Oppdage verter

Før De skanner porter, må De vite hvilke verter som er aktive. Vertsoppdagelse (også kalt ping-skanning) identifiserer systemer som svarer på et nettverk, slik at De ikke kaster bort tid på å skanne inaktive adresser.

Nmap er bransjestandardverktøyet for dette og for nesten alle oppgaver innen nettverksskanning.

Flagget -sn utfører et ping-sveip: Det kontrollerer hvilke verter som svarer, uten å skanne porter. Det er raskt og ideelt for først å kartlegge et subnett.

Som standard (med nødvendige privilegier) sender Nmap en blanding av sonderinger til lokale og eksterne verter:

• ICMP echo request (en klassisk ping).
• TCP SYN til port 443.
• TCP ACK til port 80.
• ICMP timestamp request.

Hvis en av sonderingene får et svar, markeres verten som aktiv. Bruk av flere sondetyper omgår mange filtre.

Nmap godtar fleksibel målsyntaks: enkeltstående IP-adresser, CIDR-områder, bindestrekavgrensede områder, vertsnavn eller en filliste.

De kan velge bestemte probetyper når standardprober filtreres bort:

• -PS TCP SYN til angitte porter.
• -PA TCP ACK til angitte porter.
• -PU UDP-probe.
• -PE ICMP-ekko.

Ved å justere probene kan De håndtere situasjoner der brannmurer blokkerer standardprobene.

Mange brannmurer forkaster ICMP, slik at verter ser ut til å være nede. Flagget -Pn ber Nmap om å hoppe over oppdaging og behandle hvert mål som aktivt, slik at porter skannes direkte.

Dette er avgjørende i sikrede nettverk, men det tar lengre tid fordi Nmap skanner verter som faktisk kan være frakoblet.

På et lokalt Ethernet-segment bruker Nmap ARP-forespørsler til oppdaging. Dette er raskere og mer pålitelig enn ICMP fordi verter ikke enkelt kan ignorere ARP.

Nmap gjør dette automatisk for lokale mål når programmet kjøres med nødvendige privilegier. Flagget -PR tvinger eksplisitt frem ARP-oppdaging.

Listeskanningen -sL utfører ingen probing i det hele tatt. Den viser ganske enkelt målene Nmap ville ha skannet, og utfører omvendte DNS-oppslag.

Dette er det mest diskrete alternativet og en god måte å kontrollere målområdet på og finne vertsnavn før De sender noen pakker.

Resultater fra oppdaging rapporterer hver vert som aktiv, eller utelater verter som er nede. Med ARP eller DNS kan De også se MAC-adresser (og leverandør) samt vertsnavn.

Denne listen blir inndata til neste fase: detaljert portskanning av bare verter som faktisk er aktive.

Oppdaging genererer trafikk som overvåkingsverktøy kan oppdage. For å gjøre skanningen mer diskret kan De:

• Bruke -sL for null prober.
• Senke hastigheten med -T1 eller -T2.
• Begrense probetypene til det De trenger.

Skann alltid bare systemer De har tillatelse til å teste.

Nmap kan slå opp vertsnavn under oppdaging. Dette gir mer kontekst, men genererer også DNS-forespørsler som kan bli logget.

• -n deaktiverer all DNS-oppløsning (raskere og mer diskret).
• -R tvinger frem oppløsning selv for verter som er markert som nede.
• --dns-servers angir hvilken resolver som skal brukes.

Deaktivering av DNS med -n gjør store sveip betydelig raskere.

De har lært om vertsoppdaging med Nmap:

• -sn utfører et ping-sveip uten portskanning.
• Nmap kombinerer ICMP-, TCP SYN/ACK- og tidsstempelprober som standard, samt ARP på lokale segmenter.
• Tilpassede prober: -PS/-PA/-PU/-PE.
• -Pn hopper over oppdaging når ICMP er blokkert, mens -sL viser mål uten prober.
• Juster hastighet og prober for diskresjon, og skann bare systemer De har tillatelse til å skanne.

Neste: teknikker for portskanning.