Découverte des hôtes

Avant d’analyser les ports, vous devez savoir quels hôtes sont actifs. La découverte d’hôtes (également appelée analyse par ping) identifie les systèmes qui répondent sur un réseau afin de ne pas perdre de temps à analyser des adresses inactives.

Nmap est l’outil de référence du secteur pour cette tâche et pour presque toutes les tâches d’analyse réseau.

L’option -sn effectue un balayage par ping : elle vérifie quels hôtes répondent sans analyser les ports. Elle est rapide et idéale pour cartographier d’abord un sous-réseau.

Par défaut (avec les privilèges nécessaires), Nmap envoie un ensemble de sondes aux hôtes locaux et distants :

• Requête d’écho ICMP (un ping classique).
• SYN TCP vers le port 443.
• ACK TCP vers le port 80.
• Requête d’horodatage ICMP.

Si une sonde reçoit une réponse, l’hôte est considéré comme actif. L’utilisation de plusieurs types de sondes permet de contourner de nombreux filtres.

Nmap accepte une syntaxe de cible flexible : adresses IP uniques, plages CIDR, plages séparées par des tirets, noms d’hôte ou liste dans un fichier.

Vous pouvez choisir des types de sondes précis lorsque les valeurs par défaut sont filtrées :

• -PS SYN TCP vers les ports indiqués.
• -PA ACK TCP vers les ports indiqués.
• -PU sonde UDP.
• -PE écho ICMP.

Le réglage des sondes est utile lorsque les pare-feu bloquent les valeurs par défaut.

De nombreux pare-feu abandonnent les paquets ICMP, ce qui donne l’impression que les hôtes sont hors ligne. L’option -Pn indique à Nmap de passer la découverte et de considérer chaque cible comme active, puis d’analyser directement les ports.

C’est essentiel sur les réseaux durcis, mais l’opération est plus lente, car Nmap analyse des hôtes qui peuvent être réellement hors ligne.

Sur un segment Ethernet local, Nmap utilise des requêtes ARP pour la découverte. Cette méthode est plus rapide et plus fiable qu’ICMP, car les hôtes ne peuvent pas facilement ignorer ARP.

Nmap le fait automatiquement pour les cibles locales lorsqu’il est exécuté avec les privilèges nécessaires. L’option -PR force explicitement la découverte ARP.

L’analyse de liste -sL n’effectue aucune sonde. Elle se contente d’afficher les cibles que Nmap analyserait et effectue des recherches DNS inversées.

C’est l’option la plus discrète et un excellent moyen de vérifier la cohérence de votre plage de cibles et de découvrir les noms d’hôte avant d’envoyer des paquets.

Les résultats de la découverte indiquent que chaque hôte est actif ou omettent les hôtes qui sont hors ligne. Avec ARP ou DNS, vous pouvez également voir les adresses MAC (ainsi que le fabricant) et les noms d’hôte.

Cette liste devient l’entrée de la phase suivante : l’analyse détaillée des ports, limitée aux hôtes qui sont réellement actifs.

La découverte génère du trafic que les outils de surveillance peuvent détecter. Pour rester plus discret, vous pouvez :

• Utiliser -sL pour n’envoyer aucune sonde.
• Ralentir le rythme avec -T1 ou -T2.
• Limiter les types de sondes à ceux dont vous avez besoin.

Analysez toujours uniquement les systèmes pour lesquels vous êtes autorisé à effectuer un test.

Nmap peut résoudre les noms d’hôte pendant la découverte, ce qui ajoute du contexte, mais génère également des requêtes DNS susceptibles d’être consignées.

• -n désactive toute résolution DNS (plus rapide et plus discret).
• -R force la résolution, même pour les hôtes marqués comme hors ligne.
• --dns-servers indique le résolveur à utiliser.

Désactiver DNS avec -n accélère considérablement les balayages de grande ampleur.

Vous avez appris à découvrir des hôtes avec Nmap :

• -sn effectue un balayage ping sans analyse des ports.
• Par défaut, Nmap combine des sondes ICMP, SYN/ACK TCP et d’horodatage ; il utilise ARP sur les segments locaux.
• Sondes personnalisées : -PS/-PA/-PU/-PE.
• -Pn passe la découverte lorsque ICMP est bloqué ; -sL liste les cibles sans envoyer de sondes.
• Adaptez le rythme et les sondes pour rester discret, et analysez uniquement les systèmes autorisés.

Ensuite : techniques d’analyse des ports.