TCP/IP-modellen og almindelige porte

IP-adresser identificerer entydigt enheder på et netværk. IPv4 bruger 32-bit-adresser skrevet i punktumsepareret decimalnotation (f.eks. 192.168.1.10), mens IPv6 bruger 128-bit-adresser. En subnetmaske bestemmer, hvilken del af en adresse der identificerer netværket, og hvilken del der identificerer værten. CIDR-notation (f.eks. /24) udtrykker subnetmasken kompakt. Sikkerhedsprofessionelle bruger subnet til at segmentere netværk og begrænse trafikflowet mellem tillidszoner.

Før data udveksles over TCP, etablerer et trevejs-håndtryk en forbindelse: Klienten sender en SYN, serveren svarer med en SYN-ACK, og klienten afslutter processen med en ACK. Angribere udnytter denne sekvens i SYN-flood-DoS-angreb ved at sende mange SYN-pakker uden at fuldføre håndtrykket, så serverens ressourcer opbruges. Forståelse af normal håndtryksadfærd hjælper analytikere med at opdage afvigelser i pakkefangster og SIEM-logfiler.

UDP (User Datagram Protocol) er en forbindelsesløs transportprotokol, der sender pakker uden først at oprette en session. Den er hurtigere, men mindre pålidelig end TCP, fordi der ikke er nogen kvittering eller gensendelse. Tjenester som DNS, DHCP, NTP og SNMP bruger UDP, fordi lav latenstid er vigtigere end garanteret levering. Sikkerhedsmæssige konsekvenser omfatter UDP-baserede forstærkningsangreb, hvor små forespørgsler genererer store svar, der overbelaster ofrene.

Velkendte porte (0-1023) er reserveret til almindelige tjenester og tildeles af IANA. Det er vigtigt at kunne huske de mest centrale af dem til Security+-eksamen. Port 22 er SSH, port 443 er HTTPS, port 80 er HTTP, port 25 er SMTP, og port 53 er DNS. Når du ved, hvilken port en tjeneste bruger, kan du skelne legitim trafik fra angreb og skrive præcise firewallregler.

Registrerede porte (1024-49151) bruges af programmer, der kræver en fast, men ikke-privilegeret port. Eksempler omfatter 3389 (RDP), 3306 (MySQL), 1433 (MSSQL) og 8080 (alternativ HTTP). Dynamiske (midlertidige) porte (49152-65535) tildeles midlertidigt af operativsystemet til forbindelser fra klientsiden. Angribere kører nogle gange skadelige tjenester på porte med høje numre for at omgå firewallregler, der kun blokerer velkendte porte.

ICMP (Internet Control Message Protocol) bruges til diagnosticering og fejlrapportering. Kommandoen ping bruger ICMP Echo Request/Reply til at teste, om en vært kan nås. ICMP er nyttig, men kan udnyttes: ping sweep finder aktive værter, ICMP-redirectmeddelelser kan manipulere routingtabeller, og skjulte kanaler kan tunnelere data i ICMP-nyttelaster. Mange organisationer blokerer ICMP ved netværksgrænsen, men tillader det internt til fejlfinding.

ARP (Address Resolution Protocol) knytter IP-adresser til MAC-adresser på et lokalt netværkssegment. Når en vært vil sende trafik til 192.168.1.1, udsender den en ARP-forespørgsel med spørgsmålet »Hvem har 192.168.1.1?«, og ejeren svarer med sin MAC-adresse. ARP har ingen godkendelse, hvilket gør protokollen sårbar over for ARP-spoofing (også kaldet ARP-forgiftning), hvor en angriber sender falske ARP-svar for at omdirigere trafik gennem sin egen maskine til mand-i-midten-angreb.

DNS (Domain Name System) oversætter menneskeligt læsbare værtsnavne (www.example.com) til IP-adresser. En DNS-forespørgsel bevæger sig gennem et hierarki: Klienten spørger en rekursiv resolver, som spørger rodservere, derefter TLD-servere og til sidst autoritative navneservere. Sikkerhedsmæssige konsekvenser er betydelige: DNS-cacheforgiftning indsætter falske poster, DNS-tunnelering koder data i forespørgsler for at eksfiltrere data eller nå C2-servere, og typosquatting registrerer domæner, der ligner legitime domæner, for at narre brugere til phishing.

To vigtige værktøjer til analyse af TCP/IP-trafik er Wireshark og Nmap. Wireshark er en pakkeanalysator, der lader dig undersøge individuelle rammer, filtrere efter protokol og følge TCP-strømme for at genskabe sessioner. Nmap er en netværksscanner, der identificerer aktive værter, åbne porte, kørende tjenester og operativsystemversioner. Tilsammen giver de sikkerhedsfagfolk indsigt i, hvad der faktisk bevæger sig gennem et netværk, så de kan opdage afvigelser og bekræfte, at firewallregler fungerer efter hensigten.

I denne lektion har du lært, at OSI- og TCP/IP-modellerne beskriver netværkslag, hvor sikkerhedskontroller fungerer, at velkendte porte (0-1023) identificerer almindelige tjenester og skal læres udenad til eksamen, og at protokoller som ARP, DNS og ICMP hver især medfører særlige sikkerhedsrisici, herunder spoofing, cacheforgiftning og tunnelering. Næste gang ser vi på firewalls, og hvordan de filtrerer netværkstrafik.