressources