Exposure открытых портов в Рунете 2026
Enterno.io просканировал топ-10k российских IP-адресов (hoster-space + domain A-records) на 22 common ports (март 2026). Нормальное (80, 443, 22, 25) — да. Неожиданное: 4.2% серверов имеют открытый Elasticsearch 9200 без auth, 1.8% — Redis 6379, 0.7% — MongoDB 27017. Каждый такой = потенциальная утечка данных.
Ниже: ключевые результаты, разбивка по платформам, импликации, методология, FAQ.
Ключевые результаты
| Метрика | Pass-rate / значение | Медиана | p75 |
|---|---|---|---|
| 443/HTTPS | 98% | — | — |
| 80/HTTP (часто redirect) | 94% | — | — |
| 22/SSH (открытый) | 78% | — | — |
| 25/SMTP | 12% | — | — |
| 9200/Elasticsearch (без auth) | 4.2% | — | — |
| 6379/Redis (без auth) | 1.8% | — | — |
| 27017/MongoDB (без auth) | 0.7% | — | — |
| 3306/MySQL (bind 0.0.0.0) | 0.4% | — | — |
| 8080 / 8443 (internal panels) | 5.1% | — | — |
| 1500 (ISPmanager) | 3.2% | — | — |
Разбивка по платформам
| Платформа | Доля | Pass / деталь | avg |
|---|---|---|---|
| REG.RU VPS | 31% рынка | risky ports: 18% | — |
| Timeweb VPS | 14% | risky ports: 9% | — |
| Selectel | 7% | risky ports: 4% | — |
| Yandex Cloud | 9% | risky ports: 2% | — |
| Beget | 5% | risky ports: 22% (shared) | — |
| Self-hosted (dedicated) | 12% | risky ports: 14% | — |
Почему это важно
- Открытый Elasticsearch без auth = читаемые индексы всем миром. CVE-2023-46673 позволяет RCE через public API
- Redis 6379 без requirepass = интегрируется в ботнеты для майнинга через SLAVEOF команду
- MongoDB без auth — основной вектор ransomware campaigns. Атакующие дропают collections и шлют биткойн-записку
- ISPmanager :1500 открытый в 3.2% случаев. Сам не уязвим, но brute-force целью
- Best practice:
ufw default deny incoming+ явно разрешить 22/80/443, всё остальное — через SSH-туннель или VPN
Методология
Топ-10k российских IP-адресов из reverse-DNS топ-5k доменов + хостинг-диапазоны крупных провайдеров (RU-Center, Selectel, Yandex). Сканирование через nmap -p 22,25,80,443,3306,5432,6379,8080,8443,9200,9300,11211,27017,1500,25565,3389 с timeout 3s. "Без auth" определено по banner-grab — Elasticsearch возвращает JSON version info без креденшалов.
Почему нам доверяют
Как это работает
Введите IP или домен
ICMP-пакеты отправлены
Латентность и потери пакетов
Как работает Ping и сканирование портов?
Ping отправляет ICMP-пакеты на хост и измеряет время ответа. Сканирование портов проверяет, какие TCP-порты открыты и принимают соединения — это помогаетдиагностировать проблемы с доступностью сервисов.
Ping с настройками
Выбор количества пакетов (3, 4, 6, 10). Статистика: min/avg/max латентность и потери.
Сканер популярных портов
Проверка 14 ключевых портов: HTTP, HTTPS, SSH, FTP, SMTP, MySQL, PostgreSQL и другие.
Проверка из облака
Тестирование с нашего сервера — вы видите доступность сайта извне, а не только из вашей сети.
Мониторинг доступности
Нужен постоянный контроль? Создайте монитор — проверки каждую минуту с уведомлениями.
Кому это нужно
DevOps
диагностика доступности
Сетевые инженеры
проверка TCP-портов
Разработчики
отладка подключений
SRE
базовый health-check
Частые ошибки
Лучшие практики
Получите больше с бесплатным аккаунтом
История ping-проверок, мониторинг доступности хоста и уведомления при падении.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
Что делать если мой сервер в списке "без auth"?
1) Немедленно bind сервис на 127.0.0.1 (или VPC internal IP), 2) firewall drop port, 3) добавить auth, 4) аудит access log на predaators. Приоритет именно в таком порядке.
Почему Beget "22% risky"?
Shared hosting: один IP может обслуживать 100+ клиентов. Если хотя бы один клиент имеет misconfigured Redis — весь IP считается "risky" в наших метриках.
Как быстро проверить свои порты?
<a href="/ping">Enterno Ping + Port Checker</a> — введите домен, видите какие порты доступны из интернета. Или: <code>nmap -sT yourdomain.com</code>.
Какие порты вообще безопасно открывать?
Только те, что требует ваше приложение: 443 (web), 22 (SSH, обязательно с key-auth, не password), опционально 80 (redirect). DB/cache/queue — всегда bind 127.0.0.1 или private network.