Quét cổng: Công cụ bảo mật hay mối đe dọa bảo mật?

Quét cổng là gì?

Quét cổng là quá trình thăm dò máy chủ hoặc máy chủ để tìm các cổng đang mở. Trong bảo mật mạng, cổng giống như một cánh cửa để dữ liệu vào và ra khỏi hệ thống. Mỗi cổng được liên kết với một giao thức hoặc dịch vụ cụ thể—ví dụ: máy chủ web thường sử dụng cổng 80 cho HTTP và cổng 443 cho HTTPS.

Trong quá trình quét cổng, một công cụ sẽ gửi gói đến các cổng cụ thể trên hệ thống đích và phân tích các phản hồi để xác định:

• Cổng nào đang mở: Đang chấp nhận kết nối
• Cổng nào đã đóng: Có thể truy cập nhưng không nghe dịch vụ
• Các cổng nào được lọc: Bị chặn bởi tường lửa hoặc thiết bị bảo mật
• Các dịch vụ nào đang chạy: Máy chủ web, cơ sở dữ liệu, email, v.v.
• Phiên bản dịch vụ: Số phiên bản và phần mềm cụ thể

The Dual Bản chất của việc quét cổng

Quét cổng như một công cụ bảo mật

Đối với các chuyên gia an ninh mạng, quét cổng là một công cụ trinh sát thiết yếu:

Đánh giá lỗ hổng:

• Xác định các cổng mở không cần thiết cần đóng
• Khám phá các dịch vụ lỗi thời với các lỗ hổng đã biết
• Xác minh các quy tắc tường lửa đang hoạt động chính xác
• Bản đồ kiến trúc mạng và các dịch vụ bị lộ

Kiểm tra bảo mật:

• Xác minh tuân thủ (PCI DSS, HIPAA, v.v.)
• PKiểm tra thâm nhập để tìm ra điểm yếu trước kẻ tấn công
• Đánh giá trạng thái bảo mật thường xuyên
• Xác thực cấu hình sau khi thay đổi hệ thống

Quản lý mạng:

• Kiểm kê tất cả các thiết bị và dịch vụ trên mạng
• Phát hiện máy chủ hoặc dịch vụ trái phép
• Giám sát sai lệch cấu hình
• Cơ sở hạ tầng mạng tài liệu

Quét cổng dưới dạng Vector tấn công

Các tác nhân độc hại sử dụng cùng một công cụ cho các mục đích khác nhau:

Giai đoạn trinh sát:

• Xác định các bề mặt tấn công và các lỗ hổng tiềm ẩn
• Tìm cấu hình mặc định và dịch vụ yếu
• Xác định hệ điều hành và phiên bản dịch vụ
• Bản đồ cấu trúc liên kết mạng cho các cuộc tấn công có chủ đích

Khai thác lỗ hổng:

• Nhắm mục tiêu các lỗ hổng đã biết trong các dịch vụ được phát hiện
• Cố gắng tấn công vũ phu vào các dịch vụ bị lộ
• Khai thác các cấu hình sai được tìm thấy trong quá trình quét
• LKhởi động các hoạt động khai thác có chủ đích đối với các phiên bản cụ thể

DDoS Chuẩn bị:

• Xác định vectơ khuếch đại (DNS, NTP, v.v.)
• Tìm các hệ thống dễ bị tấn công để tuyển dụng vào botnet
• Bản đồ cơ sở hạ tầng mục tiêu cho các cuộc tấn công phối hợp

Tìm hiểu số cổng và dịch vụ

Các cổng nổi tiếng (0-1023)

Dành riêng cho các dịch vụ thông thường, yêu cầu đặc quyền root/quản trị viên để liên kết:

Port	Service	Rủi ro bảo mật
21	FTP	High - Tệp không được mã hóa chuyển
22	SSH	Trung bình - Mục tiêu bạo lực
23	Telnet	Critical - Không được mã hóa, không được dùng nữa
25	SMTP	Medium - Mục tiêu chuyển tiếp thư rác
53	DNS	Medium - Khuếch đại DDoS
80	HTTP	Medium - Web không được mã hóa
443	HTTPS	Low - Web được mã hóa (nếu được định cấu hình đúng)
445	SMB	Critical - Ransomware vector

Cổng đã đăng ký (1024-49151)

Được sử dụng bởi các ứng dụng và dịch vụ cụ thể:

• 1433/1434: Microsoft SQL Server - Tấn công cơ sở dữ liệu
• 3306: MySQL - Cơ sở dữ liệu thỏa hiệp
• 3389: Giao thức máy tính từ xa (RDP) - Tấn công truy cập từ xa
• 5432: PostgreSQL - Nhắm mục tiêu cơ sở dữ liệu
• 5900: VNC - Lỗ hổng điều khiển từ xa
• 8080/8443: HTTP/HTTPS thay thế - Thường ít bảo mật hơn

Cổng động/riêng tư (49152-65535)

Được ứng dụng khách sử dụng cho các kết nối tạm thời, thường không được quét tìm dịch vụ.

Kỹ thuật quét cổng

1. TCP Connect Scan

Loại quét cơ bản và đáng tin cậy nhất—hoàn thành quá trình bắt tay ba chiều TCP đầy đủ.

Cách hoạt động:

1. Scanner gửi gói SYN tới cổng đích
2. Nếu cổng mở, mục tiêu sẽ phản hồi bằng SYN-ACK
3. Scanner hoàn tất bắt tay với ACK
4. Scanner ngay lập tức ngắt kết nối

Ưu điểm: Hoạt động trên tất cả các hệ thống, rất đáng tin cậy

Nhược điểm: Dễ dàng phát hiện và ghi lại, chậm hơn

2. Quét SYN (Quét ẩn)

Loại quét phổ biến nhất—không hoàn thành quá trình bắt tay TCP.

Cách hoạt động:

1. Scanner gửi gói SYN
2. Nếu mở, mục tiêu sẽ phản hồi bằng SYN-ACK
3. Scanner gửi RST thay vì ACK, hủy bỏ kết nối

Ưu điểm: Nhanh hơn, ít bị ghi lại hơn

Nhược điểm: Yêu cầu đặc quyền gói thô, vẫn có thể kích hoạt IDS

3. UDP Scan

Quét các cổng UDP (giao thức không kết nối), khó khăn hơn TCP.

Cách hoạt động:

1. Scanner gửi gói UDP tới cổng đích
2. Nếu cổng bị đóng, mục tiêu sẽ phản hồi bằng ICMP "cổng không thể truy cập"
3. Không có phản hồi thường có nghĩa là mở hoặc được lọc

Ưu điểm: Khám phá các dịch vụ UDP (DNS, SNMP, v.v.)

Nhược điểm: Rất chậm, kém tin cậy hơn, bị giới hạn tốc độ bởi ICMP

4. Quét FIN, NULL và Xmas

Khai thác hành vi TCP RFC—các cổng đóng sẽ phản hồi các gói này, còn các cổng mở thì không.

Ưu điểm: Có thể vượt qua tường lửa đơn giản

Nhược điểm: Không hoạt động trên Windows, không đáng tin cậy

5. ACK Scan

Được sử dụng để ánh xạ các bộ quy tắc tường lửa thay vì xác định các cổng đang mở.

Cách hoạt động: Gửi gói ACK, phân tích phản hồi để xác định quá trình lọc

Nmap: Tiêu chuẩn ngành

Nmap (Network Mapper) là công cụ quét cổng được sử dụng rộng rãi nhất, được các chuyên gia bảo mật trên toàn thế giới tin cậy.

Các lệnh Nmap cơ bản

Quét cổng đơn giản:

nmap scanme.nmap.org

Quét cụ thể cổng:

nmap -p 22,80,443 192.168.1.1

Phạm vi cổng quét:

nmap -p 1-1000 192.168.1.0/24

Quét lén

SYN (yêu cầu root):

sudo nmap -sS 192.168.1.1

Phát hiện phiên bản dịch vụ:

nmap -sV 192.168.1.1

Phát hiện hệ điều hành:

sudo nmap -O 192.168.1.1

Quét mạnh mẽ (OS, phiên bản, tập lệnh, traceroute):

nmap -A 192.168.1.1

Quét nhanh (100 cổng hàng đầu):

nmap -F 192.168.1.1

Nmap Scripting Engine (NSE)

NSE mở rộng Nmap với hàng trăm tập lệnh để phát hiện, khai thác và trinh sát nâng cao lỗ hổng bảo mật.

Run tập lệnh mặc định:

nmap -sC 192.168.1.1

Run quét lỗ hổng cụ thể:

nmap --script vuln 192.168.1.1

SSL Thông tin chứng chỉ:

nmap --script ssl-cert 192.168.1.1 -p 443

Pháp lý và đạo đức Cân nhắc

Khi Quét cổng là hợp pháp

• Hệ thống của riêng bạn: Có toàn quyền quét cơ sở hạ tầng của bạn
• Có ủy quyền bằng văn bản: Hợp đồng kiểm tra thâm nhập, kiểm tra bảo mật
• Tiền thưởng lỗi chương trình: Trong phạm vi chương trình được xác định
• Môi trường nghiên cứu: Mạng phòng thí nghiệm biệt lập, hộp cát

Khi quét cổng có thể bất hợp pháp

• Quét trái phép: Không có sự cho phép rõ ràng từ chủ sở hữu hệ thống
• Vi phạm điều khoản dịch vụ: Nhiều ISP cấm quét
• Có ý định khai thác: Quét như tiền thân của cuộc tấn công
• Gây gián đoạn: Hung hăng các lần quét ảnh hưởng đến tính khả dụng của dịch vụ

Khung pháp lý

Hoa Kỳ - Đạo luật lạm dụng và gian lận máy tính (CFAA):

• Cấm truy cập máy tính mà không được phép
• Việc quét cổng có thể cấu thành "truy cập" theo một số cách hiểu
• Các trường hợp như United States v. Kane đã khởi tố việc quét cổng

Liên minh Châu Âu - Chỉ thị NIS:

• Yêu cầu thông báo bảo mật sự cố
• Quét trái phép có thể vi phạm luật bảo vệ dữ liệu

Vương quốc Anh - Đạo luật lạm dụng máy tính 1990:

• Hình sự hóa truy cập trái phép vào tài liệu máy tính
• Quét cổng mà không có sự cho phép có thể cấu thành hành vi phạm tội

Các phương pháp thực hành tốt nhất để quét cổng có đạo đức

1. Nhận giấy phép bằng văn bản: Luôn xin phép rõ ràng
2. Xác định phạm vi rõ ràng: Ghi lại những hệ thống, cổng và khung thời gian nào được phê duyệt
3. Giảm thiểu tác động: Sử dụng các kỹ thuật quét không làm gián đoạn dịch vụ
4. Tuân thủ giới hạn tỷ lệ: Không làm tràn ngập các mục tiêu có lưu lượng truy cập quá mức
5. Phát hiện tài liệu: Giữ chi tiết nhật ký hoạt động quét
6. Báo cáo có trách nhiệm: Tuân thủ việc tiết lộ có trách nhiệm đối với các lỗ hổng được tìm thấy

Bảo vệ chống quét cổng

1. Cấu hình tường lửa

Triển khai chế độ ẩn:

• Thả gói đến các cổng đã đóng thay vì gửi RST
• Làm cho việc trinh sát khó hơn và chậm hơn
• Ẩn cấu trúc liên kết mạng

Giới hạn tốc độ:

• LGiới hạn số lần thử kết nối trên mỗi IP trên mỗi khung thời gian
• Làm chậm quá trình quét đáng kể
• Giảm hiệu quả của các cuộc tấn công vũ phu

2. Phát hiện và ngăn chặn xâm nhập

IDS/IPS chữ ký:

• Phát hiện các mẫu quét phổ biến (cổng tuần tự, lũ SYN)
• Cảnh báo về hành vi đáng ngờ
• Tự động chặn quét IPs

Giải pháp IDS/IPS phổ biến:

• Snort: Phát hiện xâm nhập mạng nguồn mở
• Suricata: Công cụ IDS/IPS hiệu suất cao
• Zeek (trước đây là Bro): Khung phân tích mạng

3. Giảm thiểu tấn công bề mặt

Đóng các cổng không cần thiết:

• Vô hiệu hóa các dịch vụ bạn không cần
• Liên kết các dịch vụ với localhost khi không cần truy cập bên ngoài
• Kiểm tra thường xuyên các cổng nghe

Sử dụng các cổng không chuẩn:

• Thay đổi SSH từ cổng 22 lên số cao port
• Chuyển giao diện quản trị sang các cổng không chuẩn
• Giảm hiệu quả quét tự động (bảo mật thông qua tính năng che khuất - bổ sung, không phải chính)

4. Phân đoạn mạng

• Tách các hệ thống nhạy cảm thành các phân đoạn mạng khác nhau
• Sử dụng Vlan và tường lửa nội bộ
• Triển khai kiến ​​trúc không tin cậy
• LHạn chế các cơ hội di chuyển ngang

5. Quét thường xuyên hệ thống của riêng bạn

Tự quét trước khi kẻ tấn công thực hiện:

• Quét Nmap tự động hàng tuần các dải IP bên ngoài của bạn
• Quét mạng nội bộ toàn diện hàng tháng
• Kiểm tra thâm nhập hàng quý
• Giám sát liên tục bằng các công cụ như Shodan cảnh báo

Sử dụng công cụ quét cổng của chúng tôi để kiểm tra các cổng và dịch vụ được hiển thị công khai của bạn.

Câu hỏi thường gặp

Kết luận

Tính năng quét cổng

thể hiện tính hai mặt của nhiều công cụ an ninh mạng: các kỹ thuật tương tự được sử dụng để tăng cường bảo mật có thể được vũ khí hóa để xâm phạm nó. Hiểu rõ tính năng quét cổng là điều cần thiết cho dù bạn là chuyên gia bảo mật hệ thống tăng cường, quản trị viên hệ thống quản lý cơ sở hạ tầng hay đơn giản là người quan tâm đến cách thức hoạt động của bảo mật mạng.

Những điểm rút ra quan trọng:

• Kiến thức là sức mạnh: Hiểu cách hoạt động của chức năng quét giúp bạn phòng vệ trước nó
• LVấn đề pháp lý: Luôn xin phép trước khi quét các hệ thống mà bạn không sở hữu
• Phòng thủ chuyên sâu: Sử dụng nhiều lớp bảo vệ chống lại việc quét và khai thác
• Đánh giá thường xuyên: Quét hệ thống của riêng bạn thường xuyên để tìm và sửa các lỗ hổng
• Luôn cập nhật thông tin: Các kỹ thuật quét cổng và các biện pháp phòng thủ không ngừng phát triển

Trong trò chơi mèo vờn chuột về an ninh mạng, việc quét cổng sẽ luôn đóng một vai trò quan trọng. Bằng cách hiểu cả ứng dụng tấn công và phòng thủ, bạn có thể bảo vệ cơ sở hạ tầng kỹ thuật số của mình tốt hơn đồng thời tận dụng các công cụ mạnh mẽ này cho mục đích bảo mật hợp pháp.