HTG пояснює, що таке сканування портів?

Сканування портів трохи нагадує згортання купу дверних ручок, щоб побачити, які двері заблоковані. Сканер дізнається, які порти на маршрутизаторі або брандмауері відкриті, і може використовувати цю інформацію для пошуку потенційних слабкостей комп'ютерної системи.

Що таке порт?

Коли пристрій підключається до іншого пристрою через мережу, він вказує номер порту TCP або UDP від ​​0 до 65535. Однак деякі порти використовуються частіше. Порти TCP від ​​0 до 1023 є "відомими портами", які надають системні послуги. Наприклад, порт 20 - це передача файлів FTP, порт 22 - це з'єднання терміналу Secure Shell (SSH), порт 80 - стандартний веб-трафік HTTP, а порт 443 - зашифрований HTTPS. Таким чином, коли ви підключаєтеся до безпечного веб-сайту, ваш веб-браузер розмовляє з веб-сервером, який прослуховує порт 443 цього сервера.

Служби не завжди повинні працювати на цих конкретних портах. Наприклад, ви можете запустити веб-сервер HTTPS на порту 32342 або на сервері Secure Shell на порт 65001, якщо вам це подобається. Це лише стандартні значення за замовчуванням.

Що таке сканування портів?

Сканування портів - це процес перевірки всіх портів IP-адреси, щоб побачити, чи вони відкриті або закриті. Програмне забезпечення для сканування портів перевіряло б порт 0, порт 1, порт 2 і весь порт до порту 65535. Це робить це, просто надсилаючи запит до кожного порту і запитуючи відповідь. У найпростішій формі програмне забезпечення сканування портів запитує про кожний порт, по одному. Віддалена система відповідатиме і говорить, чи порт відкритий або закритий. Особа, яка виконує сканування портів, знатиме, які порти відкриті.

Будь-які мережеві брандмауери в такий спосіб можуть блокувати або інакше викидати трафік, тому сканування портів також є методом пошуку портів, до яких можна отримати доступ або які піддаються впливу мережі на цій віддаленій системі.

Інструмент nmap - це загальна мережева утиліта, яка використовується для сканування портів, але існує багато інших інструментів сканування портів.

Чому люди виконують сканування портів?

Сканування портів корисно для визначення вразливостей системи. Сканування портів скаже зловмисникові, які порти відкриті в системі, і це допоможе їм сформулювати план атаки. Наприклад, якщо сервер Secure Shell (SSH) був виявлений як прослуховування порту 22, зловмисник може спробувати підключитися і перевірити наявність слабких паролів. Якщо на іншому порту прослуховується інший тип сервера, зловмисник може зіткнутися з ним і подивитися, чи є помилка, яку можна використовувати. Можливо, запущена стара версія програмного забезпечення, і є відомий отвір безпеки.

Ці типи сканування можуть також допомогти виявити служби, що працюють на портах, які не є стандартними. Отже, якщо ви використовуєте сервер SSH на порту 65001 замість порту 22, сканування портів виявить це, і зловмисник може спробувати підключитися до вашого SSH-сервера на цьому порту. Ви не можете просто сховати сервер на порту, який не використовується за умовчанням, щоб захистити вашу систему, хоча це ускладнює пошук сервера.

Сканування порту не використовується лише зловмисниками. Сканування портів корисно для захисного проникнення. Організація може сканувати свої власні системи, щоб визначити, які послуги піддаються мережі та переконатися, що вони налаштовані надійно.

Як небезпечні сканування порту?

Сканування портів може допомогти зловмиснику знайти слабку точку для атаки та прориву в комп'ютерну систему. Це лише перший крок. Тільки тому, що ви знайшли відкритий порт, це не означає, що ви можете атакувати його. Але, як тільки ви знайшли відкритий порт, що працює під час прослуховування, ви можете сканувати його на предмет вразливостей. Це реальна небезпека.

У домашній мережі майже завжди є маршрутизатор, який знаходиться між вами та Інтернетом. Хтось в Інтернеті зможе лише просканувати ваш маршрутизатор, і вони не знайдуть нічого, окрім потенційних сервісів на самому маршрутизаторі. Цей маршрутизатор діє як брандмауер, якщо окремі порти від маршрутизатора не передані на пристрій, і в цьому випадку ці конкретні порти піддаються Інтернету.

Для комп'ютерних серверів і корпоративних мереж брандмауери можуть бути налаштовані на виявлення сканування портів і блокування трафіку з адреси, яка сканує. Якщо всі сервіси, які підпадають під інтернет, надійно налаштовані та не мають відомих дірок безпеки, сканування портів не повинно бути навіть дуже страшним.

Типи сканування порту

Під час сканування портів «повний зв'язок TCP» сканер посилає повідомлення SYN (запит на з'єднання) порту. Якщо порт відкритий, віддалена система відповідає повідомленням SYN-ACK (підтвердження). Сканер відповідає власним повідомленням ACK (підтвердження). Це повне рукостискання TCP-з'єднання, і сканер знає, що система приймає з'єднання на порту, якщо цей процес відбувається.

Якщо порт закритий, віддалена система відповість повідомленням RST (скидання). Якщо віддаленої системи просто немає в мережі, відповіді не буде.

Деякі сканери виконують сканування "напіввідкритого" TCP. Замість того, щоб проходити повний цикл SYN, SYN-ACK, а потім ACK, вони просто відправляють SYN і чекають на відповідь повідомлення SYN-ACK або RST. Немає необхідності надсилати остаточний ACK для завершення з'єднання, оскільки SYN-ACK сканує сканеру все, що потрібно знати. Це швидше, тому що потрібно надіслати менше пакетів.

Інші типи сканувань включають відправлення незнайомих, неправильно сформованих типів пакетів і очікування, якщо віддалена система повертає пакет RST, що закриває з'єднання. Якщо це відбувається, сканер знає, що в цьому місці є віддалена система, і що один конкретний порт закритий на ньому. Якщо пакет не отримано, сканер знає, що порт повинен бути відкритий.

Просте сканування портів, де програмне забезпечення запитує інформацію про кожний порт, один за одним, легко помітити. Мережні брандмауери можна легко налаштувати для виявлення та припинення цієї поведінки.

Тому деякі методи сканування портів працюють по-різному. Наприклад, сканування портів може сканувати менший діапазон портів, або може сканувати повний діапазон портів протягом набагато більш тривалого періоду, тому виявити його буде складніше.

Сканування портів є основним засобом захисту хліба та масла, коли мова йде про проникнення (та захист) комп'ютерних систем. Але вони є лише інструментом, який дозволяє зловмисникам знаходити порти, які можуть бути вразливими до атак. Вони не надають зловмисникові доступ до системи, і безпечно налаштована система може, звичайно, витримати повне сканування портів без шкоди.

Зображення: xfilephotos / Shutterstock.com, Casezy idea / Shutterstock.com.