ポートスキャンとは何ですか?

ポートスキャンとは何ですか?このプロセスは、強盗が近所を巡回し、すべての家のすべてのドアと窓をチェックして、どれが開いていてどれが施錠されているかを確認するのと似ています。

TCP (伝送制御プロトコル) と UDP (ユーザー データグラム プロトコル) は、TCP/IP プロトコル スイートを構成する 2 つのプロトコルであり、インターネット上の通信に一般的に使用されます。各プロトコルには 0 ～ 65535 の使用可能なポートがあるため、基本的にロックすべきドアは 65,000 以上あります。

ポートスキャンはどのように機能しますか?

ポート スキャン ソフトウェアは、最も基本的な状態では、各ポート上のターゲット コンピュータに接続要求を順番に送信し、どのポートが応答したか、またはより詳細な調査のために開いているように見えるポートを記録します。

ポート スキャンは、近所を侵入する強盗に似ており、すべての家のすべてのドアと窓をチェックして、どれが開いていてどれが施錠されているかを確認します。

ポート スキャンが悪意を持って行われる場合、侵入者は多くの場合、検出されないことを望んでいます。単一のホストから複数のポート タイプでの接続要求を検出した場合に管理者に警告するようにネットワーク セキュリティ アプリケーションを構成できます。

この問題を解決するために、侵入者はストロボ モードまたはステルス モードでポート スキャンを実行できます。ストローブは、65536 ポート全体をスキャンするのではなく、ポートをより小さなターゲットのセットに制限します。ステルスでは、スキャン プロセスを遅くするなどの手法が使用されます。ポートを長期間にわたってスキャンすることにより、ターゲットがアラームをトリガーする可能性が低くなります。

TCP フラグを設定するか、さまざまなタイプの TCP パケットを送信することにより、ポート スキャンでさまざまな結果が生成されたり、さまざまな方法で開いているポートを特定したりできます。

SYN スキャンは、生成された応答のタイプに応じて、どのポートがリッスンしているか、どのポートがリッスンしていないかをポート スキャナーに伝えます。 FIN スキャンは閉じているポートから応答を生成しますが、開いていてリッスンしているポートは応答しないため、ポート スキャナはどのポートが開いていてどのポートが開いていないかを判断できます。

実際のポート スキャンを実行するには、いくつかの異なる方法と、ポート スキャンの送信元を隠すためのトリックがあります。

ポートスキャンを監視する方法

ネットワーク上のポートスキャンを監視できます。情報セキュリティのほとんどの事柄と同様、重要なのは、パフォーマンスとネットワーク セキュリティの適切なバランスを見つけることです。

オープンまたはリッスンしていないポートに SYN パケットを送信しようとする試みを記録することで、SYN スキャンを監視できます。ただし、試行が発生するたびにアラートを受け取るのではなく、アラートをトリガーするしきい値を決定します。たとえば、一定の分以内に 10 個を超える SYN パケットが非リッスン ポートに到達しようとすると、アラートがトリガーされます。

フィルタとトラップを設計して、さまざまなポート スキャン方法を検出したり、FIN パケットのスパイクや、IP ソースからのポートや IP アドレスの範囲への異常な数の接続試行を監視したりできます。

ネットワークが確実に保護され、安全であることを確認するには、独自のポート スキャンを実行することをお勧めします。ここでの重要な注意点は、このプロジェクトに着手する前に、すべての権力者の承認を得ていることを確認することです。そうしないと、法律の間違った側にいることになります。

NMap を使用すると、スキャン プロセスのほぼすべての側面を制御できます。

最も正確な結果を得るには、企業以外のデバイスと別の ISP を使用して、リモートの場所からポート スキャンを実行します。 Nmap などのソフトウェアを使用すると、一連のIP アドレスとポートをスキャンして、攻撃者がネットワーク ポートをスキャンした場合に何が表示されるかを知ることができます。特に、NMap を使用すると、スキャン プロセスのほぼすべての側面を制御し、ニーズに合わせてさまざまな種類のポート スキャンを実行できます。

ネットワーク ポート スキャンによって開かれたときにどのポートが応答するかを特定したら、それらのポートがネットワークの外部からアクセスされているかどうかを判断する作業を開始できます。

必要ない場合は、無効にするかブロックする必要があります。必要に応じて、これらのポートにアクセスし、適切なパッチや緩和策を適用してネットワークを可能な限り保護することで、ネットワークがどのような種類の脆弱性やエクスプロイトにさらされているかの調査を開始できます。