Shodan: поисковая система для интернет-устройств

Shodan — поисковая система, которая непрерывно сканирует весь интернет и индексирует баннеры сервисов на открытых портах. В отличие от Google, индексирующего веб-содержимое, Shodan индексирует ответы сервисов — баннеры SSH, заголовки HTTP, приветствия FTP и многое другое.

Shodan собирает данные по сотням протоколов:

• серверы HTTP/HTTPS и их заголовки
• баннеры SSH/Telnet, включая версию программного обеспечения
• сервисы FTP/SMTP/RDP/VNC
• промышленные системы управления (ICS/SCADA)
• устройства интернета вещей: камеры, маршрутизаторы, принтеры
• базы данных: MongoDB, Elasticsearch, Redis

Операторы поиска:

Полезные фильтры Shodan:

Shodan часто обнаруживает незащищённые базы данных:

Shodan индексирует тысячи промышленных систем управления — SCADA, программируемые логические контроллеры и интерфейсы HMI, управляющие электросетями, водоочистными сооружениями и производством. Многие из них не используют аутентификацию. Это представляет собой критический сбой в защите важной инфраструктуры.

Shodan предоставляет оповещения для мониторинга: настройте уведомления, чтобы получать их при появлении новых устройств, соответствующих вашему запросу (например, когда диапазоны IP вашей организации появляются в результатах). Это полезно для мониторинга поверхности атаки.

Защитники используют Shodan, чтобы:

• обнаружить, что они случайно открыли в интернете
• отслеживать появление несанкционированных сервисов на IP-адресах компании
• выявлять устаревшее программное обеспечение на открытых конечных точках
• проверять, работают ли правила брандмауэра должным образом

Shodan можно использовать программно:

Альтернативы Shodan:

• Censys — больше ориентирован на сертификаты, создан в академической среде
• FOFA — популярен в Азии, использует другую систему индексации
• ZoomEye — китайская альтернатива с другим охватом

Использование нескольких источников обеспечивает более широкий охват.

Запросы Shodan обращаются к общедоступным данным, поэтому поиск разрешён законом. Однако использование Shodan для поиска уязвимых целей с последующей атакой на них незаконно. В рамках санкционированного тестирования на проникновение Shodan значительно ускоряет внешнюю разведку, не обращаясь к самой цели напрямую.

Shodan индексирует доступные из интернета сервисы всех протоколов, а не только веб-страницы. Он обнаруживает открытые базы данных, промышленные системы, устаревшее программное обеспечение и неправильно настроенные сервисы. Защитники используют его для аудита поверхности атаки. CLI и API Shodan позволяют автоматизировать работу и настраивать оповещения для мониторинга. Всегда используйте его ответственно и в пределах разрешённой области действия.