Աուդիտի պորտեր և ծառայություններ 5 րոպեում. գործնական ուղեցույց

Եթե ​​մտահոգված եք ձեր ցանցի հարձակման մակերեսով, պորտերի և ծառայությունների աուդիտը առաջին անվտանգության ստուգումն է, որը դուք պետք է կատարեք։ Մի քանի լավ ընտրված պատվերներով կարող եք րոպեների ընթացքում պարզել, թե ինչ եք բացահայտում։Ի՞նչ ռիսկերի եք դիմում, և որտե՞ղ կարող են խնդիրներ առաջանալ։ Ձեզ հարկավոր չէ գուրու լինել. հստակ ուղեցույցով և անվճար գործիքներով այս ստուգումը շատ հեշտ է։

Այնուամենայնիվ, կարևոր է հիշել երկու գաղափար. Այն սկանավորում է միայն այն համակարգերը, որոնք դուք կառավարում եք կամ մուտք գործելու թույլտվություն ունեք։Եվ հիշե՛ք, որ հայտնաբերումը նույնը չէ, ինչ շահագործելը։ Այստեղ դուք կսովորեք տեսնել, թե ինչն է բաց, ճանաչել ծառայությունները և ամրապնդել անվտանգությունը, այլ ոչ թե ինչպես վտանգել այլ մարդկանց համակարգերը։ Այս ամենը պարզ դարձնելով՝ եկեք անցնենք այս ուղեցույցին, որը կօգնի ձեզ ստուգել ձեր բացված պորտերն ու ծառայությունները։

Ի՞նչ է նշանակում պորտի սկանավորումը (և ինչու՞ դա անել)

Պորտը IP հասցեի տրամաբանական մուտքի/ելքի կետ է։ Կան 65.535 TCP/UDP պորտ մեկ հասցեի համար Եվ յուրաքանչյուրը կարող է բաց, փակ կամ զտված լինել firewall-ի կողմից: Համակարգված սկանավորում կատարող հարձակվողը կարող է վայրկյանների ընթացքում պարզել, թե որ ծառայություններն եք հրապարակում և որ տարբերակով:

Այդ քարտեզագրումը կարող է ավելին բացահայտել, քան դուք պատկերացնում եք. ծառայության մետատվյալներ, հայտնի սխալներով տարբերակներ կամ օպերացիոն համակարգի հուշումներԵթե ​​ինչ-որ մեկը մուտք է ստանում մոռացված կամ սխալ կարգավորված ծառայության միջոցով, նա կարող է սաստկացնել իր հարձակումը և վտանգել գաղտնաբառերը, ֆայլերը և սարքերը։

Ազդեցությունը նվազագույնի հասցնելու համար ոսկե կանոնը պարզ է. Մի՛ բացեք անհրաժեշտից ավելի շատ միացքներ և պարբերաբար ստուգեք, թե որոնք են ձեզ անհրաժեշտները։Մի քանի սովորություններ (սկանավորում, firewall-ներ, թարմացումներ) զգալիորեն նվազեցնում են ռիսկը։

Այս խնդրին օգնում են Nmap/Zenmap-ի, TCPing-ի կամ ավելի հզոր ցանցային վերլուծության լուծումների նման գործիքները։ Nmap-ը փաստացի ստանդարտ է Zenmap-ը առանձնանում է իր ճշգրտությամբ, տեխնիկաների բազմազանությամբ և սկրիպտային շարժիչով, և ապահովում է գրաֆիկական ինտերֆեյս նրանց համար, ովքեր նախընտրում են խուսափել կոնսոլից։

Ինչպես է աշխատում Nmap-ը (հիմնական տեղեկություններ, որոնք դուք պետք է իմանաք)

Nmap-ը հայտնաբերում է սարքեր և ծառայություններ տեղական ցանցերում և ինտերնետում, և կարող է նույնականացնել պորտերը, ծառայության տարբերակները և նույնիսկ գնահատել օպերացիոն համակարգըԱյն տարբեր հարթակների համար է (Linux, Windows, macOS) և աջակցում է IPv4 և IPv6 համակարգերին, արդյունավետ լինելով թե՛ քիչ թիրախների, թե՛ մեծ տիրույթների հետ։

Պորտերը հայտնվում են կարևոր հասկանալի վիճակներով՝ բաց (ծառայությունը լսում է), փակ (մատչելի է, բայց ծառայություն չկա), և ֆիլտրացված (firewall-ը կանխում է իմանալը)Կախված տեխնիկայից, դրանք կարող են համակցված լինել որպես բաց|ֆիլտրացված o փակված|ֆիլտրացված.

Տեխնիկայի առումով այն աջակցում է TCP SYN (արագ և աննկատ) սկանավորում, TCP միացում (լրիվ միացում), UDP և ավելի քիչ տարածված ռեժիմներ, ինչպիսիք են՝ FIN, NULL, Xmas, ACK կամ SCTPԱյն նաև կատարում է հոսթի հայտնաբերում՝ օգտագործելով TCP/UDP/ICMP պինգեր և հետևում է ցանցային երթուղիներին։

Բացի գույքագրումից, Nmap-ը ներառում է NSE (Nmap սկրիպտային շարժիչ) Թեստերի ավտոմատացման համար՝ սկսած հիմնական թվարկումից մինչև կոնֆիգուրացիայի ստուգումներ և, մեծ զգուշությամբ, խոցելիությունների սկանավորում: Միշտ օգտագործեք այն էթիկապես:

Տեղադրում և կարգաբերում րոպեների ընթացքում

Linux-ում Nmap-ը գտնվում է հիմնական պահոցներում, ուստի ձեզ անհրաժեշտ է միայն sudo apt install nmap (Debian/Ubuntu) կամ ձեր բաշխման համարժեք հրամանը։ Բացեք փաթեթների կառավարիչը, և ամեն ինչ պատրաստ է։Դա հաստատ բան է։

Windows-ի և macOS-ի դեպքում ներբեռնեք այն պաշտոնական կայքից և ավարտեք հրաշագործը։ Տեղադրումը պարզ է Եվ, եթե նախընտրում եք, կարող եք ավելացնել Zenmap-ը՝ նախապես սահմանված սկանավորման պրոֆիլներով գրաֆիկական փորձառություն ապահովելու համար։

Արագ և արդյունավետ սկանավորումներ. հրամաններ, որոնք ձեզ իրականում անհրաժեշտ են

Հյուրընկալողի մասին արագ ակնարկի համար՝ nmap Այս պրոֆիլը ստուգում է ամենատարածված միացքները և ցույց է տալիս, թե որոնք են բաց։ Իդեալական է որպես առաջին լուսանկար ավելի խորը գնալուց առաջ։

Եթե ​​​​ցանկանում եք սահմանափակել պորտերը՝ nmap -p 20-200 192.168.1.2Դուք կարող եք թվարկել կոնկրետները (-p 22,80,443) o նույնիսկ բոլորը (-p 1-65535), գիտակցելով, որ դա ավելի երկար ժամանակ կպահանջի։

Ծառայությունների և տարբերակների մասին տեղեկանալու համար ավելացրեք -sV, y para հայտնաբերել օպերացիոն համակարգը, -O (ավելի լավ է արտոնություններով): nmap -sV -O 192.168.1.2Եթե ​​ուզում եք «ամբողջությամբ» աշխատել, պրոֆիլը -A կոմբայններ -sV, -Oլռելյայն սկրիպտներ և --traceroute.

Կա՞ արդյոք firewall: Փորձեք մեթոդներ, որոնք օգնում են դասակարգել ֆիլտրացիան, օրինակ՝ -sA (ACK) կամ հայտնաբերման տեխնիկաներ -PS/-PA/-PU/-PE. Շատ մեծ ցանցերի համարԿարգավորեք արագությունը՝ օգտագործելով -T0..-T5 և սահմանափակում է նավահանգիստները --top-ports.

Հոսթի հայտնաբերում և թիրախի ընտրություն

Ենթացանցում ակտիվ տեղեկատվությունը պարզելու համար կարող եք օգտագործել ping-scan-ը։ nmap -sn 192.168.1.0/24. Դուք կստանաք ակտիվ սարքավորումների ցանկը և դուք կարող եք ձեր կադրը կենտրոնացնել ձեզ հետաքրքրողների վրա։

Եթե ​​կառավարում եք մեծ ցուցակներ, օգտագործեք -iL ֆայլից թիրախներ կարդալու և --exclude o --excludefile խուսափելու համար այն բանից, ինչին չպետք է դիպչել։ Պատահականորեն բաժանեք հյուրընկալողներին հետ --randomize-hosts Այն կարող է օգտակար լինել որոշակի ախտորոշումների դեպքում։

Արդյունքների մեկնաբանումը պրոֆեսիոնալի պես

Որ նավահանգիստը open Այն ցույց է տալիս լսողական ծառայությունը և պոտենցիալ մակերեսը։ Closed Այն ցույց է տալիս, որ հոսթը պատասխանում է, բայց ծառայություն չկա. օգտակար է օպերացիոն համակարգի հայտնաբերման և firewall-ով զտելու որոշման համար։ Filtered Սա ցույց է տալիս, որ միջանկյալ կառավարումը արգելափակում է կամ չի արձագանքում, ուստի Nmap-ը չի կարող երաշխավորել վիճակը։

Հիշե՛ք, որ Օպերացիոն համակարգի հայտնաբերումը անսխալական չէԴա կախված է լատենտությունից, մատնահետքերից և միջանկյալ սարքերից։ Օգտագործեք այն որպես ուղեցույց, այլ ոչ թե որպես բացարձակ ճշմարտություն։

NSE: Օգտակար սկրիպտներ և պատասխանատու օգտագործում

NSE-ն սկրիպտները խմբավորում է ըստ կատեգորիաների՝ default (հիմունքներ), auth (հավաստագրում), discovery (ճանաչում), անվտանգ (ոչ ինտրուզիվ), միջամտող (հնարավոր է՝ աղմկոտ լինի), խոցելի (խոցելիության ստուգումներ), վնասակար ծրագրեր/հետին դուռ (նվիրվածության նշաններ) և այլն։ Դուք կարող եք դրանք օգտագործել --script և փաստարկներ փոխանցել --script-args.

Գայթակղիչ է ամեն ինչ դուրս նետել, բայց խուսափեք ավելորդ աղմուկից։ լռելյայն սկրիպտները և անվտանգ կատեգորիայի սկրիպտները Դրանք ապահովում են բարձր տեսանելիություն՝ ցածր ազդեցությամբ։ Խոցելիության վրա կենտրոնացած գնահատումները արժեքավոր են, բայց ստուգեք արդյունքները և գործեք խելամտորեն՝ կեղծ դրական արդյունքներից խուսափելու համար։

Կան սկրիպտներ, որոնք փորձում են կոպիտ կերպով կիրառել մուտքային տվյալները կամ փորձարկել ագրեսիվ պայմաններ։ Մի՛ կատարեք ներխուժող գործողություններ առանց հստակ թույլտվությանԱյն սահմանափակում է դրա օգտագործումը լաբորատոր պայմաններում կամ թույլտվությամբ վերահսկվող վարժություններով։

Սկանավորման առանձնացված տեսակներ

-սՍ (Սինխրոնիզացված)արագ և «կիսաբաց», չի ավարտում ձեռքսեղմումը, շատ օգտակար է պորտերի հաշվարկի համար։ Իդեալական հավասարակշռություն արագության և մանրամասնության միջև։

-sT (TCP միացում)Այն օգտագործում է համակարգի կույտը կապերն ավարտելու համար։ Այն ավելի տեսանելի է, բայց արտոնություններ չեն պահանջվում բարձր.

-sU (UDP)Անհրաժեշտ է DNS, SNMP և DHCP ծառայությունների համար։ Այն ավելի դանդաղ է UDP-ի բնույթի պատճառով, ուստի սահմանել նավահանգիստները o usa --top-ports para acelerar.

Այլ, ավելի քիչ տարածվածները (FIN/NULL/Xmas/ACK, SCTP, IP արձանագրություն) օգնում են դասակարգել արդեն իսկ ֆիլտրացիան։ հասկանալ, թե ինչպես է firewall-ը ստուգումՕգտագործեք դրանք որպես աջակցություն, երբ հիմնական մեթոդը չի պարզաբանում վիճակները։

Արդյունքների կատարողականություն, մանրամասներ և արդյունք

Ժամանակի պրոֆիլներ -T0..-T5 Նրանք կարգավորում են կադանսը (պարանոիդ, գաղտագողի, նորմալ, ագրեսիվ, խելագարություն): Սկսեք T3-ից և ճշգրտվում է լատենտության և թիրախի չափի համաձայն։

Մանրամասների մակարդակներ -v և մաքրագործում -d Դրանք օգնում են ձեզ տեսնել, թե ինչ է կատարվում սկանավորման ընթացքում։ Նուրբ հետքերի համար, --packet-trace Այն ցույց է տալիս դուրս եկող և վերադարձող փաթեթները։

Արդյունքները պահպանելու համար՝ -oN (ընթեռնելի), -oX (XML), -oG (գրեպացվող) կամ -oA (միանգամից): Միշտ արտահանել եթե դուք պատրաստվում եք համեմատել սկանավորումները ժամանակի ընթացքում։

Իսկ ի՞նչ կասեք firewall-ի/IDS-ի շրջանցման մասին:

Nmap-ը առաջարկում է այնպիսի տարբերակներ, ինչպիսիք են՝ -f (փշրվածություն), խայծեր (-D), կեղծելով աղբյուրի IP հասցեն (-S), --g (ծագման նավահանգիստ) կամ --spoof-mac. Սրանք առաջադեմ մեթոդներ են՝ իրավական և գործառնական ազդեցությամբՆերքին պաշտպանական աուդիտները հազվադեպ են անհրաժեշտ. կենտրոնացեք տեսանելիության և շտկման վրա։

Zenmap: Nmap գրաֆիկական ինտերֆեյսով

Zenmap-ը տրամադրում է այնպիսի պրոֆիլներ, ինչպիսիք են՝ «Արագ սկանավորում», «Ինտենսիվ», «TCP/UDP» և առաջարկում է ներդիրներ՝ Nmap-ի ելքային տվյալներ, պորտեր/ծառայություններ, տոպոլոգիա, մանրամասներ և պահպանված սկանավորումներԱյն կատարյալ է արդյունքները փաստաթղթավորելու և նրանց համար, ովքեր ցանկանում են տեսնել տոպոլոգիան մեկ սեղմումով։

Այլ գործիքներ, որոնք գումարվում են

Տեղական համակարգերում, ss y netstat Դրանք ցույց են տալիս լսողական միակցիչներ և պորտեր։ Օրինակ՝ ss -tulnp TCP/UDP լսողական ցանկ PID-ով, և դուք կարող եք զտել ըստ պորտի կամ արձանագրության։ լսոֆ -ի Այն նաև օգտակար է կապերը գործընթացներին կապելու համար։

Հեռակա միացքի հետ կապը ստուգելու համար՝ telnet host puerto կամ այլընտրանքային հաճախորդները կարող են սպասարկել (զգուշությամբ, քանի որ Telnet-ը չի կոդավորումWireshark-ը օգնում է տեսնել երթևեկությունը և հասկանալ, թե ինչու ինչ-որ բան չի արձագանքում կամ ինչպես է firewall-ը զտում այն։

Այլընտրանքների շարքում, Masscan Այն առանձնանում է իր արագությամբ (կարճ ժամանակում զանգվածային սկանավորումներ), Մատ/Մատների տուփ արագ գույքագրման և տան վերահսկման համար, Angry IP սկաներ իր պարզության համար, և WinMTR ուղիները և լատենտությունը ախտորոշելու համար։ Թափած Այն հզոր է փաթեթների հետ մանիպուլյացիաների և փորձարկումների համար։

Եթե ​​նախընտրում եք ինչ-որ պարզ բան, TCPing-ը թույլ է տալիս ստուգել TCP-ի հասանելիությունը այնպես, կարծես pinging եք անում միացքներում։ Այն շատ հարմար է միանվագ գրանցումների համար։չնայած այն չի փոխարինում լրիվ սկանավորմանը։

WiFi ցանցի աուդիտ

Չնայած մենք սովորաբար մտածում ենք լարային կապի մասին, Nmap-ը նույնքան օգտակար է անլար կապի դեպքում։ Ճանաչեք ռաութերին միացված սարքերըԱյն ստուգում է բջջային, IoT և AP միացքները և օգնում է հայտնաբերել թույլ կոնֆիգուրացիաները (օրինակ՝ ավելորդ ծառայությունների բացումը):

Հիշե՛ք, որ DHCP դինամիկ տիրույթ և ցանցային կոդավորման տեսակը: Wireshark-ի ձայնագրությունների կամ վերահսկվող լաբորատորիաներում Aircrack-ng-ի նման փաթեթների հետ համատեղ, դուք կունենաք միջավայրի ամբողջական պատկերը:

Լավ կարծրացման պրակտիկա

1) Նվազագույն պահանջներՄի՛ բացեք այն, ինչը չեք օգտագործելու։ Եթե որևէ ծառայություն այլևս անհրաժեշտ չէ, անջատեք այն և փակեք դրա միացքը։

2) CortafuegosԱյն զտում է մուտքային/ելքային երթևեկությունը՝ սարքի դերի հիման վրա: Ռոուտերների վրա այն սահմանում է հստակ կանոններ և կանխում է ավելորդ վերահասցեավորումները: Այն ինտերնետից ստուգում է, որ այն, ինչ պետք է փակվի, իրականում փակ է:

3) ԹարմացումներԱյն կիրառում է համակարգի թարմացումներ, ռաութերի ներկառուցված ծրագրեր և հրապարակված ծառայություններ: Վիրուսային լուծումներից շատերը շահագործում են հայտնի CVE-ներով հին տարբերակները:

4) Monitorización: պլանավորում է պարբերական սկանավորումները և պահպանում արդյունքները -oA համեմատության համար։ Եթե հայտնվում է մի պորտ, որը նախկինում այնտեղ չի եղել, ուսումնասիրեք փոփոխությունը։

5) Քաղաքականություն և վերապատրաստումԸնկերություններում սահմանեք, թե ով է սկանավորում, երբ և ինչ պրոֆիլներով: Վերապատրաստեք անձնակազմին NSE-ի պատասխանատու օգտագործման և արդյունքների կառավարման վերաբերյալ, ինչպես նաև փաստաթղթավորեք շտկման ընթացակարգերը:

Nmap-ի առավելություններն ու թերությունները

Lo mejor: Ազատ, ճկուն և բարձր կարողություններովԲացահայտեք պորտերը, տարբերակները, օպերացիոն համակարգը, ինտեգրեք սկրիպտները և ճշգրիտ արտահանեք։ Այն գործիք է ադմինիստրատորների, աուդիտորների և արձագանքման թիմերի համար։

Թերությունները՝ կարող է լինել արգելափակված է firewall-ի կողմից, աղմուկ է առաջացնում գրանցամատյաններում Եթե ​​դուք չափազանց ագրեսիվ եք, օպերացիոն համակարգի/ծառայության հայտնաբերումը միշտ չէ, որ կատարյալ է։ Ավելին, որոշ սարքեր (օրինակ՝ արդյունաբերական կամ բժշկական սարքավորումներ), որոնք Նրանք լավ չեն հանդուրժում ինտրուզիվ սկանավորումները.

Արագ 5 րոպեանոց ստուգում (անվտանգ և արդյունավետ)

1) Հայտնաբերեք ակտիվ հոսթերը nmap -sn 192.168.1.0/24. Ընտրեք ձեզ հետաքրքրողները հաջորդ քայլի համար։

2) Ընդհանուր նավահանգիստներ nmap -sS o --top-ports 1000 կենտրոնանալ բնորոշի վրա։ Դուք արդեն ունեք հիմնական քարտեզը.

3) Ավելացնել -sV բաց տարբերակները գտնելու և -O եթե ձեզ անհրաժեշտ է օպերացիոն համակարգի պրոֆիլը։ Արտահանել -oA-ով ապացույցները պահպանելու համար։

4) Եթե նկատում եք ինչ-որ անսովոր բան (օրինակ՝ բաց 23/tcp telnet), ստուգեք ծառայությունը և փակեք/ֆիլտրեք այն, եթե դա էական չէ։ Կիրառել թարմացումներ և քաղաքականություններ եթե տարբերակը հին է։

Հրամաններ և ընտրանքներ, որոնք օգտակար է ձեռքի տակ ունենալ

Descubrimiento: -PS (SYN պինգ), -PA (ԱԿԿ), -PU (UDP), -PE (ICMP Echo), --traceroute (ուղի): Օգտակար է շրջանակը դասակարգելու համար և հայտնաբերել միջանկյալ խցանումները։

Պորտային տեխնիկաներ: -sS, -sT, -sU, -sA, -sN/-sF/-sX, -sO. Ընտրեք նպատակի համաձայն և շրջակա միջավայր։

Պորտի ընտրություն: -p (շրջան/ցանկ), --top-ports n, -F (100 ամենատարածվածների համառոտ ցանկը), -r (հաջորդական): Ժամանակ հատկացրեք.

Ծառայություն/SO: -sV, --version-all, --version-trace, -O, --max-os-tries, --fuzzy. Օգտակար է լավ ուրվագծման համար.

Salida: -oN, -oX, -oG, -oA, --resume. No te olvides de guardar և որպեսզի կարողանան վերսկսել աշխատանքը, եթե այն ընդհատվի։

Ստուգեք համակարգի պորտերը (Windows/Linux)

Windows-ում, PowerShell-ի կամ CMD-ի միջոցով, netstat -ano PID-ով միացումների և լսողական միացքների ցանկ։ Զտել ըստ գործընթացի և գտնում է, թե ով ինչ է բացում։

Linux/macOS-ում, ss -tulnp Այն նույն բանը խմբավորում է ժամանակակից ձևով, և lsof -i Այն թույլ է տալիս հատել պրոցեսները և սոքեթները։ Դրանք կարևոր են արդյունքները համեմատելու համար իրական ծառայություններով սկանավորումից։

Firewall-ներ. արգելափակեք այն, ինչ ձեզ պետք չէ

Թիմերում սահմանեք մուտքի/ելքի կանոնները ըստ ծառայության և պրոֆիլի (օրինակ՝ «սահմանափակել SSH մուտքը վստահելի IP հասցեներին«») En el routerԱյն կարգավորում է պորտերի վերահասցեավորումը և լռելյայնորեն կանխում է վահանակների կամ ծառայությունների բացահայտումը: Nmap-ի միջոցով ստուգեք ինտերնետից, որ այն, ինչ կարծում եք, որ փակ է, իրականում փակ է:

Լավ նավահանգստային աուդիտի բանալին տեսանելիության, դատողության և հետևողականության համադրությունն է. Տեսեք, թե ինչն է բաց, հասկացեք, թե ինչ ծառայություն է դրա հետևում կանգնած, որոշեք, թե արդյոք այն պետք է բաց լինի, և թարմացրեք այն։Nmap/Zenmap-ի, համակարգային ծրագրերի և firewall-ի լավ պրակտիկայի միջոցով դուք կարող եք րոպեների ընթացքում նվազեցնել ձեր ազդեցությունը և այն վերահսկողության տակ պահել կանոնավոր սկանավորմամբ: Սկանավորեք խելացիորեն, փաստաթղթավորեք ձեր փոփոխությունները և թույլ մի տվեք, որ մոռացված պորտը դառնա ձեր հաջորդ գլխացավանքի դարպասը: