Обнаружение узлов

Перед сканированием портов необходимо узнать, какие узлы активны. Обнаружение узлов (также называемое сканированием с помощью ping) определяет отвечающие системы в сети, чтобы не тратить время на сканирование неактивных адресов.

Nmap — стандартный в отрасли инструмент для этой и почти всех задач сетевого сканирования.

Флаг -sn выполняет проверку сети с помощью ping: он определяет, какие узлы отвечают, не сканируя порты. Это быстрый способ, идеально подходящий для предварительного составления карты подсети.

По умолчанию (при наличии необходимых привилегий) Nmap отправляет локальным и удалённым узлам набор разных зондирующих запросов:

• эхо-запрос ICMP (классический ping);
• SYN-запрос TCP к порту 443;
• ACK-запрос TCP к порту 80;
• запрос временной метки ICMP.

Если на любой запрос приходит ответ, узел помечается как активный. Использование нескольких типов запросов позволяет обойти многие фильтры.

Nmap поддерживает гибкий синтаксис целей: отдельные IP-адреса, диапазоны CIDR, диапазоны через дефис, имена узлов или список в файле.

Если стандартные зонды фильтруются, можно выбрать конкретные типы зондов:

• -PS TCP SYN для указанных портов.
• -PA TCP ACK для указанных портов.
• -PU зонд UDP.
• -PE эхо-запрос ICMP.

Настройка зондов помогает, когда брандмауэры блокируют стандартные варианты.

Многие брандмауэры отбрасывают ICMP, из-за чего узлы выглядят недоступными. Флаг -Pn указывает Nmap пропустить обнаружение и считать каждую цель доступной, сразу сканируя порты.

Это особенно важно в защищённых сетях, хотя сканирование выполняется медленнее, поскольку Nmap сканирует узлы, которые на самом деле могут быть отключены.

В локальном сегменте Ethernet Nmap использует для обнаружения запросы ARP. Это быстрее и надёжнее ICMP, поскольку узлам сложно игнорировать ARP.

Nmap делает это автоматически для локальных целей при запуске с необходимыми правами. Флаг -PR явно принуждает использовать обнаружение ARP.

Сканирование списка -sL вообще не выполняет зондирование. Оно просто выводит цели, которые Nmap стал бы сканировать, и выполняет обратные DNS-запросы.

Это самый незаметный вариант и отличный способ проверить диапазон целей и обнаружить имена узлов до отправки каких-либо пакетов.

В результатах обнаружения каждый узел отмечается как доступный, а недоступные узлы не выводятся. При использовании ARP или DNS также могут отображаться MAC-адреса, производитель и имена узлов.

Этот список становится входными данными для следующего этапа: подробного сканирования портов только тех узлов, которые действительно доступны.

Обнаружение создаёт трафик, который могут заметить средства мониторинга. Чтобы работать незаметнее, можно:

• Использовать -sL без зондирования.
• Замедлить темп с помощью -T1 или -T2.
• Ограничить типы зондов необходимыми.

Всегда сканируйте только системы, на проверку которых у вас есть разрешение.

Nmap может разрешать имена узлов во время обнаружения. Это добавляет контекст, но также создаёт DNS-запросы, которые могут записываться в журналы.

• -n отключает разрешение DNS (быстрее и незаметнее).
• -R принудительно выполняет разрешение даже для узлов, отмеченных как недоступные.
• --dns-servers задаёт используемый сервер разрешения имён.

Отключение DNS с помощью -n значительно ускоряет большие проверки диапазонов.

Вы изучили обнаружение узлов с помощью Nmap:

• -sn выполняет проверку диапазона с помощью эхо-запросов без сканирования портов.
• По умолчанию Nmap сочетает зонды ICMP, TCP SYN/ACK и временных меток; в локальных сегментах используется ARP.
• Пользовательские зонды: -PS/-PA/-PU/-PE.
• -Pn пропускает обнаружение, если ICMP заблокирован; -sL выводит цели без зондирования.
• Настраивайте темп и зонды для скрытности и сканируйте только разрешённые системы.

Далее: методы сканирования портов.