როდესაც პორტის სკანირება ჩართულია, ჰაკერებს შეუძლიათ დაწერონ სკრიპტები, რომლებიც მუდმივად აწარმოებენ პინგს სამიზნე ჰოსტის ღია პორტებზე, რაც იწვევს სერვისის უარყოფას.
პორტის ნომერი უზრუნველყოფს თანმიმდევრულობას და კომბინირებულია სამიზნე ჰოსტის IP მისამართთან, რათა შეიქმნას ინფორმაცია, რომელსაც ინტერნეტ სერვისის პროვაიდერი იყენებს მოთხოვნების შესასრულებლად. პორტის სკანირება არის ჩვეულებრივი ტექნიკა, რომელსაც ჰაკერები იყენებენ ღია პორტების იდენტიფიცირებისთვის, რომლებიც შეიძლება გამოყენებულ იქნას როგორც თავდასხმის ვექტორები.
ამ სტატიაში განვიხილავთ port scan შეტევას, მის ტიპებს და პრევენციის სტრატეგიებს.
რა არის Port Scan?
პორტის სკანირება საყოველთაოდ გამოყენებული შეტევის ტექნიკაა დაუცველი სამიზნე სერვერის გამოსავლენად სხვადასხვა პორტების შემოწმებით. ხელმისაწვდომ სერვერის პორტს შეუძლია გამოავლინოს მნიშვნელოვანი ინფორმაცია, როგორიცაა:
პორტის სტატუსი – მოიცავს დეტალებს დახურული პორტის, ღია პორტის, ფაირვოლისგან დაცვისა და შეჭრის აღმოჩენის სისტემების არსებობის შესახებ
პორტზე გაშვებული სერვისი – გვიჩვენებს თუ რა ტიპის პორტთან გვაქვს საქმე: UDP პორტი, FTP პორტი, სხვა საერთო პორტები თუ კერძო პორტები
მოწყობილობის ტიპი
სამიზნე სერვერზე დაყენებული ოპერაციული სისტემა გვაძლევს ინფორმაციას – იძლევა თუ არა მოწყობილობა ანონიმურ შესვლის საშუალებას
მიუხედავად იმისა, რომ თვდამსხმელები იყენებენ ამ ინფორმაციას თავდასხმების მოსამზადებლად, პორტის სკანირებას ასევე მიმართავენ უსაფრთხოების ექსპერტებიც, რათა დაადგინონ დაუცველობა.
Port Scan შეტევის მაგალითები
Port Scan შეტევები კლასიფიცირებულია დაუცველ პორტზე გაშვებული სერვისის ტიპის მიხედვით. Port Scan ტიპის შეტევის მაგალითებია:
UDP პორტის სკანირება
მომხმარებლის მონაცემთა პროტოკოლი (UDP) მონაცემთა გადაცემის უზრუნველსაყოფად აყალიბებს კავშირს ქსელის ორ ერთეულს შორის. ვინაიდან UDP პროტოკოლი არ მოითხოვს მოსმენის პორტისგან პასუხს, ქსელების უმეტესობა მას იყენებს შეტყობინებების გადასაცემად. UDP პორტის სკანირება გამოიყენება პროტოკოლის გამოყენებით დაუცველი სერვისების იდენტიფიცირებისთვის. UDP პორტებზე გაშვებული საერთო სერვისები მოიცავს:
UDP პორტის სკანირება
მომხმარებლის მონაცემთა პროტოკოლი (UDP) მონაცემთა გადაცემის უზრუნველსაყოფად აყალიბებს კავშირს ქსელის ორ ერთეულს შორის. ვინაიდან UDP პროტოკოლი არ მოითხოვს მოსმენის პორტისგან პასუხს, ქსელების უმეტესობა მას იყენებს შეტყობინებების გადასაცემად. UDP პორტის სკანირება გამოიყენება.
პროტოკოლის გამოყენებით დაუცველი სერვისების იდენტიფიცირებისთვის. UDP პორტებზე გაშვებული საერთო სერვისები მოიცავს:
TCP პორტის სკანირება
გადაცემის კონტროლის პროტოკოლი არის ძირითადი პროტოკოლი IP პაკეტში. TCP პორტის სკანირება აღმოაჩენს დაუცველ სერვისებს სამმხრივი TCP ხელის ჩამორთმევის ინიცირებით, როდესაც ხელის ჩამორთმევის დასრულება მიუთითებს ღია პორტზე. სამიზნე სერვერი აბრუნებს შეცდომას, თუ პორტი დახურულია. მიუხედავად იმისა, რომ ამ ტიპის სკანირება არ საჭიროებს დიდ პრივილეგიებს, მიდგომა არ გვთავაზობს დაბალი დონის კონტროლს, რის გამოც მას ჰაკერები იშვიათად მიმართავენ.
SYN სკანირება
სკანირების ეს მეთოდი მოიცავს სამმხრივი ხელის ჩამორთმევის დაწყებას ერთმანეთისგან დაშორებულ ჰოსტებს შორის კავშირის სინქრონიზაციისთვის. კლიენტის მანქანა აგზავნის TCP SYN პაკეტს (სინქრონიზაციის მოთხოვნა) და ელოდება სამიზნე სერვერის პასუხს SYN-ACK შეტყობინებით (სინქრონიზაციის დადასტურება) თუ პორტი ღიაა. შემდეგ კლიენტი აგზავნის ACK ფლეგს სამმხრივი ხელის ჩამორთმევის დასასრულებლად. თუ პორტი ისმინება, RST პაკეტი ჩართულია ხელის ჩამორთმევაში, რომელიც აღადგენს TCP კავშირს, წაშლის კავშირის მცდელობას სამიზნე სერვერის ჟურნალებში.
SYN პორტის სკანირება, რომელიც ასევე ცნობილია როგორც ნახევრად ღია TCP სკანირება, შეიძლება გამოვლინდეს მხოლოდ ყველაზე შეჭრის დეტექციის სისტემების დახმარებით. თავდამსხმელები ხშირად აწყვილებენ SYN სკანირებას სკანირების ალტერნატიულ მეთოდებთან, როგორიცაა FIN და TTL სკანირება, გამავალი სატესტო პაკეტის გაზრდის გზით, რათა არ გამოჩნდნენ.
FTP bounce სკანირება
ფაილების გადაცემის პროტოკოლის მოძველებული სერვერების უმეტესობა შეიცავს თანდაყოლილ დაუცველობას, რომელიც პორტის ბრძანების გამოყენებით მონაცემთა გაგზავნის საშუალებას იძლევამითითებულ ჰოსტებსა და პორტებში. თავდამსხმელებს შეუძლიათ შეიყვანონ ბრძანებების ან მავნე მონაცემების სერია ფაილში და გადასცენ ისინი დაუცველ ჰოსტზე არსებულ აქტიურ პორტში, რაც იწვევს FTP bounce სკანირების შეტევას. თავდამსხმელებს შეუძლიათ გამოიყენონ FTP სერვერის ხარვეზები, რათა აღმოაჩინონ და გამოიყენონ სხვა დაუცველი სერვისები ქსელში, როგორიცაა SMTP- ფოსტის გადაცემის მარტივი პროტოკოლი და DNS-დომენის სერვისი.
როგორ ავიცილოთ თავიდან Port Scan შეტევები?
ძლიერი Firewall დაცვის გამოყენება
მძლავრი ტექნიკისა და პროგრამული უზრუნველყოფის ფაიერვოლი დაგეხმარებათ თავიდან აიცილოთ არაავტორიზებული წვდომა ორგანიზაციის პირად ქსელში. Firewall ამარტივებს პორტის ხილვადობის კონტროლს და შეუძლია გააფრთხილოს უსაფრთხოების თანამშრომლები, იჰაკება კომპიუტერი პორტის სკანერების მეშვეობით.
დაუცველობის რეგულარული სკანირება
ორგანიზაციებს ურჩევენ გაფართოებული პორტის სკანერის გამოყენებას, რომელიც რეგულარულად და ავტომატურად ამოწმებს ღია, დაუცველ სერვისებსა და პორტებს. უწყვეტი, ავტომატური სკანირება აღმოაჩენს სუსტ წერტილებს, რომლებიც თავდამსხმელებს შეუძლიათ გამოიყენონ პორტების სკანირების შეტევების განსახორციელებლად.
TCP wrapper-ის გამოყენება
TCP wrapper აკონტროლებს ინდივიდუალურ შემომავალ პაკეტებს, რათა დარწმუნდეს, რომ ისინი ეკუთვნის ავტორიზებულ სუბიექტს. wrapper მოქმედებს როგორც ჰოსტზე დაფუძნებული წვდომის კონტროლის სია, რომელიც უზრუნველყოფს სტანდარტიზებული აღრიცხვისა და ნებართვების მართვას, მუშობს, როგორც დაბალი დონის პაკეტის ფილტრი.
როგორ ჩავატაროთ პორტის სკანირება?
სამიზნე პორტში გაგზავნილი პაკეტების გასაგზავნად და შესაფასებლად რამდენიმე მიდგომა არსებობს. ზოგიერთი ასეთი მეთოდი მოიცავს:
Vanilla scan: პორტის სკანირების ძირითადი ტექნიკა, რომელიც აგზავნის პაკეტების რიგს 65,536 პორტიდან ერთდროულად. Vanilla scan არის ზუსტი და მარტივი, რადგან ის მოიცავს სამმხრივ ხელის ჩამორთმევას SYN ფლეგის, SYN-ACK პასუხის და ACK ფლეგის გამოყენებით დაუცველი სერვისების დასადგენად.
Ping scans: მარტივი პორტის სკანირების მექანიზმი, რომელიც იყენებს ინტერნეტის კონტროლის შეტყობინებების პროტოკოლის (ICMP) მოთხოვნებს, რომლებიც გაგზავნილია მრავალ სერვერზე და პრობლემების აღმოფხვრის დაბრუნებული პასუხების შემოწმების გზით.
XMAS scans: ეს მეთოდი აგზავნის დროშების ნაკრებს, რომელთა პასუხები ასახავს ფაიერვოლის მდგომარეობას და სამიზნე პორტებს. XMAS scans მანიპულირებს TCP სათაურის PSH, URG და FIN ფლეგებით, როდესაც სამიზნე ჰოსტის პასუხი განსხვავდება ღია და დახურულ პორტებისთვის..
Sweep scans: ICMP სკანირება, რომელიც განსაზღვრავს, თუ რომელი IP მისამართები იმაპება შიდა ქსელებში გაშვებულ ჰოსტებთნ. Ping Sweep იყენებს ICMP ECHO მოთხოვნებს რამდენიმე ჰოსტის ერთდროულად სკანირებისთვის.
როგორ გამორთოთ პორტის სკანირება და DOS დაცვა?
როდესაც პორტის სკანირება ჩართულია, ჰაკერებს შეუძლიათ დაწერონ სკრიპტები, რომლებიც მუდმივად აწარმოებენ პინგს სამიზნე ჰოსტის ღია პორტებზე, რაც იწვევს სერვისის უარყოფას. პორტის სკანირების გამორთვის შემდეგ, ღია პორტები აღარ იქნება ხელმისაწვდომი გარედან, რაც ხელს უწყობს DoS შეტევების თავიდან აცილებას. ყველა როუტერს/მასპინძელ მოწყობილობას აქვს GUI ან ბრძანებაზე დაფუძნებული პარამეტრი, რომელიც გათიშავს პორტის სკანირებას და უზრუნველყოფს DoS დაცვას.
რა არის პორტის სკანირების დეტექცია?
პორტის სკანირების დეტექცია არის მარტივი აპლიკაციის დაცვის ტექნიკა, რომელიც ეყრდნობა მარტივ მიდგომებს იმის დასადგენად, აქტიურად ასკანერებენ თუ არა ჰაკერები სამიზნე პორტს. ვინაიდან პორტის სკანირების შეტევები ჩვეულებრივ იწვევს მასიურ მოთხოვნებს მოკლე დროში, პორტის სკანირების გამოვლენა შეიძლება განხორციელდეს სამიზნე IP მისამართისთვის მოთხოვნილი პორტების რაოდენობის დათვლით.
