Host-Erkennung

Bevor Sie Ports scannen, müssen Sie wissen, welche Hosts aktiv sind. Die Host-Erkennung (auch Ping-Scanning genannt) identifiziert antwortende Systeme in einem Netzwerk, damit Sie keine Zeit mit dem Scannen nicht erreichbarer Adressen verschwenden.

Nmap ist dafür und für nahezu alle Aufgaben des Netzwerk-Scannings das branchenübliche Tool.

Das Flag -sn führt einen Ping-Sweep durch: Es prüft, welche Hosts antworten, ohne Ports zu scannen. Das ist schnell und eignet sich ideal dazu, zunächst ein Subnetz zu erfassen.

Standardmäßig (bei vorhandenen Berechtigungen) sendet Nmap eine Kombination von Prüfungen an lokale und entfernte Hosts:

• ICMP-Echo-Request (ein klassischer Ping).
• TCP-SYN an Port 443.
• TCP-ACK an Port 80.
• ICMP-Timestamp-Request.

Wenn eine Prüfung eine Antwort erhält, wird der Host als aktiv markiert. Mehrere Prüfungstypen zu verwenden, umgeht viele Filter.

Nmap akzeptiert eine flexible Ziels syntax: einzelne IP-Adressen, CIDR-Bereiche, Bereiche mit Bindestrich, Hostnamen oder eine Dateiliste.

Wenn die Standardprobes gefiltert werden, können Sie bestimmte Probentypen auswählen:

• -PS TCP-SYN an die angegebenen Ports.
• -PA TCP-ACK an die angegebenen Ports.
• -PU UDP-Probe.
• -PE ICMP-Echo.

Das Anpassen der Probes hilft, wenn Firewalls die Standardprobes blockieren.

Viele Firewalls verwerfen ICMP, sodass Hosts als nicht erreichbar erscheinen. Das Flag -Pn weist Nmap an, die Discovery zu überspringen und jedes Ziel als aktiv zu behandeln, um die Ports direkt zu scannen.

Dies ist besonders wichtig in gehärteten Netzwerken, dauert jedoch länger, da Nmap auch Hosts scannt, die tatsächlich offline sein können.

In einem lokalen Ethernet-Segment verwendet Nmap ARP-Anfragen zur Discovery. Das ist schneller und zuverlässiger als ICMP, da Hosts ARP nicht ohne Weiteres ignorieren können.

Nmap führt dies bei lokalen Zielen automatisch aus, wenn es mit den erforderlichen Berechtigungen gestartet wird. Das Flag -PR erzwingt die ARP-Discovery ausdrücklich.

Der Listen-Scan -sL führt überhaupt keine Probes aus. Er listet lediglich die Ziele auf, die Nmap scannen würde, und führt Reverse-DNS-Abfragen durch.

Dies ist die unauffälligste Option und eine gute Möglichkeit, den Zielbereich zu überprüfen und vor dem Senden von Paketen Hostnamen zu ermitteln.

Die Discovery-Ausgabe meldet jeden Host als aktiv oder lässt nicht erreichbare Hosts aus. Bei ARP oder DNS werden möglicherweise auch MAC-Adressen (und der Hersteller) sowie Hostnamen angezeigt.

Diese Liste dient als Eingabe für die nächste Phase: einen detaillierten Port-Scan ausschließlich der Hosts, die tatsächlich aktiv sind.

Discovery erzeugt Datenverkehr, den Monitoring-Tools erkennen können. Um unauffälliger zu bleiben, können Sie:

• -sL für null Probes verwenden.
• das Timing mit -T1 oder -T2 verlangsamen.
• die Probentypen auf das Notwendige beschränken.

Scannen Sie ausschließlich Systeme, deren Test Sie autorisiert haben.

Nmap kann während der Discovery Hostnamen auflösen. Das liefert zusätzlichen Kontext, erzeugt aber auch DNS-Abfragen, die protokolliert werden können.

• -n deaktiviert die gesamte DNS-Auflösung (schneller und unauffälliger).
• -R erzwingt die Auflösung auch für als nicht erreichbar markierte Hosts.
• --dns-servers legt fest, welcher Resolver verwendet wird.

Das Deaktivieren von DNS mit -n beschleunigt große Scans deutlich.

Wählen Sie das richtige Flag für ein durch eine Firewall geschütztes Ziel.

Sie haben die Host-Discovery mit Nmap kennengelernt:

• -sn führt einen Ping-Sweep ohne Port-Scan aus.
• Nmap kombiniert standardmäßig ICMP-, TCP-SYN/ACK- und Timestamp-Probes; in lokalen Segmenten wird ARP verwendet.
• Benutzerdefinierte Probes: -PS/-PA/-PU/-PE.
• -Pn überspringt die Discovery, wenn ICMP blockiert ist; -sL listet Ziele ohne Probes auf.
• Passen Sie Timing und Probes für mehr Unauffälligkeit an und scannen Sie ausschließlich autorisierte Systeme.

Als Nächstes: Techniken für Port-Scans.