Linux エンタープライズ ポート スキャンの実践

[はじめに] ことわざにあるように、「千マイルの堤防はアリの巣によって破壊される」。攻撃者によって小さな脆弱性が発見されると、最終的な結果としてネットワーク全体が麻痺する可能性があります。そして、企業ネットワーク内のセキュリティの脆弱性をどのように発見するのでしょうか?どのような主要なテクノロジーを習得し、採用する必要がありますか?これ以上に人気があり効率的なツールはありますか?ネットワーク全体。そして、企業ネットワーク内のセキュリティの脆弱性をどのように発見するのでしょうか?どのような主要なテクノロジーを習得し、採用する必要がありますか?システム管理者が脆弱性をスキャンして発見するのを支援するために使用できる、一般的で効率的なツールはありますか?

エンタープライズ ポート スキャン戦略

1. ポート スキャンの目的ネットワーク内にあるコンピューター システムにとって、ポートは潜在的な通信チャネル、つまり侵入チャネルです。ターゲット コンピュータでポート スキャンを実行すると、システム セキュリティの脆弱性を発見するために役立つ多くの情報を取得できます。これにより、システム ユーザーはシステムが現在外部にどのようなサービスを提供しているかを把握でき、システム ユーザーがネットワークを管理するための参照方法を提供します。

技術原理の観点から見ると、ポート スキャンは、ターゲット ホストの TCP/UDP サービス ポートに検出パケットを送信し、ターゲット ホストの応答を記録します。応答を分析してサービス ポートが開いているか閉じているかを判断することで、ポートによって提供されるサービスや情報を知ることができます。ポート スキャンでは、ローカル ホストまたはサーバーの受信および送信 IP パケットをキャプチャすることで、ローカル ホストの動作を監視することもできます。受信したデータを分析できるだけでなく、詳細な手順を実行せずに、ターゲット ホストに固有の弱点を発見することもできます。システムに入る為のサービスが提供されます。一般的に、ポート スキャンの目的は次の 1 つ以上です:

1. 開いているポートを検出します。

2. ホスト オペレーティング システムの情報を理解します。オペレーティング システムの「フィンガープリント」を使用して、スキャンされたオペレーティング システムまたはアプリケーションのバージョンなどの情報を推測します。

3. ソフトウェアまたはサービスのバージョンを理解する: ソフトウェアまたはサービスのバージョンは、「フラグの取得」またはアプリケーションのフィンガープリント

4. 脆弱なソフトウェア バージョンを検出する: 脆弱性をターゲットとした攻撃を開始するために、ソフトウェアとサービスの欠陥を特定します。

ポート スキャンには、主にクラシック スキャナ (フル接続) といわゆる SYN (セミ接続) スキャナが含まれます。間接スキャンや秘密スキャンもあります。 TCP スキャン方法は、スキャン対象のホストとの標準 TCP 接続を確立するため、この方法が最も正確で、ミスや誤検知はほとんどありませんが、ターゲット ホストによって簡単に検出および記録されます。 SYN 方式はターゲット ホストとのセミオープン接続を確立するため、ターゲット ホストによって簡単に記録されませんが、スキャン結果は偽陰性を引き起こし、ネットワークの状態が良好でない場合には深刻です。

2. エンタープライズ ポート スキャン用の nmap をすばやくインストールします nmap は、ネットワーク検出およびセキュリティ スキャン プログラムで、このソフトウェアを使用して大規模なネットワークをスキャンし、実行されているホストとそのサービスを取得できます。およびその他の情報。 nmap は、UDP、TCP connect()、TCP SYN (ハーフオープン スキャン)、ftp プロキシ (バウンス攻撃)、リバース フラグ、ICMP、FIN、ACK スキャン、Xmas Tree (クリスマス ツリー)、SYN などの多くのスキャン テクノロジをサポートしています。スキャンとヌルスキャン。 nmap は、TCP/IP プロトコル スタック特性によるオペレーティング システムの種類の検出、シークレット スキャン、動的な遅延と再送信の計算、並列スキャン、並列 ping スキャンによるダウン ホストの検出、おとりスキャン、オープン ポートの回避などの高度な機能も提供します。フィルタリング検出、直接 RPC スキャン (ポート マッピングは不要)、フラグメント スキャン、および柔軟なターゲットとポートの設定。

非ルート状態での nmap のパフォーマンスを向上させるために、ソフトウェアの設計者は多大な努力を払ってきました。残念ながら、一部のカーネル インターフェイス (生のソケットなど) はルート状態で使用する必要があります。したがって、nmap は可能な限り root で使用する必要があります。

nmap を実行すると、通常、スキャンされたホスト ポートのリストが取得されます。 nmap は常に既知のポートのサービス名 (可能な場合)、ポート番号、ステータス、およびプロトコル情報を提供します。各ポートのステータスは、オープン、フィルタリング済み、フィルタリングなしです。

オープン ステータスは、ターゲット ホストがこのポートで accept() システム コールを使用して接続を受け入れることができることを意味します。
フィルターされたステータスは、ファイアウォール、パケット フィルタリング、およびその他のネットワーク セキュリティ ソフトウェアがこのポートをカバーし、nmap による検出を禁止していることを意味します。オープンかどうか。
unfiltered は、ポートが閉じられており、nmap 検出の試みを隔離するファイアウォール/パケット フィルタリング ソフトウェアがないことを意味します。通常、ポートのステータスは基本的にフィルタリングされていません。スキャンされたポートのほとんどがフィルタリングされた状態である場合にのみ、フィルタリングされていない状態のポートが表示されます。
使用される機能オプションに応じて、nmap はリモート ホストの次の特性も報告できます: 使用されているオペレーティング システム、TCP シーケンス、各ポートにバインドされているアプリケーションを実行しているユーザー名、DNS 名、ホスト アドレスがスプーフィングされたアドレスであるかどうか、と他のこと。

使用する前に、ソフトウェアのソースコードパッケージをダウンロードしてインストールする必要があります。

以上がLinux エンタープライズ ポート スキャンの実践の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。