Verificar se as portas de banco de dados estão expostas à internet

Por que a exposição importa

Bancos de dados e caches foram feitos para serem acessados pela sua própria aplicação, não por desconhecidos. O Redis, em especial, costuma rodar sem senha nas configurações padrão, e uma porta do MySQL ou do PostgreSQL acessível convida a tentativas de adivinhar senhas. Manter essas portas fora da internet pública é uma precaução básica.

O que cada resultado significa

Uma porta aberta não significa que o banco de dados esteja desprotegido. A autenticação e as regras de host ainda podem recusar o login. Significa que o serviço está acessível e merece uma análise mais detalhada.

Correções típicas

1. Faça o bind do banco de dados em localhost ou em uma rede privada.
2. Crie uma regra de firewall que permita a porta apenas a partir dos seus servidores de aplicação.
3. Em servidores na nuvem, revise também o security group ou a network ACL, além do firewall do host.
4. Faça a varredura novamente para confirmar que a porta não aparece mais.

Limites desta verificação

Apenas as três portas padrão são testadas. Um banco de dados em uma porta personalizada não é detectado. Porta fechada, filtrada e inacessível produzem o mesmo resultado vazio, portanto uma varredura limpa significa apenas que essas portas não aceitaram conexão daqui. Faça a varredura somente de servidores que você possui ou administra.

Quando a exposição é intencional

Algumas configurações expõem um banco de dados de propósito, por exemplo um serviço gerenciado que aceita conexões de uma lista de endereços autorizados, ou uma réplica à qual outras regiões se conectam. Se for o seu caso, uma porta aberta nesta varredura é esperada. A pergunta a fazer é se a lista de endereços autorizados realmente limita o acesso, e a forma de verificar é confirmar que a porta se comporta como você pretende a partir de endereços fora dessa lista.

Se você não pretendia expor o banco, trate uma porta de banco de dados aberta como um problema a corrigir hoje, e depois analise os logs do banco em busca de tentativas de conexão de endereços que você não reconhece.