Sieci komputerowe

Rozpoznanie sieci za pomocą Nmap

CyberbezpieczeństwoStudia I stopnia

Nmap pomaga administratorowi zweryfikować własną inwentaryzację i widoczne usługi. Wynik jest obserwacją z konkretnego miejsca i czasu, a nie dowodem pełnego bezpieczeństwa systemu.

autoryzowane laboratoriumhost discoveryportyusługi

Cele lekcji

Czego się nauczysz

Przygotujesz jednoznaczny zakres i zgodę na rozpoznanie sieci.
Wykryjesz aktywne hosty we własnym segmencie laboratoryjnym.
Wykonasz podstawowy TCP connect scan wybranych portów.
Odczytasz stany open, closed i filtered bez nadinterpretacji.
Porównasz skanowanie portów z identyfikacją usługi.
Udokumentujesz wynik, ograniczenia i możliwe alternatywne wyjaśnienia.

Wymagania wstępne

Adresacja IPv4 i maski
TCP/UDP i porty
Podstawy bezpieczeństwa sieci

Wymóg bezwzględny

Zgoda, zakres i odpowiedzialność

Wykonuj polecenia wyłącznie wobec własnych maszyn w odizolowanej sieci laboratoryjnej albo systemów objętych jednoznaczną zgodą właściciela. Zgoda powinna określać adresy, czas, dozwolone techniki, osobę kontaktową i sposób postępowania w razie nieoczekiwanego wpływu na usługę.

Nie skanuj publicznych adresów, sieci uczelni, pracodawcy, operatora ani urządzeń innych osób bez formalnego upoważnienia. Dostępność narzędzia nie jest zgodą na jego użycie.

Zapisz źródłowy host skanujący, zakres docelowy i godzinę testu.
Ogranicz porty i liczbę hostów do celu ćwiczenia.
Przerwij test, jeżeli powoduje niestabilność lub wychodzi poza zatwierdzony zakres.
Nie używaj technik omijania filtrów, maskowania źródła ani skryptów wykorzystujących podatności.

Granice ćwiczenia

Administracja a ofensywne testowanie

Administracja a ofensywne testowanie
Działanie	Cel administracyjny	Poza zakresem tej lekcji
Wykrywanie hostów	porównanie aktywnych urządzeń z inwentaryzacją	ukrywanie źródła lub skanowanie cudzej sieci
Skan wybranych portów	sprawdzenie, czy oczekiwana usługa jest widoczna	masowe skanowanie Internetu
Identyfikacja usługi	porównanie bannera z dokumentacją	wykorzystywanie wykrytej wersji
Raport	udokumentowanie obserwacji i właściciela naprawy	publikowanie danych o cudzym systemie

Topologia

Przygotowanie kontrolowanego laboratorium

Przykład zakłada sieć wewnętrzną VirtualBox LAB-CYBER 192.168.77.0/24, stację VM-ANALITYK 192.168.77.20 i własną maszynę VM-SERWER 192.168.77.10. Przed skanem potwierdź adresy na konsoli obu maszyn i utwórz punkt kontrolny konfiguracji.

Przygotowanie kontrolowanego laboratorium
Element	Adres	Rola	Warunek
VM-ANALITYK	192.168.77.20/24	uruchamia Nmap	należy do wykonującego ćwiczenie
VM-SERWER	192.168.77.10/24	udostępnia celowo wybrane usługi	własna maszyna testowa
LAB-CYBER	192.168.77.0/24	izoluje ruch od Internetu	brak mostkowania i brak bramy

Host discovery

Wykrywanie aktywnych hostów

Opcja -sn pomija klasyczny skan portów i wykonuje wykrywanie hostów. W lokalnym segmencie wynik może korzystać z ARP, natomiast poza nim zależy od routingu, filtrów i odpowiedzi na próby wykrywania.

Platforma: Nmap w Windows lub Linux. Cel: porównanie własnej podsieci laboratoryjnej z inwentaryzacją. Tryb: konto użytkownika; dostępne metody mogą zależeć od systemu i sterownika przechwytywania.

nmap -sn 192.168.77.0/24

Oczekiwany rezultat: Lista hostów, które odpowiedziały na zastosowane metody wykrywania. Brak hosta na liście nie dowodzi, że urządzenie jest wyłączone.

Cofnięcie: Polecenie nie zmienia konfiguracji. Usuń jedynie własne pliki wynikowe zgodnie z zasadami retencji laboratorium.

TCP connect

Podstawowe skanowanie wybranych portów

TCP connect scan (-sT) korzysta z systemowego zestawienia połączenia. Każda próba może zostać zarejestrowana przez host docelowy lub urządzenia pośrednie. Lista -p celowo ogranicza ćwiczenie do wcześniej zatwierdzonych portów.

Platforma: Nmap w Windows lub Linux. Cel: sprawdzenie czterech udokumentowanych portów własnego serwera laboratoryjnego. Tryb: zwykły użytkownik.

nmap -sT -p 22,53,80,443 192.168.77.10

Oczekiwany rezultat: Tabela portów TCP i ich stanów z punktu widzenia stacji VM-ANALITYK.

Cofnięcie: Polecenie nie zmienia celu. Zatrzymaj tylko usługi, które sam uruchomiłeś na potrzeby laboratorium.

Service detection

Identyfikacja usług

Opcja -sV wysyła dodatkowe próby rozpoznające usługę. --version-light ogranicza intensywność wykrywania, ale nadal wymaga zgody. Banner lub odpowiedź aplikacji nie są wiarygodnym dowodem dokładnej wersji ani podatności.

Platforma: Nmap w Windows lub Linux. Cel: porównanie odpowiedzi własnych usług z dokumentacją serwera. Tryb: zwykły użytkownik.

nmap -sT -sV --version-light -p 22,80,443 192.168.77.10

Oczekiwany rezultat: Próba rozpoznania protokołu i wersji na trzech zatwierdzonych portach. Wynik może być ogólny, błędny albo niepełny.

Cofnięcie: Brak zmian konfiguracji; zabezpiecz raport, jeżeli zawiera informacje o wersjach oprogramowania.

Interpretacja

Jak czytać stany portów

Stan opisuje wynik konkretnego testu z konkretnego źródła. Ten sam port może wyglądać inaczej ze stacji zarządzającej, sieci gościnnej i lokalnej konsoli hosta.

Jak czytać stany portów
Stan	Co można stwierdzić	Czego nie można stwierdzić
open	aplikacja przyjmuje połączenia lub datagramy na badanym porcie	że usługa jest poprawnie skonfigurowana lub bezpieczna
closed	host odpowiedział, ale nic nie nasłuchuje na tym porcie	że port zawsze pozostanie zamknięty
filtered	Nmap nie potrafi rozstrzygnąć stanu z powodu filtra lub przeszkody	że za filtrem na pewno działa usługa

Przykład praktyczny

Od obserwacji do wniosku

Od obserwacji do wniosku
Obserwacja	Możliwe wyjaśnienie	Następna defensywna weryfikacja
22/tcp open	działa serwer SSH	porównaj z zatwierdzoną listą usług i lokalnym nasłuchem
80/tcp closed	host osiągalny, lecz HTTP nie nasłuchuje	sprawdź, czy projekt wymaga wyłącznie HTTPS
443/tcp filtered	firewall lub filtr nie pozwala rozstrzygnąć stanu	sprawdź zatwierdzone reguły z właścicielem urządzenia
host niewidoczny po -sn	filtruje próby, jest wyłączony albo poza trasą	potwierdź adres i stan na własnej konsoli

Ograniczenia

Na co zwrócić uwagę

Firewall, translacja NAT, load balancer, proxy i punkt obserwacji mogą zmienić wynik.
Nazwa usługi przypisana do numeru portu nie dowodzi, jaka aplikacja faktycznie działa.
Wykryta wersja jest hipotezą opartą na odpowiedzi, nie automatycznym potwierdzeniem podatności.
Skan jest próbką w czasie; usługa może zostać uruchomiona lub zatrzymana po zakończeniu testu.
UDP i systemy o ograniczonych zasobach wymagają osobnego planu oraz większej ostrożności; nie są częścią tego ćwiczenia.

Kontrola jakości

Najczęstsze błędy

Rozpoczęcie skanu bez zapisanej zgody, zakresu i osoby kontaktowej.
Skanowanie całej podsieci lub wszystkich portów, mimo że cel wymaga jednego hosta i kilku usług.
Uznanie filtered za potwierdzenie otwartej usługi albo closed za dowód bezpieczeństwa.
Traktowanie rozpoznanej nazwy i wersji jako niepodważalnego faktu.
Pomijanie lokalnej konfiguracji, logów oraz potwierdzenia właściciela systemu.
Publikowanie raportu zawierającego adresy, wersje i topologię bez kontroli dostępu.

Praktyka

Ćwiczenie praktyczne — Autoryzowane rozpoznanie własnych hostów

Zapisz zakres obejmujący wyłącznie VM-ANALITYK i VM-SERWER oraz wskaż właściciela obu maszyn.
Uruchom -sn w LAB-CYBER i porównaj wynik z adresami sprawdzonymi lokalnie na własnych maszynach.
Wykonaj -sT tylko dla portów 22, 53, 80 i 443 własnego serwera. Wyjaśnij każdy stan bez używania słowa podatność.
Uruchom ograniczone -sV dla portów 22, 80 i 443, a wynik porównaj z lokalną listą usług.
Przygotuj tabelę: polecenie, czas, źródło, cel, obserwacja, ograniczenie i następna defensywna weryfikacja.

Najważniejsze wnioski

Podsumowanie

Nmap może wspierać administrację i audyt, ale zawsze wymaga własności celu albo jednoznacznej zgody.
Host discovery, skan portów i identyfikacja usług odpowiadają na różne pytania.
Open, closed i filtered opisują obserwację z danego miejsca i czasu, nie ogólny poziom bezpieczeństwa.
Wniosek łączy wynik Nmap z lokalną konfiguracją, logami, dokumentacją i wiedzą właściciela systemu.

Dalsza nauka

Powiązane tematy

Dalsza nauka

Oficjalne źródła

Lista: Sieci komputerowe

Odporność i odtwarzanie Monitoring