ポート スキャン: セキュリティ ツールまたはセキュリティの脅威?

ポート スキャンとは何ですか?

ポート スキャンは、サーバーまたはホストで開いているポートを調査するプロセスです。ネットワーク セキュリティにおいて、ポートはデータがシステムに出入りするドアのようなものです。各ポートは特定のプロトコルまたはサービスに関連付けられています。たとえば、Web サーバーは通常、HTTP にはポート 80 を使用し、HTTPS にはポート 443 を使用します。

ポート スキャン中、ツールはターゲット システム上の特定のポートにパケットを送信し、応答を分析して次のことを判断します。

• 開いているポート: 接続の受け入れ
• 閉じられているポート: アクセス可能だがリッスンしているサービスなし
• フィルタリングされているポート:ファイアウォールまたはセキュリティデバイスによってブロックされている
• 実行中のサービス:Webサーバー、データベース、電子メールなど
• サービスバージョン:特定のソフトウェアとバージョン番号

ポート スキャンの二面性

セキュリティ ツールとしてのポート スキャン

サイバーセキュリティ専門家にとって、ポート スキャンは不可欠な偵察ツールです。

脆弱性評価:

• 不必要なオープン ポートを特定します。閉じる必要があります
• 既知の脆弱性を持つ古いサービスを検出します
• ファイアウォール ルールが正しく機能していることを確認します
• ネットワーク アーキテクチャと公開されたサービスをマップします

セキュリティ監査:

• コンプライアンス検証 (PCI DSS、HIPAA など)
• 攻撃者が攻撃する前に弱点を見つける侵入テスト
• 定期的なセキュリティ体制評価
• システム変更後の構成検証

ネットワーク管理:

• ネットワーク上のすべてのデバイスとサービスのインベントリ
• 不正なサーバーまたはサービスの検出
• 構成ドリフトの監視
• ネットワーク インフラストラクチャの文書化

攻撃ベクトルとしてのポート スキャン

悪意のある攻撃者は、さまざまな目的で同じツールを使用します。

偵察フェーズ:

• 攻撃対象領域と潜在的な脆弱性を特定する
• デフォルト設定と脆弱なサービスを見つける
• オペレーティング システムとサービスを特定するバージョン
• 標的型攻撃のネットワーク トポロジのマップ

脆弱性の悪用:

• 発見されたサービスの既知の脆弱性をターゲット
• 公開されたサービスに対するブルート フォース攻撃の試み
• スキャン中に検出された構成ミスをエクスプロイト
• 特定のバージョンに対してターゲットを絞ったエクスプロイトを起動

DDoS準備:

• 増幅ベクトル（DNS、NTP、など)
• ボットネットに勧誘する脆弱なシステムを見つける
• 組織的な攻撃のためのターゲットインフラストラクチャをマップする

ポート番号とサービスについて

ウェルノウンポート(0-1023)

共通サービス用に予約されており、バインドするには root/admin 権限が必要です:

Port	Service	セキュリティ リスク
21	FTP	High - 暗号化されていないファイルtransfer
22	SSH	中 - ブルート フォース ターゲット
23	Telnet	Critical -非暗号化、非推奨
25	SMTP	中 - スパムリレーターゲット
53	DNS	中 - DDoS増幅
80	HTTP	中 - 暗号化されていないWeb
443	HTTPS	Low - 暗号化された Web (適切に構成されている場合)
445	SMB	Critical - ランサムウェア ベクトル

登録済みポート (1024-49151)

特定のアプリケーションおよびサービスで使用:

• 1433/1434: Microsoft SQL Server - データベース攻撃
• 3306: MySQL - データベース妥協
• 3389: リモート デスクトップ プロトコル (RDP) - リモート アクセス攻撃
• 5432: PostgreSQL - ターゲットとなるデータベース
• 5900: VNC - リモート コントロール脆弱性
• 8080/8443: 代替HTTP/HTTPS - 安全性が低い場合が多い

動的/プライベートポート(49152-65535)

一時的な目的でクライアントアプリケーションによって使用されます。接続。通常はサービスのスキャンは行われません。

ポート スキャン テクニック

1。 TCP Connect Scan

最も基本的で信頼性の高いスキャン タイプ - 完全な TCP 3 ウェイ ハンドシェイクを完了します。

仕組み:

1. ScannerがSYNパケットをターゲットポートに送信
2. ポートが開いている場合、ターゲットはSYN-ACKで応答
3. Scannerはハンドシェイクを完了しますACK
4. Sスキャナは接続を即座に終了します

利点:すべてのシステムで動作し、非常に信頼性

欠点:簡単に検出され、ログに記録されます。遅い

2。 SYN スキャン (ステルス スキャン)

最も一般的なスキャン タイプ - TCP ハンドシェイクを完了しません。

仕組み:

1. ScannerはSYNパケットを送信
2. オープンの場合、ターゲットはSYN-ACKで応答
3. ScannerはACKの代わりにRSTを送信し、中止します接続

利点:高速で、ログに記録される可能性が低くなります

欠点:生のパケット権限が必要ですが、依然としてIDS

3をトリガーする可能性があります。 UDP Scan

TCP よりも困難な UDP ポート (コネクションレス プロトコル) をスキャンします。

仕組み:

1. Sスキャナーがターゲット ポートに UDP パケットを送信
2. ポートが閉じている場合、ターゲットは ICMP「ポート到達不能」で応答します
3. 応答がないことは通常、開いているか、または開いていることを意味しますfiltered

利点: UDP サービス (DNS、SNMP など) を検出

欠点: 非常に遅く、信頼性が低く、ICMP

によってレート制限されています。 FIN、NULL、およびクリスマス スキャン

TCP RFC 動作を悪用します。閉じたポートはこれらのパケットに応答する必要がありますが、開いたポートは応答しません。

長所: 単純なファイアウォールをバイパスできる

短所: Windows では動作せず、信頼性が低い

5。 ACK Scan

開いているポートを決定するのではなく、ファイアウォール ルールセットをマッピングするために使用されます。

仕組み: ACK パケットを送信し、応答を分析してフィルタリングを決定します

Nmap: 業界標準

Nmap (ネットワーク マッパー) は、世界中のセキュリティ専門家から信頼されている、最も広く使用されているポート スキャン ツールです。

基本的な Nmap コマンド

S簡単なポート スキャン:

nmap scanme.nmap.org

Sスキャン固有ポート:

nmap -p 22,80,443 192.168.1.1

Scan ポート範囲:

nmap -p 1-1000 192.168.1.0/24

SYN ステルス スキャン (root が必要):

sudo nmap -sS 192.168.1.1

サービス バージョン検出:

nmap -sV 192.168.1.1

オペレーティング システムの検出:

sudo nmap -O 192.168.1.1

積極的なスキャン (OS、バージョン、スクリプト、トレースルート):

nmap -A 192.168.1.1

高速スキャン (上位 100 ポート):

nmap -F 192.168.1.1

Nmap スクリプト エンジン (NSE)

NSE は、脆弱性の検出、悪用、および高度な偵察のための数百のスクリプトで Nmap を拡張します。

Rデフォルトのスクリプトの実行:

nmap -sC 192.168.1.1

R特定の脆弱性スキャンの実行:

nmap --script vuln 192.168.1.1

SSL 証明書情報:

nmap --script ssl-cert 192.168.1.1 -p 443

法的および倫理的考慮事項

ポート スキャンが合法な場合

• 独自のシステム:インフラストラクチャをスキャンする完全な権限
• 書面による許可がある場合:ペネトレーション テスト契約、セキュリティ監査
• バグ報奨金プログラム: 定義されたプログラムの範囲内
• 研究環境: 隔離された研究室ネットワーク、サンドボックス

ポート スキャンが違法である可能性がある場合

• 不正スキャン: システム所有者からの明示的な許可なし
• 利用規約違反: 多くの ISP がスキャンを禁止
• 悪用の意図: 攻撃の前兆としてのスキャン
• 中断の原因: サービスの可用性に影響を与える積極的なスキャン

法的枠組み

米国 - コンピュータ詐欺および不正行為に関する法律 (CFAA):

• 許可なくコンピュータにアクセスすることを禁止
• ポートスキャンは解釈によっては「アクセス」に該当する可能性がある
• 米国対ケインのような事件はポートスキャンを起訴された

欧州連合 - NIS 指令:

• セキュリティインシデントの通知が必要
• 不正なスキャンはデータ保護法に違反する可能性があります

英国 - 1990 年コンピュータ不正使用法:

• コンピュータマテリアルへの不正アクセスを犯罪化する
• 許可のないポートスキャンは犯罪となる可能性がある

倫理的なポートスキャンのベストプラクティス

1. 書面による許可を取得する:必ず明示的に取得する承認
2. 範囲を明確に定義する:どのシステム、ポート、および期間が承認されるかを文書化する
3. 影響を最小限に抑える:サービスを中断しないスキャン技術を使用する
4. 尊重率制限: 過剰なトラフィックでターゲットをフラッディングしない
5. 文書の検出結果: スキャン活動の詳細なログを保管する
6. 責任を持って報告する: 見つかった脆弱性について責任ある開示に従う

ポート スキャンに対する防御

1。ファイアウォール構成

ステルスモードの実装:

• RSTXを送信する代わりに閉じたポートにパケットをドロップPLZ196X
• 偵察をより困難かつ遅くする
• ネットワークを隠すトポロジ

Rレート制限:

• 時間枠ごとのIPごとの接続試行を制限
• Sスキャンを大幅に遅くします
• Rブルートフォースの有効性を低減します攻撃

2。侵入検知と防御

IDS/IPSシグネチャ：

• 一般的なスキャンパターン（連続ポート、SYNフラッド）の検出
• 不審な動作に関するアラート
• 自動ブロックIP のスキャン

人気の IDS/IPS ソリューション:

• Snort: オープンソース ネットワーク侵入検知
• Suricata: 高性能 IDS/IPS エンジン
• Zeek (旧 Bro): ネットワーク分析フレームワーク

3。攻撃対象領域を最小限に抑える

不要なポートを閉じる:

• 必要のないサービスを無効にする
• 外部アクセスが必要ない場合、サービスをローカルホストにバインドする
• リスニングポートの定期的な監査

非標準ポートを使用する:

• SSH をポート 22 から大きい番号に変更するポート
• 管理インターフェイスを非標準ポートに移動
• 自動スキャンの効率を低下させます（隠蔽によるセキュリティ - プライマリではなく補助的）

4。ネットワークセグメンテーション

• 機密性の高いシステムを異なるネットワークセグメントに分離
• VLANと内部ファイアウォールを使用
• ゼロトラストアーキテクチャを実装
• 横方向の移動の機会を制限

5。自分のシステムの定期的なスキャン

攻撃者が行う前に自分自身をスキャンします。

• 外部 IP 範囲の毎週の自動 Nmap スキャン
• 毎月の包括的な内部ネットワーク スキャン
• 四半期ごとのペネトレーション テスト
• Shodan などのツールによる継続的な監視アラート

ポート スキャナ ツールを使用して、公開されているポートとサービスを確認します。

よくある質問

結論

ポート スキャンは、多くのサイバーセキュリティ ツールの二重性を例示しています。つまり、セキュリティを強化するために使用される同じ技術が、セキュリティを侵害するために武器化される可能性があります。システムを強化するセキュリティ専門家であっても、インフラストラクチャを管理するシステム管理者であっても、単にネットワーク セキュリティがどのように機能するかに興味がある人であっても、ポート スキャンを理解することは不可欠です。

重要なポイント:

• 知識は力なり: スキャンの仕組みを理解すると、スキャンの防御に役立ちます
• 法的事項: 所有していないシステムをスキャンする前に必ず承認を取得してください
• 徹底した防御:スキャンと悪用に対して複数の層の保護を使用する
• 定期的な評価:自社のシステムを定期的にスキャンして脆弱性を見つけて修正する
• 最新情報を入手する:ポートスキャン技術と防御手段は常に進化

サイバーセキュリティのいたちごっこでは、ポート スキャンが常に重要な役割を果たします。攻撃的アプリケーションと防御的アプリケーションの両方を理解することで、正当なセキュリティ目的でこれらの強力なツールを活用しながら、デジタル インフラストラクチャをより適切に保護できます。