Сканування портів трохи нагадує переміщення купу дверних ручок, щоб побачити, які двері заблоковані. Сканер дізнається, які порти маршрутизатора або брандмауера відкриті, і може використовувати цю інформацію, щоб знайти потенційні слабкі місця комп’ютерної системи.
Що таке порт?
Коли пристрій підключається до іншого пристрою через мережу, він визначає a TCP або UDP номер порту від 0 до 65535. Однак деякі порти використовуються частіше. Порти TCP від 0 до 1023 - це «добре відомі порти», які надають системні послуги. Наприклад, порт 20 - це передача файлів FTP, порт 22 - Захищена оболонка (SSH) термінальних з'єднань, порт 80 є стандартним веб-трафіком HTTP, а порт 443 зашифрований HTTPS . Отже, коли ви підключаєтеся до захищеного веб-сайту, ваш веб-браузер розмовляє з веб-сервером, який прослуховує порт 443 цього сервера.
Послуги не завжди повинні працювати на цих конкретних портах. Наприклад, ви можете запустити веб-сервер HTTPS на порту 32342 або сервер Secure Shell на порту 65001, якщо вам подобається. Це лише стандартні за замовчуванням.
Що таке сканування портів?
Сканування портів - це процес перевірки всіх портів за IP-адресою на предмет відкритості чи закритості. Програмне забезпечення для сканування портів перевіряло б порт 0, порт 1, порт 2 і аж до порту 65535. Це робить, просто надсилаючи запит кожному порту та просячи відповіді. У найпростішій формі програмне забезпечення для сканування портів запитує про кожен порт по одному. Віддалена система відповість і скаже, відкритий чи закритий порт. Потім особа, яка виконує сканування портів, знатиме, які порти відкриті.
Будь-яка мережа брандмауери таким чином може заблокувати або іншим чином знизити трафік, тому сканування портів - це також спосіб виявлення, до яких портів можна дійти або піддатися дії мережі у цій віддаленій системі.
nmap інструмент є загальним мережева утиліта використовується для сканування портів, але існує багато інших засобів сканування портів.
Чому люди проводять сканування портів?
Сканування портів корисно для визначення вразливостей системи. Сканування портів повідомляє зловмиснику, які порти відкриті в системі, і це допоможе їм сформулювати план атаки. Наприклад, якщо сервер Secure Shell (SSH) був виявлений як прослуховуючий порт 22, зловмисник міг спробувати підключитися та перевірити наявність слабких паролів. Якщо сервер іншого типу прослуховує інший порт, зловмисник може натиснути на нього і перевірити, чи є помилка, яку можна використати. Можливо, запущена стара версія програмного забезпечення, і існує відома прогалина в безпеці.
Такі типи сканування також можуть допомогти виявити служби, що працюють на портах, які не працюють за замовчуванням. Отже, якщо ви використовуєте SSH-сервер на порту 65001 замість порту 22, сканування порту виявить це, і зловмисник може спробувати підключитися до вашого SSH-сервера на цьому порту. Ви не можете просто сховати сервер на порту, який не є типовим, щоб захистити вашу систему, хоча це ускладнює пошук сервера.
Сканування портів використовується не тільки зловмисниками. Сканування портів корисно для захисного тестування на проникнення. Організація може сканувати власні системи, щоб визначити, які служби піддаються дії мережі, і переконатися, що вони надійно налаштовані.
Наскільки небезпечні сканування портів?
Сканування портів може допомогти зловмисникові знайти слабке місце для атаки та проникнення в комп’ютерну систему. Однак це лише перший крок. Те, що ви знайшли відкритий порт, не означає, що ви можете атакувати його. Але, знайшовши відкритий порт, на якому запущена послуга прослуховування, ви можете перевірити його на наявність уразливостей. Це справжня небезпека.
У домашній мережі у вас майже напевно є маршрутизатор, який сидить між вами та Інтернетом. Хтось в Інтернеті зможе лише просканувати ваш маршрутизатор, і вони не знайдуть нічого, крім потенційних служб на самому маршрутизаторі. Цей маршрутизатор діє як брандмауер, якщо ви цього не зробили переадресовував окремі порти з вашого маршрутизатора до пристрою, і в цьому випадку ці порти піддаються дії Інтернету.
Для комп’ютерних серверів та корпоративних мереж можна налаштувати брандмауери для виявлення сканування портів і блокування трафіку з адреси, яка перевіряється. Якщо всі служби, що діють в Інтернеті, надійно налаштовані і не мають відомих дірок у безпеці, сканування портів не повинно бути навіть занадто страшним.
Види сканування портів
При скануванні порту “TCP full connection” сканер надсилає на порт повідомлення SYN (запит на підключення). Якщо порт відкритий, віддалена система відповідає повідомленням SYN-ACK (підтвердження). Сканер відповідає власним повідомленням про підтвердження. Це повний Рукостискання підключення TCP , і сканер знає, що система приймає підключення через порт, якщо цей процес має місце.
Якщо порт закритий, віддалена система відповість повідомленням RST (скидання). Якщо віддаленої системи просто немає в мережі, відповіді не буде.
Деякі сканери виконують сканування “TCP напіввідкрите”. Замість того, щоб пройти повний цикл SYN, SYN-ACK, а потім ACK, вони просто відправляють SYN і чекають повідомлення SYN-ACK або RST у відповідь. Для завершення з'єднання не потрібно надсилати остаточний ACK, оскільки SYN-ACK повідомляє сканеру все, що йому потрібно знати. Це швидше, оскільки потрібно відправляти менше пакетів.
Інші типи сканування включають надсилання сторонніх, неправильно сформованих типів пакетів та очікування, чи віддалена система повертає пакет RST, що закриває з'єднання. Якщо це сталося, сканер знає, що в цьому місці є віддалена система, і що на ньому закрито певний порт. Якщо пакет не отримано, сканер знає, що порт повинен бути відкритим.
Просте сканування портів, де програмне забезпечення вимагає інформацію про кожен порт, по одному, легко виявити. Мережеві брандмауери можна легко налаштувати на виявлення та припинення такої поведінки.
Ось чому деякі методи сканування портів працюють по-різному. Наприклад, сканування портів може сканувати менший діапазон портів або може сканувати весь діапазон портів протягом набагато довшого періоду, тому виявити його буде важче.
Сканування портів є основним інструментом безпеки, коли йдеться про проникнення (та захист) комп’ютерних систем. Але це лише інструмент, який дозволяє зловмисникам знаходити порти, які можуть бути вразливими до атак. Вони не дають зловмиснику доступу до системи, і надійно налаштована система, безсумнівно, витримує повне сканування портів без шкоди.
Кредит зображення: xfilephotos /Shutterstock.com, Ідея Casezy /Shutterstock.com.
