Faux amis
Le nom de l'objet est une étiquette, pas un diagnostic.
Ce qu'affiche Stormshield
Stormshield affiche le nom du premier objet de service qui couvre le port destination. Un logiciel qui utilise un port historiquement attribué à autre chose sera affiché sous ce nom — et l'IPS tentera de l'analyser comme tel. C'est la première source d'erreur dans la lecture des logs, et la première cause de coupure au passage en IPS.
| Affiché | Port | Ce que c'est souvent en réalité |
|---|---|---|
x11 | 6000 | P2P EZVIZ / Hik-Connect |
vmware | 902 | agent ESXi — mais sur un site sans VMware, un applicatif métier ou une entrée résiduelle dans un logiciel de sauvegarde |
irc | 6667 | management cloud Zyxel Nebula |
sybase | 2638 | rarement Sybase |
echo | 7 | test de connectivité d'un agent |
slp | 427 | découverte locale, jamais à ouvrir vers Internet |
ad2003-dyn · ad2008-dyn | plages RPC | souvent un flux applicatif quelconque tombant dans la plage |
Tcp_2500 | 2500 | plage de transport Veeam uniquement chez Veeam — ailleurs, résidu de copier-coller |
Tcp_7680 | 7680 | Delivery Optimization Windows, jamais un flux métier |
dot | 853 | DNS over TLS — contournement, à bloquer |
Ne jamais conclure d'après le nom. Lire le port en numérique dans les logs, identifier le processus côté serveur, puis renommer l'objet — Aemsoft_902 plutôt que vmware. Sinon le prochain lecteur refera l'erreur.
Ce que dit le registre IANA
Un outil qui affiche le nom officiel trompe de la même façon : pour une bonne part des ports du parc, le nom IANA désigne un logiciel qui n'a rien à voir. Relevé sur le registre, pour les ports du socle :
| Nom IANA | Port | Ce que c'est dans le parc |
|---|---|---|
hpvroom | 5228/tcp | push Android (Firebase Cloud Messaging) |
hpvirtgrp | 5223/tcp | push Apple (APNs) |
twrpc · plethora · cleanerliverc | 3479-3481/udp | média Microsoft Teams |
nsjtp-data | 1688/tcp | activation KMS de Windows et Office |
ezmeeting-2 | 10101/tcp | supervision des centrales d'alarme |
canit-store | 6568/tcp | AnyDesk |
ecmp · patrol-coll | 6160 · 6162/tcp | Veeam : Installer Service et Data Mover |
cleverdetect | 6690/tcp | Synology Drive |
westec-connect | 5566/tcp | Snapshot Replication Synology |
irdmi | 8000/tcp | SDK Hikvision |
oracle-em2 | 1754/tcp | firewall vers Stormshield Management Center |
ideafarm-door | 902/tcp | ESXi — que Stormshield affiche vmware |
Le nom affiché par Stormshield peut différer du nom IANA (vmware contre ideafarm-door pour le 902) : seul le numéro fait foi. L'index des ports donne les deux, avec le filtre « Faux amis ».
Source : IANA — Service Name and Transport Protocol Port Number Registry