RT

Sieci komputerowe

CYB-01 — Kontrolowane rozpoznanie sieci z Nmap

Cyberbezpieczeństwo

Kontrolowane rozpoznanie dwóch własnych maszyn w izolowanej sieci LAB-CYBER: od łączności po udokumentowaną interpretację stanów portów.

100–120 minVirtualBoxpoziom początkującyNmapraport

Cele ćwiczenia

Od obserwacji do udokumentowanego wniosku

  • Zbudowanie izolowanej sieci wewnętrznej VirtualBox bez dostępu do obcych systemów.
  • Wykrycie własnych hostów i kontrolowane sprawdzenie kilku wskazanych portów.
  • Porównanie stanów open, closed i filtered po odwracalnej zmianie usługi lub firewalla.
  • Identyfikacja usługi z uwzględnieniem ograniczeń rozpoznawania wersji.
  • Zapisanie poleceń, wyników, czasu i zakresu w raporcie studenta.

Wymóg bezwzględny

Autoryzacja i granice ćwiczenia

Wolno skanować wyłącznie własne maszyny w LAB-CYBER albo systemy objęte jednoznaczną zgodą właściciela. Znajomość adresu IP nie oznacza zgody na skanowanie.

Nie używaj Bridged Adapter. Nie skanuj sieci uczelni, pracodawcy, dostawcy Internetu, publicznych adresów ani urządzeń innych osób.

Granice autoryzowanego laboratorium Nmap
DozwoloneNiedozwoloneReakcja na wątpliwość
192.168.77.10 oraz własna LAB-CYBERobce podsieci, publiczne adresy i tryb bridgezatrzymaj polecenie i zapytaj prowadzącego
-sn, -sT, kilka wskazanych portów, -sV --version-lightNSE wykorzystujący podatności, spoofing, omijanie filtrówwróć do zatwierdzonej listy poleceń
krótkie wyniki tekstowepublikacja szczegółów cudzych usługogranicz dostęp i retencję

Izolowana sieć VirtualBox

Topologia, adresacja i wymagania

Adresacja laboratorium LAB-CYBER
ElementAdresRolaAdapterBrama
VM-SERWER192.168.77.10/24Ubuntu Server; SSH i HTTPSieć wewnętrzna LAB-CYBERbrak
VM-ANALITYK192.168.77.20/24Ubuntu Desktop; Nmap i WiresharkSieć wewnętrzna LAB-CYBERbrak
Adapter opcjonalnyz DHCP NATwyłącznie aktualizacje i instalacjaNAT, odłączony przed testemz NAT

W obu maszynach wybierz Internal Network i wpisz identyczną nazwę LAB-CYBER. Sieć wewnętrzna nie ma bramy domyślnej ani połączenia z Internetem.

Opcjonalny drugi adapter NAT włączaj tylko na czas aktualizacji i instalacji pakietów. Przed rozpoczęciem skanowania odłącz kabel tego adaptera w ustawieniach VirtualBox i potwierdź trasę poleceniem ip route.

Wymagania wstępne

  • Podstawy adresacji IPv4 oraz portów TCP.
  • Ukończona lekcja Rozpoznanie sieci za pomocą Nmap.
  • Dostęp do konsoli obu własnych maszyn i możliwość wykonania migawki.
  • Nmap na VM-ANALITYK; OpenSSH Server, nginx i UFW na VM-SERWER.

Stan kontrolowany

Przygotowanie obu maszyn

Wykonaj migawkę obu maszyn. Nazwę interfejsu LAB odczytaj przez ip -br link i wstaw zamiast INTERFEJS_LAB. Polecenia adresujące wykonuj z konsoli, wyłącznie na dedykowanym adapterze LAB-CYBER.

VM-SERWER

sudo ip address replace 192.168.77.10/24 dev INTERFEJS_LAB sudo ip link set INTERFEJS_LAB up ip -br address show dev INTERFEJS_LAB ip route # Tylko podczas podłączonego adaptera NAT: sudo apt update sudo apt install -y openssh-server nginx ufw sudo systemctl enable --now ssh nginx # Po instalacji odłącz adapter NAT.

VM-ANALITYK

sudo ip address replace 192.168.77.20/24 dev INTERFEJS_LAB sudo ip link set INTERFEJS_LAB up ip -br address show dev INTERFEJS_LAB ip route # Tylko podczas podłączonego adaptera NAT: sudo apt update sudo apt install -y nmap wireshark # Po instalacji odłącz adapter NAT.

Na VM-SERWER zapisz wynik sudo ufw status verbose, systemctl is-active ssh nginx i ss -lnt. Do ćwiczenia firewalla przejdź tylko wtedy, gdy UFW był początkowo nieaktywny i można przywrócić ten stan.

Najpierw host

Test łączności i wykrywanie hostów

Podstawowa łączność

ping -c 4 192.168.77.10
Działanie:
Wysyła cztery komunikaty ICMP Echo Request do własnej VM-SERWER.
Oczekiwany wynik:
Odpowiedzi z 192.168.77.10 i brak wyjścia poza LAB-CYBER.
Interpretacja:
Odpowiedź potwierdza osiągalność w tej chwili, ale nie potwierdza dostępności wszystkich usług.
Ograniczenie:
Brak odpowiedzi może wynikać z filtrowania ICMP, a nie z wyłączenia hosta.

Host discovery w LAB-CYBER

nmap -sn 192.168.77.0/24 -oN lab04-hosty.txt
Działanie:
Pomija klasyczny skan portów, wykrywa hosty we własnej podsieci i zapisuje zwykły wynik tekstowy.
Oczekiwany wynik:
W izolowanej sieci powinny być widoczne VM-ANALITYK oraz VM-SERWER, zależnie od metod i uprawnień.
Interpretacja:
Porównaj wykryte adresy z tabelą inwentaryzacji; dodatkowy host wymaga sprawdzenia konfiguracji VirtualBox.
Ograniczenie:
Brak wpisu nie dowodzi, że host jest wyłączony; filtrowanie i zastosowana metoda wpływają na wynik.

Ograniczony zakres

Kontrolowane skanowanie portów i usług

TCP Connect dla czterech portów

nmap -sT --reason -p 22,80,443,65000 192.168.77.10 -oN lab04-porty-przed.txt
Działanie:
System operacyjny próbuje zestawić zwykłe połączenie TCP tylko z czterema wskazanymi portami.
Oczekiwany wynik:
Przy działających usługach 22 i 80 powinny być open; nieużywane 443 i 65000 zwykle będą closed.
Interpretacja:
Odczytaj STATE, SERVICE i REASON dla każdego portu, a następnie porównaj z ss -lnt na serwerze.
Ograniczenie:
Nazwa SERVICE wynika także z bazy portów; sama nie potwierdza programu działającego na porcie.

Podstawowa identyfikacja usług

nmap -sT -sV --version-light -p 22,80 192.168.77.10 -oN lab04-uslugi.txt
Działanie:
Łączy TCP Connect z ograniczoną liczbą lekkich prób identyfikacji usługi.
Oczekiwany wynik:
Nmap może wskazać SSH i HTTP oraz przybliżone oprogramowanie widoczne w odpowiedzi.
Interpretacja:
Porównaj wynik z systemctl i pakietami na VM-SERWER; rozbieżność zapisz jako obserwację.
Ograniczenie:
Banner może być ukryty, zmieniony albo współdzielony przez proxy; wykryta wersja jest hipotezą.

Jeden warunek naraz

Porównanie open, closed i filtered

Interpretacja stanów portów Nmap
StanZnaczenie obserwacjiScenariusz laboratoryjnyWeryfikacja
openUsługa nasłuchuje i przyjmuje połączeniauruchomiony nginx na 80/tcppotwierdź usługę i proces na VM-SERWER
closedHost odpowiada, ale na porcie nic nie nasłuchujezatrzymany nginx na 80/tcpnie utożsamiaj z wyłączonym hostem
filteredNmap nie może rozstrzygnąć stanu z powodu filtrowanialokalny firewall odrzuca ruch do 80/tcpwynik zależy od odpowiedzi lub braku odpowiedzi firewalla

1. Stan open

# VM-SERWER sudo systemctl start nginx ss -lnt | grep ':80' # VM-ANALITYK nmap -sT --reason -p 80 192.168.77.10 -oN lab04-open.txt

2. Stan closed

# VM-SERWER sudo systemctl stop nginx # VM-ANALITYK nmap -sT --reason -p 80 192.168.77.10 -oN lab04-closed.txt

3. Stan filtered

Uruchom nginx ponownie. Z konsoli VM-SERWER włącz lokalny firewall tylko dla tego scenariusza. Reguła zachowuje SSH z VM-ANALITYK i filtruje HTTP z tego samego hosta.

# VM-SERWER — najpierw potwierdź, że początkowo UFW był inactive sudo systemctl start nginx sudo ufw allow proto tcp from 192.168.77.20 to any port 22 sudo ufw deny proto tcp from 192.168.77.20 to any port 80 sudo ufw --force enable sudo ufw status verbose # VM-ANALITYK nmap -sT --reason -p 22,80 192.168.77.10 -oN lab04-filtered.txt # VM-SERWER — przywrócenie początkowego stanu laboratorium sudo ufw disable sudo ufw delete deny proto tcp from 192.168.77.20 to any port 80 sudo ufw delete allow proto tcp from 192.168.77.20 to any port 22 sudo systemctl start nginx

Typ odpowiedzi firewalla wpływa na klasyfikację. Zapisz stan faktycznie pokazany przez Nmap i wartość REASON; nie dopasowuj wyniku do oczekiwanej etykiety. Gdy UFW był aktywny przed ćwiczeniem, nie wyłączaj go i użyj migawki lub instrukcji prowadzącego.

Własne obserwacje

Tabela wyników, pytania i zadanie samodzielne

Miejsca na wyniki studenta CYB-01
EtapPort lub zakresWynik studentaDowódInterpretacja i ograniczenie
Wykrywanie hostów
Usługa uruchomiona80/tcp
Usługa zatrzymana80/tcp
Reguła firewalla80/tcp
Identyfikacja usługi22,80/tcp

Pytania kontrolne

  1. Dlaczego znajomość adresu IP nie stanowi zgody na skanowanie?
  2. Czym TCP Connect scan różni się od samego wykrywania hostów?
  3. Jak Nmap opisuje port, na którym działa usługa przyjmująca połączenia?
  4. Dlaczego closed nie oznacza, że host jest wyłączony?
  5. Dlaczego filtered nie dowodzi, że za filtrem działa usługa?
  6. Jakie czynniki mogą spowodować błędne rozpoznanie wersji usługi?
  7. Które dane trzeba zapisać, aby inna osoba mogła powtórzyć pomiar?

Zadanie samodzielne

Wybierz jeden dodatkowy, wcześniej uzgodniony port powyżej 1024 na VM-SERWER. Uruchom na nim własną prostą usługę laboratoryjną, sprawdź tylko ten port przez -sT, zatrzymaj usługę i powtórz pomiar. Raport ma zawierać zakres, dwa wyniki, zmianę na serwerze, interpretację oraz przywrócenie stanu. Nie używaj NSE ani publicznego celu.

Od objawu do testu

Najczęstsze problemy

Najpierw porównaj ustawienia adapterów i stan usług, dopiero potem zmieniaj polecenie Nmap.

Najczęstsze problemy CYB-01
ObjawMożliwa przyczynaPierwszy bezpieczny krok
Brak obu maszyn w wyniku -sninny typ adaptera lub inna nazwa sieci wewnętrznejporównaj ustawienie Internal Network i dokładną nazwę LAB-CYBER
Ping nie działabłędny adres, interfejs down albo filtr ICMPsprawdź ip -br address, link i reguły na VM-SERWER
Wszystkie porty są closedusługi nie działają lub nasłuchują tylko na loopbacksprawdź systemctl i ss -lnt na konsoli serwera
Port nie zmienia się na filteredreguła nie działa albo firewall zwraca jednoznaczne odrzuceniesprawdź sudo ufw status verbose i zanotuj rzeczywisty wynik
-sV podaje tylko ogólną nazwęusługa nie ujawnia wersji lub odpowiedź jest niejednoznacznazapisz ograniczenie zamiast zgadywać wersję
Nmap zgłasza host downhost discovery nie otrzymał odpowiedzipotwierdź adres na konsoli i łączność L2; nie rozszerzaj zakresu
Plik wyniku już istnieje-oN nadpisuje wskazany plikużyj nowej nazwy zawierającej etap lub czas

Dokumentacja studenta

Szablon raportu i kryteria zaliczenia

Szablon raportu — CYB-01

Kryteria techniczne i raport

  • Obie maszyny korzystają z LAB-CYBER, a Bridged Adapter nie jest używany.
  • Student udokumentował adresy, brak bramy w sieci izolowanej i zakres 192.168.77.10 lub LAB-CYBER.
  • Wyniki host discovery oraz skanu wybranych portów zapisano do plików tekstowych.
  • Poprawnie rozróżniono open, closed i filtered na podstawie własnych obserwacji.
  • Po każdym wyniku podano ograniczenie lub alternatywne wyjaśnienie.
  • Usługa i firewall zostały przywrócone do stanu początkowego.
  • Raport nie zawiera gotowych danych innych osób ani wyników z obcej sieci.

Kontrola bezpieczeństwa

  • Zakres nie wykroczył poza własne 192.168.77.10 lub LAB-CYBER.
  • Adapter NAT był odłączony podczas skanowania, a trybu bridge nie użyto.
  • Nie zastosowano skryptów podatności, spoofingu ani technik omijania filtrów.
  • Pliki wynikowe pozostają dostępne tylko dla studenta i prowadzącego.
Lista: Sieci komputerowe
CYB-02 — Analiza anomalii w Wiresharku