Сканування портів — техніка надсилання зондувальних запитів на мережеві порти вузла, яка дає змогу з’ясувати, які з них відкриті та які сервіси й версії на них працюють.
Як працює сканування портів
Мережеві сервіси приймають з’єднання на пронумерованих портах TCP і UDP — наприклад, 22 для SSH, 443 для HTTPS або 3389 для RDP. Сканер надсилає пакети на діапазон портів і класифікує їх як відкриті, закриті чи фільтровані (відповіді немає, зазвичай через міжмережевий екран). Поширені типи сканування:
- TCP connect — повне тристороннє рукостискання; просто, але легко потрапляє в журнали.
- SYN-сканування («напіввідкрите») — надсилається SYN, відповідь аналізують без установлення з’єднання.
- UDP-сканування — повільніше й менш надійне, бо закриті UDP-порти можуть не відповідати.
- Визначення сервісів і версій — збирання банерів для ідентифікації ПЗ та його версій.
Класичний інструмент — Nmap, випущений Гордоном Ліоном 1997 року; masscan і ZMap здатні просканувати весь адресний простір IPv4 за лічені хвилини. Пошукові системи Shodan і Censys публікують результати безперервного сканування всього інтернету.
Чому це важливо
Для зловмисників сканування портів — розвідка: воно виявляє відкриті RDP, VPN, бази даних та інтерфейси керування з відомими вразливостями. У MITRE ATT&CK його описано як Active Scanning (T1595) і Network Service Discovery (T1046) — для сканування всередині скомпрометованої мережі. Після розкриття нової вразливості масовий пошук уразливих систем нерідко починається протягом кількох годин. Захисники застосовують ту саму техніку, щоб оцінити свою поверхню атаки, і під час тестування на проникнення.
Як захиститися
- Закрити невикористовувані порти й відкривати сервіси керування лише через VPN або доступ за моделлю нульової довіри.
- Фільтрувати вхідний трафік міжмережевими екранами й сегментувати внутрішні мережі.
- Виявляти сканування за допомогою системи виявлення вторгнень і розслідувати внутрішні сканування — ознаку горизонтального переміщення.
- Регулярно сканувати власні зовнішні діапазони IP-адрес, щоб знайти забуті сервіси раніше за зловмисників.
