Сканирование портов — техника отправки зондирующих запросов на сетевые порты узла, позволяющая выяснить, какие из них открыты и какие сервисы и их версии на них работают.
Как работает сканирование портов
Сетевые сервисы принимают соединения на пронумерованных портах TCP и UDP — например, 22 для SSH, 443 для HTTPS или 3389 для RDP. Сканер отправляет пакеты на диапазон портов и классифицирует их как открытые, закрытые или фильтруемые (ответа нет, обычно из-за межсетевого экрана). Распространённые типы сканирования:
- TCP connect — полное трёхстороннее рукопожатие; просто, но легко попадает в журналы.
- SYN-сканирование («полуоткрытое») — отправляется SYN, ответ анализируется без установки соединения.
- UDP-сканирование — медленнее и менее надёжно, поскольку закрытые UDP-порты могут не отвечать.
- Определение сервисов и версий — сбор баннеров для идентификации ПО и его версий.
Классический инструмент — Nmap, выпущенный Гордоном Лайоном в 1997 году; masscan и ZMap способны просканировать всё адресное пространство IPv4 за минуты. Поисковики Shodan и Censys публикуют результаты непрерывного сканирования всего интернета.
Почему это важно
Для атакующих сканирование портов — разведка: оно выявляет открытые RDP, VPN, базы данных и интерфейсы управления с известными уязвимостями. В MITRE ATT&CK оно описано как Active Scanning (T1595) и Network Service Discovery (T1046) — для сканирования внутри скомпрометированной сети. После раскрытия новой уязвимости массовый поиск уязвимых систем нередко начинается в течение нескольких часов. Защитники применяют ту же технику, чтобы оценить свою поверхность атаки, и при тестировании на проникновение.
Как защититься
- Закрыть неиспользуемые порты и открывать сервисы управления только через VPN или доступ по модели нулевого доверия.
- Фильтровать входящий трафик межсетевыми экранами и сегментировать внутренние сети.
- Обнаруживать сканирование с помощью системы обнаружения вторжений и расследовать внутренние сканирования — признак горизонтального перемещения.
- Регулярно сканировать собственные внешние диапазоны IP-адресов, чтобы найти забытые сервисы раньше атакующих.
