KPN Extra Veilig Internet (FortiGate) opent extra poorten

[Jimbolino]

Op onze KPN EEN MKB verbinding hebben we "Extra Veilig Internet" geactiveerd.
Omdat op de website van KPN niet echt duidelijk uitgelegd wordt wat het doet, vroeg ik me af of hier iemand is die weet hoe het werkt, of ervaring heeft met FortiGuard (het product dat ze gebruiken).

Voor wat ik begrijp, routeren ze je internetverkeer door hun (transparante) proxy. Hierdoor kunnen ze je http verkeer scannen op virussen etc. https verkeer kunnen ze niet inzien.

Ook kunnen bepaalde hostnames geblokkeerd worden door hun DNS servers te gebruiken.
Ik heb het nog niet in werking gezien, maar ik neem aan dat als ze een http url blokkeren, je een nette foutmelding pagina van FortiGate te zien krijgt, en bij een https url een https foutmelding.

Wat ik vreemd aan heel dit product vind, is dat sinds dat het aan staat, er allerlei poorten geopend zijn op ons externe ip adres:

code:

2000/tcp open     cisco-sccp
5060/tcp open     sip
8008/tcp open     http
8010/tcp open     xmpp

Ik heb de range van kpn gescanned, en ik kwam verschillende ip's tegen met dezelfde open poorten. Op poort 8010(https) is een foutmelding pagina te zien van FortiGate:
bv:
https://37.153.193.225:8010/
https://37.153.193.105:8010/

Ik heb even de img url uit de foutmelding pagina in shodan gegooid:
https://www.shodan.io/sea...HDDPFGGHGFHBGCHEGPFBGAHAH
En vooral veel hits in Zuid Afrika.

Klopt het dat dit verkeerd ingestelde devices zijn, en dat KPN hier dus een oopsie heeft gemaakt?

[MAX3400]

Antwoord 1: KPN roept maar wat want hoe ga je iets tegenhouden als je het eerste slachtoffer zou zijn van een bepaalde aanval? Een gloednieuwe ransomware heeft voor KPN geen "signature" en komt dus gewoon bij jou op je systeem als je daar toevallig op geklikt hebt.

Antwoord 2: als je een oopsie verwacht, ik zou KPN even bellen om te vragen hoe dat dan zit?

Antwoord 3: haal je publieke IP's weg uit je startpost

[Jimbolino]

MAX3400 schreef op dinsdag 27 juli 2021 @ 13:02:
Antwoord 3: haal je publieke IP's weg uit je startpost

Zijn niet onze ips, heb een aantal ranges met nmap gescanned.

[pennenlikker]

Kwam deze post toevallig tegen, weet iemand hier meer van. Bij onze verbindingen zijn deze poorten ook ineens open. Ook hebben ze nu DNS 53 geopend naar de router.

[Yohost!]

Ik ken het product niet zo goed hoor maar het wan adres staat toch op je eigen router?
Dat zou betekenen dat de kpn firewall niet helemaal transparant is.

Alsof ze sommige poorten herrouteren naar een interface op hun eigen firewall.

[pennenlikker]

Ik ook niet het lijkt vooral een DNS filter te zijn

https://www.kpn.com/zakel...extra-veilig-internet.htm

Maar waarom dan die poorten openzetten, het zal wel een reden hebben maar toch wel nieuwsgierig.
Herrouteren zou kunnen maar waarom dan DNS openzetten, dat kun je toch ook op een andere manier doen.

[Kabouterplop01]

En is KPN al gecontacteerd?

[pennenlikker]

Nope, zo'n vraag bij de KPN helpdesk trek daar maar een ochtend voor uit.