Individuazione degli host

Prima di eseguire la scansione delle porte, deve sapere quali host sono attivi. La ricerca degli host (detta anche scansione ping) identifica i sistemi che rispondono in una rete, così non spreca tempo scansionando indirizzi inattivi.

Nmap è lo strumento standard del settore per questa attività e per quasi tutte le operazioni di scansione della rete.

Il flag -sn esegue una scansione ping: verifica quali host rispondono senza scansionare alcuna porta. È veloce e ideale per mappare prima una subnet.

Per impostazione predefinita (con i privilegi necessari), Nmap invia una combinazione di probe agli host locali e remoti:

• richiesta echo ICMP (un ping classico).
• SYN TCP sulla porta 443.
• ACK TCP sulla porta 80.
• richiesta timestamp ICMP.

Se una qualsiasi probe riceve una risposta, l'host viene contrassegnato come attivo. L'uso di diversi tipi di probe consente di superare molti filtri.

Nmap accetta una sintassi flessibile per gli obiettivi: singoli indirizzi IP, intervalli CIDR, intervalli con trattino, nomi host o un elenco in un file.

Quando i probe predefiniti vengono filtrati, è possibile scegliere tipi di probe specifici:

• -PS SYN TCP sulle porte indicate.
• -PA ACK TCP sulle porte indicate.
• -PU probe UDP.
• -PE echo ICMP.

La regolazione dei probe è utile quando i firewall bloccano quelli predefiniti.

Molti firewall scartano ICMP, facendo apparire gli host come non attivi. Il flag -Pn indica a Nmap di saltare il discovery e considerare attivo ogni obiettivo, eseguendo direttamente la scansione delle porte.

È essenziale nelle reti protette, anche se è più lento perché Nmap analizza host che potrebbero essere realmente offline.

Su un segmento Ethernet locale, Nmap usa richieste ARP per il discovery, che è più rapido e affidabile di ICMP perché gli host non possono ignorare facilmente ARP.

Nmap esegue questa operazione automaticamente per gli obiettivi locali quando viene eseguito con i privilegi necessari. Il flag -PR forza esplicitamente il discovery ARP.

La scansione elenco -sL non esegue alcun probe. Si limita a elencare gli obiettivi che Nmap analizzerebbe ed esegue ricerche DNS inverse.

È l'opzione più discreta e un ottimo modo per verificare l'intervallo degli obiettivi e scoprire i nomi host prima di inviare pacchetti.

L'output del discovery indica ogni host come up oppure omette gli host non attivi. Con ARP o DNS, è possibile visualizzare anche gli indirizzi MAC (e il produttore) e i nomi host.

Questo elenco diventa l'input per la fase successiva: la scansione dettagliata delle porte solo sugli host effettivamente attivi.

Il discovery genera traffico che gli strumenti di monitoraggio possono rilevare. Per operare in modo più discreto è possibile:

• Usare -sL per non inviare alcun probe.
• Rallentare la scansione con -T1 o -T2.
• Limitare i tipi di probe a quelli necessari.

Eseguire sempre scansioni solo sui sistemi per i quali si dispone dell'autorizzazione.

Nmap può risolvere i nomi host durante il discovery: ciò aggiunge contesto, ma genera anche query DNS che potrebbero essere registrate.

• -n disabilita ogni risoluzione DNS (più rapido e discreto).
• -R forza la risoluzione anche per gli host contrassegnati come non attivi.
• --dns-servers specifica quale resolver utilizzare.

Disabilitare il DNS con -n accelera notevolmente le scansioni estese.

Ha imparato a eseguire il discovery degli host con Nmap:

• -sn esegue una scansione ping senza scansione delle porte.
• Per impostazione predefinita, Nmap combina probe ICMP, TCP SYN/ACK e timestamp; sui segmenti locali usa ARP.
• Probe personalizzati: -PS/-PA/-PU/-PE.
• -Pn salta il discovery quando ICMP è bloccato; -sL elenca gli obiettivi senza inviare probe.
• Regoli tempi e probe per operare con discrezione ed esegua scansioni solo su sistemi autorizzati.

Prossimo argomento: tecniche di scansione delle porte.