Techniques d’analyse des ports

Les ports ouverts révèlent les services exécutés par un hôte et constituent votre carte de la surface d’attaque. L’analyse des ports détermine quels ports TCP et UDP sont ouverts, fermés ou filtrés.

Nmap propose plusieurs techniques d’analyse, chacune impliquant des compromis entre vitesse, discrétion et privilèges nécessaires.

Nmap signale chaque port dans l’un des états suivants :

• open : un service accepte activement les connexions.
• closed : le port est accessible, mais aucun service n’est à l’écoute.
• filtered : un pare-feu bloque les sondes, et Nmap ne peut donc pas déterminer l’état.
• open|filtered et closed|filtered : résultats ambigus.

Pour comprendre les analyses, il faut connaître la poignée de main TCP :

• Le client envoie SYN.
• Le serveur répond SYN-ACK si le port est ouvert.
• Le client envoie ACK pour terminer la connexion.

Un port fermé répond avec RST. Les types d’analyse se distinguent par l’étape de cette poignée de main à laquelle ils s’arrêtent.

L’analyse SYN (-sS) est utilisée par défaut lorsqu’elle est exécutée avec les privilèges administrateur. Elle envoie un SYN, détecte le SYN-ACK (port ouvert) ou le RST (port fermé), puis envoie RST pour ne jamais terminer la poignée de main.

Cette analyse « semi-ouverte » est rapide et relativement discrète, car la connexion complète n’est jamais établie. Elle nécessite des privilèges sur les sockets brutes.

L’analyse par connexion (-sT) termine la poignée de main complète en trois étapes à l’aide de l’API réseau du système d’exploitation. Elle ne nécessite aucun privilège particulier et constitue donc la solution de repli pour les utilisateurs sans privilèges.

Comme elle établit entièrement la connexion, elle est plus bruyante et a davantage de chances d’être consignée par les services de la cible.

L’analyse UDP (-sU) détecte les services tels que DNS, SNMP et DHCP qui utilisent UDP. UDP étant sans connexion, l’analyse est lente et délicate :

• L’absence de réponse signifie souvent open|filtered.
• Un message ICMP indiquant que le port est inaccessible signifie que le port est fermé.

Les services UDP sont souvent négligés et peuvent donc dissimuler des informations importantes.

Plusieurs analyses envoient des combinaisons inhabituelles d’indicateurs afin de contourner les pare-feu simples et d’éviter la journalisation des SYN :

• FIN (-sF) : uniquement l’indicateur FIN.
• NULL (-sN) : aucun indicateur défini.
• Xmas (-sX) : FIN, PSH et URG définis, « illuminés comme un arbre de Noël ».

Ces analyses reposent sur le comportement défini par les RFC et ne fonctionnent souvent que sur certaines piles réseau.

Contrôlez les ports analysés pour équilibrer vitesse et couverture :

• -p 80,443 : ports précis.
• -p 1-1000 : une plage.
• -p- : les 65535 ports.
• --top-ports 100 : les ports les plus courants.
• -F : analyse rapide des 100 ports les plus courants.

L’option -T définit le rythme de 0 (paranoïaque) à 5 (insensé) :

• -T0/-T1 : très lent, pour éviter les IDS.
• -T3 : valeur par défaut équilibrée.
• -T4 : plus rapide, courant sur les réseaux fiables.
• -T5 : agressif, avec un risque de manquer des résultats.

Les analyses rapides sont plus bruyantes et risquent d’être moins précises.

Nmap propose des options pour tester la résistance des pare-feu et des IDS :

• -f fragmente les paquets.
• -D utilise des adresses sources leurres.
• --source-port usurpe un port source réputé fiable, comme 53.

Utilisez ces options uniquement dans le cadre de tests autorisés afin d’évaluer les capacités de détection.

Les analyses réelles combinent ces options. Une analyse TCP approfondie courante choisit le type d’analyse, tous les ports, un rythme plus rapide et enregistre les résultats.

Commencez par une analyse large pour trouver les ports ouverts, puis effectuez des analyses de suivi ciblées (détection de version, scripts) uniquement sur les ports réellement ouverts. Cette approche en deux phases est plus rapide et plus discrète que tout effectuer en une seule fois.

Associez chaque analyse à son comportement.

Vous avez appris les techniques d’analyse des ports :

• États des ports : open, closed, filtered et variantes ambiguës.
• L’analyse SYN (-sS) est la valeur par défaut discrète ; l’analyse par connexion (-sT) ne nécessite aucun privilège, mais elle est plus bruyante.
• L’analyse UDP (-sU) est lente, mais révèle des services souvent négligés.
• Les analyses FIN/NULL/Xmas contournent les pare-feu simples.
• Contrôlez les ports avec -p, la vitesse avec -T et testez le contournement avec -f/-D.

Ensuite : détection des services et du système d’exploitation.