Сканирование портов nmap (своей сети)

Урок про инструмент инвентаризации сети — что он показывает и как защитнику читать его вывод. Только на своей сети.

nmap — утилита для обнаружения хостов и открытых портов; администратор использует её для инвентаризации собственной сети.

Зачем nmap защитнику

Прежде чем защищать, нужно знать, что вообще открыто. nmap даёт честную картину: какие порты слушают, какие сервисы за ними и не торчит ли наружу что-то забытое. Это инвентаризация поверхности атаки — но только своей.

Важно: запускать nmap против чужих сетей без письменного разрешения незаконно (ст. 272 УК РФ). Все примеры — для адресов вашей сети.

Базовое сканирование своей сети

# какие хосты живы в своей подсети
nmap -sn 192.168.1.0/24

# какие порты открыты на своём хосте
nmap 192.168.1.10

# определить сервисы и версии (свой хост)
nmap -sV 192.168.1.10

Состояния портов

Состояние filtered — хороший знак: значит, на периметре стоит фильтрация, и нарушителю не видно, что за портом.

Как работает под капотом

В основе — поведение TCP-рукопожатия. На попытку соединения открытый порт отвечает согласием, закрытый — отказом, а отфильтрованный молчит. По этим реакциям nmap и делает вывод. Понимая механику, вы понимаете и защиту: правильно настроенный firewall превращает картину в сплошной filtered, лишая разведку данных.

SYN  ----> open   : ответ = принимаю
SYN  ----> closed : ответ = отказ
SYN  ----> filtered: тишина (firewall)

Как обнаружить сканирование

• Множество подключений с одного адреса к разным портам за короткое время — типичная сигнатура.
• IDS (Snort/Suricata) умеют детектировать паттерны сканирования из коробки.
• Анализ логов firewall на всплески отклонённых соединений.

Частые ошибки

• Сканировать чужие адреса «для теста» — это правонарушение.
• Делать выводы по одному прогону: сервис мог быть временно недоступен.
• Не сопоставлять результат с тем, что должно быть открыто — иначе забытый порт останется незамеченным.

Итоги

• nmap — инструмент инвентаризации своей поверхности атаки.
• Состояние filtered означает, что фильтрация работает.
• Сканирование легально только против своей сети или с письменного разрешения.