Сканирование портов и сервисов

Сначала авторизация — сканирование это разведка, а не бесплатное чтение

Прежде любого механизма ниже остаётся в силе правило, открывающее весь этот трек: сканирование портов легитимно только против системы, которой ты владеешь или которую явно авторизован тестировать. В терминах MITRE ATT&CK сканирование — это Active Scanning в тактике Reconnaissance (TA0043), и слово «active» здесь ключевое. В отличие от чтения публичных DNS-записей цели, сканер отправляет пакеты на цель и ждёт ответов, а значит, касается инфраструктуры, которой ты не управляешь, и оставляет на ней следы. Наводить сканер на хост без авторизации — это неправомерный доступ почти в любой юрисдикции, как бы мягким ни было сканирование. Всё здесь оформлено для CTF-машины, намеренно уязвимой VM, которую ты развернул, или работы в рамках согласованного объёма — никогда для реальной цели «просто посмотреть, что открыто».

Мы учим это защитно: если ты точно понимаешь, что вскрывает сканирование и что оно после себя оставляет, ты можешь и сократить то, что раскрывают твои собственные системы, и распознать сканирование в своих логах, когда его запустят против тебя.

Как работает сканирование портов: рукопожатие TCP как вопрос

Сканирование портов — это просто трёхэтапное рукопожатие TCP, использованное как допрос. Чтобы открыть обычное соединение, клиент шлёт SYN, сервер отвечает SYN-ACK, если порт слушает, и клиент завершает ACK. Сканер эксплуатирует середину этого обмена: он шлёт SYN, и один лишь ответ сообщает ему состояние порта ещё до того, как соединение полностью установлено.

• Вернулся SYN-ACK → порт открыт: что-то слушает.
• Вернулся RST (сброс) → порт закрыт: хост достижим, но там ничего не слушает.
• Ничего не вернулось (после повторов/таймаута) → фильтруется: файрвол молча отбрасывает зонд, и ты не отличаешь открытый от закрытого.

Классика по умолчанию — SYN-сканирование (часто называемое «полуоткрытым» или «скрытным»): оно шлёт SYN, читает ответ и затем шлёт RST, чтобы разорвать наполовину построенное соединение до завершения рукопожатия. Исторически это имело значение, потому что соединение, которое так и не открылось полностью, часто не попадало в собственные логи приложения. В противоположность ему connect-сканирование завершает полное трёхэтапное рукопожатие через штатный системный вызов соединения ОС — надёжнее и служит запасным вариантом, когда у сканера нет прав на формирование сырых пакетов, но громче, потому что завершённое соединение — ровно то, что записывает журналирование приложения.

От открытого порта к названному сервису: фингерпринтинг и баннеры

Номер открытого порта — слабая догадка. Порт 22 обычно означает SSH, а 5432 обычно — PostgreSQL, но сервисы постоянно работают на нестандартных портах, и одно лишь «открыт» ничего не говорит о том, какое ПО и какой версии слушает. Превращение номера порта в уверенную идентификацию — это фингерпринтинг сервиса, и у него два вида.

Дешёвый — захват баннера (banner grabbing): многие сервисы объявляют себя в момент подключения. Открой сырое TCP-соединение к порту SSH, и он поприветствует тебя строкой версии вроде SSH-2.0-OpenSSH_7.4; SMTP-сервер ответит строкой 220 с названием почтового ПО; неправильно настроенный веб-сервер вернёт заголовок Server:. Ты читаешь баннер, который сервис сам отдаёт, и знаешь, что это, — без всякой хитрости, ведь сервис сам тебе сообщил.

Более глубокий — активный фингерпринтинг (детекция сервиса/версии -sV в nmap). Когда баннер отсутствует, лжёт или неоднозначен, сканер шлёт последовательность сформированных зондов и сопоставляет паттерн ответов — тайминги, точные последовательности байтов, поведение при ошибках, особенности протокола — с базой известных сигнатур сервисов. Он также может вывести ОС по тонким различиям в том, как сам стек TCP/IP отвечает (значения TTL, размеры окна, порядок опций), потому что нет двух одинаково ведущих себя стеков. Это точнее, чем доверять баннеру, но и гораздо громче: вместо одного соединения он выстреливает десятками необычных зондов на порт — ровно тот аномальный трафик, который IDS настроен замечать.

Что видит защитник — и почему сканирование двусторонне

Это та половина, о которой забывают новички: пока ты читаешь цель, цель читает тебя. Каждый зонд — это пакет с твоим IP-источником, а защитный стек построен замечать ровно те паттерны, что создаёт сканирование.

• Логи файрвола / соединений фиксируют поток: много SYN на много портов с одного источника в короткое окно. Серия полуоткрытых соединений, завершённых RST (сигнатура SYN-скана), или разлёт по всему диапазону портов — хрестоматийный отпечаток сканирования.
• IDS/IPS (Snort, Suricata или облачный эквивалент) имеет правила, настроенные именно на это, — порог различных портов, затронутых с источника за интервал, — и может выдать алерт, ограничить скорость или вовсе заблокировать IP-источник.
• Детекция версии ещё заметнее: необычные, не соответствующие протоколу зонды, которые шлют -sV и детекция ОС, не похожи ни на один нормальный клиент, поэтому они зажигают сигнатурное обнаружение куда сильнее простого прохода по портам.

Защитные уроки выпадают прямо отсюда. Сократи то, что вообще раскрыто (закрой порты, привяжи сервисы к внутренним интерфейсам, поставь впереди файрвол, чтобы большинство зондов фильтровались, а не получали ответ). Срежь или обезличь баннеры, чтобы успешное соединение не отдавало ничего, — но помни, что это лишь прячет ярлык, а не сам сервис, поэтому замедляет атакующего, а не останавливает его. И мониторь сигнатуру сканирования, чтобы обнаруживать разведку рано, ведь в цепочке поражения (kill chain) разведка — это первая стадия, и поймать атакующего на ней — самое дешёвое место разорвать цепочку.