Porttiskannauksen tekniikat

Avoimet portit paljastavat isännässä käynnissä olevat palvelut ja muodostavat kartan hyökkäyspinnasta. Porttiskannaus selvittää, mitkä TCP- ja UDP-portit ovat avoimia, suljettuja tai suodatettuja.

Nmap tarjoaa useita skannaustekniikoita, joiden nopeuteen, huomaamattomuuteen ja vaadittaviin oikeuksiin liittyy erilaisia kompromisseja.

Nmap ilmoittaa kunkin portin olevan jossakin seuraavista tiloista:

• open: palvelu hyväksyy aktiivisesti yhteyksiä.
• closed: portti on tavoitettavissa, mutta mikään palvelu ei kuuntele sitä.
• filtered: palomuuri estää kyselyt, joten Nmap ei pysty selvittämään tilaa.
• open|filtered ja closed|filtered: tulos on epäselvä.

Skannausten ymmärtäminen edellyttää TCP-kättelyn tuntemista:

• Asiakas lähettää SYN-paketin.
• Palvelin vastaa SYN-ACK-paketilla, jos portti on avoin.
• Asiakas lähettää ACK-paketin yhteyden viimeistelemiseksi.

Suljettu portti vastaa RST-paketilla. Skannaustyypit eroavat siinä, kuinka pitkälle tässä kättelyssä edetään.

SYN-skannaus (-sS) on oletus, kun Nmap suoritetaan root-käyttäjänä. Se lähettää SYN-paketin, havaitsee SYN-ACK-vastauksen (avoin) tai RST-vastauksen (suljettu) ja lähettää sitten RST-paketin, jotta kättelyä ei koskaan viimeistellä.

Tämä niin sanottu puoliksi avoin skannaus on nopea ja suhteellisen huomaamaton, koska täyttä yhteyttä ei koskaan muodosteta. Se edellyttää raakaliitäntöjen käyttöoikeuksia.

Yhteysskannaus (-sT) viimeistelee koko kolmivaiheisen kättelyn käyttöjärjestelmän verkkorajapinnan avulla. Se ei tarvitse erityisoikeuksia, joten se on rajoitettujen oikeuksien käyttäjien varamenetelmä.

Koska yhteys muodostetaan kokonaan, skannaus on näkyvämpi ja kohteen palvelut kirjaavat sen todennäköisemmin lokiin.

UDP-skannaus (-sU) löytää UDP:tä käyttäviä palveluita, kuten DNS:n, SNMP:n ja DHCP:n. UDP on yhteydetön, joten skannaus on hidasta ja hankalaa:

• Vastaamattomuus tarkoittaa usein tilaa open|filtered.
• ICMP port-unreachable tarkoittaa suljettua porttia.

UDP-palvelut jäävät usein huomaamatta, joten ne voivat kätkeä arvokkaita löydöksiä.

Useat skannaukset lähettävät epätavallisia lippuyhdistelmiä yksinkertaisten palomuurien ohittamiseksi ja SYN-lokimerkintöjen välttämiseksi:

• FIN (-sF): vain FIN-lippu.
• NULL (-sN): mitään lippuja ei aseteta.
• Xmas (-sX): FIN-, PSH- ja URG-liput asetettuina, ”jouluvalaistuna”.

Nämä menetelmät perustuvat RFC-määrittelyjen mukaiseen toimintaan ja toimivat usein vain tietyissä verkkopinoissa.

Hallinnoikaa skannattavia portteja nopeuden ja kattavuuden tasapainottamiseksi:

• -p 80,443 määritetyt portit.
• -p 1-1000 porttialue.
• -p- kaikki 65535 porttia.
• --top-ports 100 yleisimmät portit.
• -F 100 yleisimmän portin pikas skannaus.

-T-lippu määrittää ajoituksen arvosta 0 (vainoharhainen) arvoon 5 (raju):

• -T0/-T1: erittäin hidas, IDS:n väistämiseen.
• -T3: tasapainoinen oletus.
• -T4: nopeampi, yleinen luotettavissa verkoissa.
• -T5: aggressiivinen, saattaa ohittaa tuloksia.

Nopeammat skannaukset ovat näkyvämpiä ja voivat olla epätarkempia.

Nmap tarjoaa asetuksia palomuurin ja IDS:n kestävyyden testaamiseen:

• -f pilkkoo paketit osiin.
• -D käyttää harhautuslähdeosoitteita.
• --source-port väärentää luotetun lähdeportin, kuten portin 53.

Käyttäkää näitä vain luvallisissa testeissä havaitsemiskyvyn arviointiin.

Käytännön skannauksissa näitä asetuksia yhdistellään. Yleinen perusteellinen TCP-skannaus valitsee skannaustyypin, kaikki portit ja nopeamman ajoituksen sekä tallentaa tulokset.

Aloittakaa laajasti avoimien porttien löytämiseksi ja tehkää sen jälkeen kohdennetut jatkoskannaukset (version tunnistus ja komentosarjat) vain porteille, jotka ovat todella avoimia. Tämä kaksivaiheinen lähestymistapa on nopeampi ja huomaamattomampi kuin kaiken tekeminen kerralla.

Opitte porttiskannaustekniikoita:

• Porttien tilat: open, closed, filtered sekä epäselvät muunnelmat.
• SYN-skannaus (-sS) on huomaamaton oletusmenetelmä; connect (-sT) ei vaadi oikeuksia, mutta on näkyvämpi.
• UDP (-sU) on hidas, mutta löytää helposti huomaamatta jääviä palveluita.
• FIN/NULL/Xmas-skannaukset voivat ohittaa yksinkertaisia palomuureja.
• Hallitkaa portteja lipulla -p, nopeutta lipulla -T ja testatkaa väistömenetelmiä lipuilla -f/-D.

Seuraavaksi: palveluiden ja käyttöjärjestelmän tunnistus.