Überprüfung eines lokalen Netzwerks mit Nmap und Wireshark Es ist eine der effektivsten Methoden, um zu verstehen, was in Ihrer Infrastruktur tatsächlich vor sich geht, überlastete Dienste zu erkennen und zu sehen, welche Informationen ein Angreifer bei einem Eindringen in Ihr Netzwerksegment einsehen könnte. Diese beiden etablierten Tools werden von Administratoren und Penetrationstestern gleichermaßen häufig eingesetzt. In Kombination ermöglichen sie Ihnen, von einer einfachen Momentaufnahme offener Ports zu einer detaillierten Analyse jedes einzelnen übertragenen Datenpakets zu gelangen.
In diesem Artikel werden wir zusammenführen Alles, was Sie für die Durchführung eines vollständigen Audits benötigen Ausgehend von einem lokalen Netzwerk: von den Grundlagen des Port-Scannings, TCP-Flags und Scan-Typen in Nmap bis hin zu fortgeschrittenen Filtertechniken mit Wireshark, um diese Scans zu erkennen und Ausweichmanöver zu entlarven. Sie sehen außerdem Beispiele für Lernumgebungen mit virtuellen Maschinen, typische Übungen (Ping-Sweep, SYN-Scan, NULL-Scan, Man-in-the-Middle-Angriff mit Bettercap) sowie weitere Tools, die Nmap und Wireshark ergänzen.
Was ist ein Port-Scan und warum ist er bei einem Audit wichtig?
Ein Port-Scan Es handelt sich um einen automatisierten Prozess, der Pakete an alle oder einige der 65.535 TCP/UDP-Ports eines oder mehrerer Computer sendet, um zu prüfen, welche Ports wie antworten. Aus diesen Antworten lassen sich Rückschlüsse ziehen, welche Dienste aktiv sind, welches Betriebssystem möglicherweise verwendet wird und ob Firewalls die Daten filtern.
Für einen Angreifer ist ein gründlicher Portscan der richtige Weg, um „Eintrittspunkte“ und Schwachstellen ausfindig machenDies umfasst falsch konfigurierte Dienste, veraltete Versionen mit bekannten Sicherheitslücken oder offene Protokolle wie Telnet, FTP oder HTTP. Für Administratoren und Auditoren zeigt derselbe Scan, welche Systeme ungeschützt sind, welche abgeschaltet werden müssen und welche besser geschützt werden müssen.
Es ist wichtig, klarzustellen, dass Es ist keine gute Idee, mehr Ports zu öffnen als nötig.Viele Router, Server oder Anwendungen lassen Ports offen, einfach so oder weil sie jemand zu Testzwecken geöffnet und nie wieder geschlossen hat. Ein Scan Ihres Netzwerks mit Nmap hilft Ihnen, einen genauen Überblick darüber zu erhalten, was von innen und außen erreichbar ist.
Neben dem Lagerbestand ist Folgendes wichtig: Nutzen Sie Firewalls und Intrusion-Detection-Systeme. Diese Filter verhindern unerwünschte Zugriffe und protokollieren verdächtige Verbindungsversuche. Und natürlich sollten Sie Systeme, Router und Dienste stets auf dem neuesten Stand halten, um die Auswirkungen von Ports zu minimieren, die Sie aus geschäftlichen Gründen unbedingt offen halten müssen.
Was ist Nmap und was kann es in einem lokalen Netzwerk leisten?
Nmap (Netzwerkzuordnung) Es handelt sich um ein kostenloses Open-Source-Tool, das Geräte in einem Netzwerk erkennt, deren offene Ports analysiert und die im Hintergrund laufenden Dienste ermittelt. Es läuft über die Kommandozeile unter Linux, Windows und macOS und bietet optional eine grafische Benutzeroberfläche namens Zenmap.
Mit Nmap können Sie Hosts sowohl im lokalen Netzwerk als auch über das Internet erkennen: Computer, Router, Switches, IoT-Geräte, Server usw. Zusätzlich zur Auflistung der offenen oder gefilterten Ports kann es versuchen, das Betriebssystem und die Version der Dienste zu identifizieren und Sicherheitsskripte (NSE) zu starten, die Penetrationstests automatisieren.
Zu den wichtigsten Funktionen gehört die Unterstützung für verschiedene Arten von ScansEs unterstützt TCP (SYN, connect, FIN, NULL, Xmas…), UDP, ICMP und einige fortgeschrittenere Methoden zur Umgehung bestimmter Firewalls. Außerdem ermöglicht es die Arbeit mit IPv4 und IPv6 sowie das Scannen einzelner Hosts, IP-Bereiche oder ganzer Subnetze.
Eine der Stärken von Nmap ist, dass Es ermöglicht das Scannen großer Mengen von Zielen. Es arbeitet äußerst effizient. Es kann den Aggressivitätsgrad, die Paketübertragungsgeschwindigkeit und den Parallelisierungsgrad steuern. Dies ist sowohl für geplante Audits von Unternehmensnetzwerken als auch für Simulationen in Lehrlaboren nützlich.
Portstatus und Scan-Typen in Nmap
Wenn Nmap einen Scan abgeschlossen hatEs klassifiziert jeden Hafen in einen von mehreren Zuständen, deren Verständnis wichtig ist, da ihre Interpretation für die Prüfung von grundlegender Bedeutung ist:
- XNUMXh geöffnetAuf diesem Port (TCP oder UDP) akzeptiert eine Anwendung Verbindungen. Dies stellt eine offensichtliche Angriffsfläche dar.
- geschlossenDer Port antwortet, aber kein Dienst lauscht. Der Host ist erreichbar, aber über diesen Port findet kein Datenverkehr statt. Idealerweise sollte er von einer Firewall blockiert werden.
- gefiltertEine Firewall oder ein Filter verhindert, dass Nmap feststellen kann, ob die Verbindung offen oder geschlossen ist (keine eindeutige Antwort).
- offen|gefiltertEs ist nicht möglich zu wissen, ob es offen oder gefiltert ist, typisch bei bestimmten speziellen UDP- oder TCP-Scans (FIN, NULL, Xmas).
- geschlossen|gefiltert: Mehrdeutiger Zustand, der in sehr spezifischen Techniken wie dem IP-Idle-Scan verwendet wird.
Bei einer echten Wirtschaftsprüfung beginnen wir üblicherweise mit Schnellscans der gängigsten Ports um ein erstes Foto zu erhalten:
nmap 192.168.1.2
Wenn wir alles geben wollen, ist es möglich. Scannen aller 65.535 Ports erzwingen vom Gastgeber:
nmap -p 1-65535 192.168.1.2
Es ist auch sehr üblich, den Bereich auf bestimmte Ports oder Blöcke zu beschränken, die uns interessieren. Zum Beispiel von 20 bis 200:
nmap -p 20-200 192.168.1.2
Neben dem Portstatus ermöglicht Ihnen Nmap Folgendes: Erkennung von Betriebssystem- und Dienstversionen mit einem einzigen Befehl, allerdings auf Kosten einer etwas höheren Lautstärke:
nmap -A -v 192.168.1.2
Diese Betriebssystemerkennung ist nicht perfekt, aber im Allgemeinen recht genau. In der Linux-Welt ist die genaue Bestimmung des Modells und der spezifischen Version jedoch eine ganz andere Sache.
TCP-Flags, Scan-Typen und wie man sie erkennt
Nmap nutzt die verschiedenen TCP-Flags aus. (SYN, ACK, FIN, RST, PSH, URG…) werden verwendet, um mehr oder weniger unauffällige Scans durchzuführen. Bei CTF-Wettbewerben ist beispielsweise ein „versteckter“ SYN-Scan üblich. In defensiven Umgebungen ist es hilfreich, diese Muster in Protokollen oder Wireshark zu erkennen.
Um die Scans zu verstehen, müssen Sie sich über Folgendes im Klaren sein: Klassischer TCP-HandshakeSYN → SYN/ACK → ACK. Von dort aus können Variationen gespielt werden, die bestimmte Flags senden oder nicht und die Verbindung mit einem RESET unterbrechen, anstatt den Zyklus normal zu beenden.
Viele Erklärungen ordnen TCP-Flags numerische Werte zu, um sie summieren und filtern zu können. Zum Beispiel:
| Kopf | Wert |
|---|---|
| SYN | 1 |
| SYN / ACK | 2 |
| ACK | 4 |
| DATEN | 8 |
| FIN | 16 |
| RESET | 32 |
Mit dieser Kodierungsmethode ist es beispielsweise möglich, das Feld in Wireshark zu verwenden. tcp.completeness und filtern Sie nach der Summe der Flags, die in einem bestimmten Datenstrom vorkommen, um Scanmuster zu ermitteln.
Vollständiger TCP-Handshake (Verbindungsscan)
Bei einem „vollständigen“ Scan mit Nmap (was als … bekannt ist) TCP-VerbindungsscanOption -sTDer Client stellt die gesamte Verbindung zum Server her: SYN → SYN/ACK → ACK und schließt sie nach dem Austausch einiger Daten mit einem RESET oder einem normalen FIN.
Wenn Sie diese Sequenz in Wireshark aufzeichnen und die Flag-Werte gemäß der obigen Tabelle summieren (z. B. SYN + SYN/ACK + ACK + RESET), können Sie filtern mit tcp.completeness = 39 um Verbindungen aufzuspüren, die hergestellt und vollständig unterbrochen wurden.
Diese Art von Scan ist am einfachsten zu erkennen, da Es hinterlässt Spuren in den Dienstprotokollen. (Web, FTP, Telnet, IMAP usw.) und in den Systemprotokolldateien. In einer typischen Testumgebung, in der rsyslog ausgeführt wird, finden Sie Meldungen in den Protokolldateien. /var/log/syslog, /var/log/auth.log, /var/log/daemon.log und ähnliche Dienste, wenn Nmap den Handshake mit Diensten wie z. B. abgeschlossen hat in.fingerd, inetd, telnetd, ftpd, dovecot o postfix/smtpd.
SYN „Stealth“-Scan
El SYN-Scan oder „Stealth“-Scan (Option -sSDies ist eine der gängigsten Methoden, da sie schnell und prinzipiell unauffällig ist. Nmap sendet hierbei ein SYN-Signal. Ist der Port geöffnet, antwortet der Server mit SYN/ACK. Anstatt die Verbindung mit ACK abzuschließen, trennt der Scanner die Verbindung mit einem RESET.
Aus der Sicht von Wireshark sieht die typische Abfolge eines geöffneten Ports wie folgt aus: SYN → SYN/ACK → RST, deren Summe der Flags gemäß dem vorherigen Schema (1 + 2 + 32) = 35 wäre. Filtern nach diesem Wert von tcp.completeness Es ist möglich, Verbindungen zu finden, die wie SYN-Scans aussehen, ohne dass ein vollständiger Handshake stattgefunden hat.
Auf der Ebene der Anwendungsprotokolle ist diese Methode diskreter, weil Die meisten Dienste schlagen bei der Registrierung einer Sitzung fehl.Wenn das System jedoch Firewall-Regeln besitzt, die SYN-Pakete zur Verbindungsinitiierung protokollieren, werden Einträge zu Verbindungsversuchen angezeigt.
NULL-Scan und andere „seltsame“ Scans
Eine weitere klassische Technik ist die NULL-Scan (Option -sNDabei sendet Nmap TCP-Pakete ohne aktive Flags. Auch wenn es seltsam klingen mag, reagieren manche TCP-Stacks unterschiedlich auf offene oder geschlossene Ports, wodurch Nmap den Status des Ports ableiten kann.
Bei einem NULL-Scan Wenn der Port geschlossen ist, wird üblicherweise ein RST-Signal zurückgegeben.Wenn die Verbindung offen oder gefiltert ist, reagiert sie möglicherweise nicht. Um dies mit Wireshark zu erkennen, können Sie Filter verwenden... tcp.flags und nur diejenigen Segmente beibehalten, bei denen alle Flags auf Null gesetzt sind.
In ähnlicher Weise haben wir Scans wie die Weihnachtsscan (FIN + PSH + URG), der FIN-Scan oder ähnliche Kombinationen, die versuchen, Nuancen des TCP-Standards oder spezifische Implementierungen auszunutzen, um Ports zu entdecken, ohne den typischen Handshake-Mustern zu folgen.
Steuerung der Fenstergröße als Nmap-Hinweis
Ein weiteres Merkmal, das zur Erkennung von Scans verwendet werden kann, ist das Fenstergröße TCPDie Fenstergröße gibt die Datenmenge an, die ein Host nach eigenen Angaben empfangen kann. Bestimmte Nmap-Versionen verwenden für einige Scanarten feste Werte.
Beispielsweise ist es bei einem standardmäßigen Nmap-SYN-Scan üblich, Folgendes zu finden: SYN-Pakete haben eine Fenstergröße von 1024 Bytes.Bei „normalen“ Verbindungen eines bestimmten Systems werden hingegen andere Werte verwendet (z. B. 64240 oder 65535, abhängig vom Betriebssystem und der Konfiguration).
In Wireshark könnten Sie einen Filter anwenden wie zum Beispiel tcp.window_size == 1024 kombiniert mit bestimmten Flags, um verdächtige Muster zu erkennen. Als Angreifer oder Penetrationstester können Sie dieses Verhalten mit Parametern wie beispielsweise … anpassen. --win um zu vermeiden, eine so offensichtliche Signatur zu hinterlassen.
Erkennung und Analyse von Wireshark-Scans und „ungewöhnlichen“ Ports
Wireshark Es ist der Protokollanalysator schlechthin. Im Bereich der Netzwerksicherheit erfasst es Pakete, dekodiert sie Schicht für Schicht (Ethernet, IP, TCP/UDP, HTTP, TLS usw.) und ermöglicht es Ihnen, sehr feine Filter anzuwenden, um nur den Datenverkehr zu behalten, den Sie untersuchen möchten.
Eine sehr praktische Methode zum Erkennen von Scans besteht darin, nach folgenden Kriterien zu filtern: Aktivitäten in ungewöhnlichen HäfenBei einem legitimen Webserver ist Datenverkehr an den Ports 80 oder 443 normal. Nicht normal ist hingegen ein gehäuftes Auftreten von Zugriffsversuchen an zufällige Ports wie 1234, 31337 oder 4444.
In einem Unternehmensnetzwerk können Sie eine Liste erstellen „Verdächtige“ Ports im Zusammenhang mit bösartigen Frameworks oder häufig verwendete Angriffswerkzeuge, und filtern Sie in Wireshark nach diesen Ports, um zu sehen, ob es Sonden oder unerwartete Verbindungen gibt. Dies kann durch öffentliche Tabellen unterstützt werden, die Ports auflisten, die mit Malware und Exploitation-Frameworks in Verbindung stehen.
Aus defensiver Sicht ermöglicht Wireshark auch Sehen Sie, wie sich verschiedene Arten von Nmap-Scans verhalten. dass Sie sich in Ihrem Labor damit auseinandersetzen, um zu lernen, sie zu erkennen: Anzahl der Pakete pro Port, Flags, Zeitabstände zwischen Paketen, Systemantworten usw.
Kombination von Filtern wie tcp.completeness, tcp.flagsDie Anzahl der in kurzer Zeit berührten Ports und die Fenstergrößen ermöglichen es Ihnen, manuelle Regeln zu erstellen oder sich Inspiration für IDS/IPS-Regeln zu holen.
Typisches Labor: Scannen mit Nmap und Aufzeichnen mit Wireshark
In vielen Bildungseinrichtungen, virtualisierte Netzwerkumgebung mit VirtualBox um risikofreies Scannen und Analysieren des Netzwerkverkehrs zu üben. Ein typisches Beispiel umfasst drei GNU/Linux-Rechner in einem internen Netzwerk: interno1 (192.168.100.11) interno2 (192.168.100.22) y observador (192.168.100.33), jeweils mit einer festen MAC-Adresse.
Die Dienste, die auf diesen Maschinen standardmäßig ausgeführt werden, sind in der Regel zahlreich: Apache 2, Telnet, SSH, FTP, Finger, MySQL, SMTP (Postfix), POP3 und IMAP (Dovecot), DNS (BIND)… ideal für einen Scanner wie Nmap, um eine gute Anzahl von Ports zum Auffinden zu haben.
Der erste Schritt in diesem Labor ist normalerweise rsyslog auf internal1 aktivieren um alles aufzuzeichnen, was passiert: Es wird aktiviert mit systemctl enable rsyslog y systemctl start rsyslogSo füllen sich die Protokolldateien allmählich. /var/log als syslog, auth.log, daemon.log o kernel.log.
Von der Beobachtungsmaschine aus, ein Ping-Sweep Verwenden Sie Nmap, um herauszufinden, welche Geräte im Netzwerk 192.168.100.0/24 aktiv sind:
nmap -sP 192.168.100.0/24
Sobald die aktiven Hosts identifiziert wurden (mit Ausnahme des Beobachters selbst), werden Scans des Typs durchgeführt. TCP-Verbindung gegen jeden einzelnen, um zu sehen, welche Ports offen sind und welche Dienste laufen:
nmap -sT -v -T4 192.168.100.11
nmap -sT -v -T4 192.168.100.22
Dann wird es für internal1 wiederholt. Betriebssystem- und Versionserkennung der Dienstleistungen:
nmap -sT -O -sV -T4 192.168.100.11
Als Nächstes werden die Protokolle von interno1 konsultiert, beispielsweise mit tail -200 /var/log/syslog | lesszu überprüfen Wie wurden diese Scans aufgezeichnet? in den verschiedenen Daemons und Diensten und schätzen Sie die Spuren, die ein TCP-Connect-Scan hinterlässt.
Vergleich von lauten und „unauffälligen“ Scans mit Firewalls und Protokollen
Um die Unterschiede in den Trace-Ergebnissen verschiedener Nmap-Techniken zu sehen, wurde in demselben Labor ein iptables-Regel für internal1 die jeden Versuch aufzeichnet, eine TCP-Verbindung herzustellen (SYN-Pakete mit dem Status NEW) mit einem leicht erkennbaren Präfix:
iptables -A INPUT -i enp0s3 -p tcp \
--tcp-flags SYN SYN -m state --state NEW \
-j LOG --log-prefix "INICIO CONEXION:"
Während die Datei überwacht wird /var/log/syslog mit tail -fAus Sicht des Beobachters werden drei verschiedene Scans gegen intern1 getestet:
- TCP-Verbindungsprüfung (
-sT). Erzeugt „START CONNECTION:“-Einträge und protokolliert zusätzlich die Dienste, die den Handshake abschließen. - SYN-Scan (
-sSEs werden Einträge der Art „START CONNECTION:“ erzeugt, aber die meisten Dienste protokollieren keine Sitzung, da die Verbindung nicht hergestellt wird. - NULL-Scanning (
-sNEs setzt das SYN-Flag nicht, daher entspricht es nicht der Firewall-Regel und Das Präfix erscheint nicht in den Protokollen.wodurch es im Hinblick auf diese spezielle Richtlinie diskreter wird.
Dieser Vergleich hilft uns zu verstehen, dass Nicht alle Scanarten werden nach denselben Regeln erkannt. Und dass wir als Verteidiger über „nur SYN“ hinausgehen müssen, wenn wir mehr getarnte Angriffe sehen wollen.
Vom Scannen bis zum Man-in-the-Middle-Angriff: Bettercap, Wireshark und verschlüsselte Dienste
In einem zweiten Teil der Übung wird die Beobachtermaschine verwendet, um Führe ARP- und MITM-Vergiftungsangriffe durch. mit Bettercap und analysieren Sie anschließend den aufgezeichneten Datenverkehr mit Wireshark oder mit dem Modul selbst. net.sniff von Bettercap. Ziel ist es, die Gefährdung durch unverschlüsselte Protokolle (Telnet, HTTP) mit der durch verschlüsselte Alternativen (SSH, HTTPS) zu vergleichen.
Zuvor war die SSL-Unterstützung in Apache auf interno2 aktiviert, was zu einem Fehler führte. selbstsigniertes Zertifikat mit make-ssl-cert zu /etc/apache2/ssl/apache.pem, konfigurieren default-ssl.conf Um diese Datei als Zertifikat und Schlüssel zu verwenden, aktivieren Sie das SSL-Modul mit a2enmod ssl und die standardmäßige SSL-Website mit a2ensite default-sslund Apache neu starten.
Die erste Überprüfung wird durchgeführt Tshark im Beobachter Währenddessen werden Telnet- und HTTP-Sitzungen von internal1 zu internal2 über die interne Netzwerkschnittstelle geöffnet. Da kein Man-in-the-Middle-Angriff stattfindet, fließt der Datenverkehr direkt zwischen internal1 und internal2, und tshark erfasst fast nichts davon. Dies zeigt, dass ein dritter Host im selben Netzwerk ohne zusätzliche Tricks nicht immer externen Datenverkehr wahrnimmt.
Wenn Sie die ARP-Tabellen für internal1 und internal2 überprüfen (arp -nEs wird beobachtet, wie jeder die IP-Adresse des anderen mit seiner realen MAC-Adresse verknüpft, wobei der Beobachter nur seine IP-Adresse und seine MAC-Adresse kennt, ohne dass es zu Störungen kommt.
ARP-Vergiftung und Verkehrserfassung
Der nächste Schritt besteht darin, Bettercap im Beobachtermodus zu starten und die Module zu aktivieren. net.recon y net.probe Um Geräte im Netzwerk zu erkennen und zu überprüfen, ob die Adressen 192.168.100.11, 192.168.100.22 und 192.168.100.33 mit ihren jeweiligen MAC-Adressen angezeigt werden, kann optional die Bettercap-Weboberfläche aktiviert werden. Dies ist jedoch für die praktische Anwendung nicht unbedingt erforderlich.
Parallel dazu wird es erneut gestartet. Tshark im Beobachter Um zu sehen, welche ARP-Frames erscheinen. Die Ziele des Moduls werden über die Bettercap-Konsole konfiguriert. arp.spoof (internal1 und internal2) und der Angriff wird aktiviert mit:
set arp.spoof.internal true
set arp.spoof.targets 192.168.100.11,192.168.100.22
arp.spoof on
An diesem Punkt beginnt Bettercap mit dem Senden falsche ARP-Antworten Sicherstellen, dass auf jeder Maschine die IP-Adresse des anderen Hosts (internal1 oder internal2) der MAC-Adresse des Beobachters entspricht. Unter Berücksichtigung der Frage 1Die gesendeten ARP-Nachrichten sind im Wesentlichen unaufgeforderte Antworten, die den ARP-Cache der Opfer aktualisieren. Dadurch verweist die IP-Adresse des anderen Computers in den ARP-Tabellen von internal1 und internal2 auf die MAC-Adresse 08:00:27:33:33:33 (die des Beobachters), wodurch dieser effektiv zu einem Man-in-the-Middle-Angriff wird.
Vergleich von Telnet, SSH, HTTP und HTTPS unter MITM-Bedingungen
Bei aktiviertem MITM-Schutz wird das Modul verwendet. net.sniff von Bettercap Um den Datenverkehr zwischen internal1 und internal2 in verschiedene .pcap-Dateien zu speichern, abhängig vom zu testenden Dienst, wobei ARP mithilfe eines Filters ausgeschlossen wird:
set net.sniff.filter "not arp"
set net.sniff.output /tmp/telnet.pcap
net.sniff on
Inzwischen wird von intern1 eine Telnet-Sitzung zu intern2 mit dem Benutzernamen „username“ und dem Passwort „username“ geöffnet, Dateien werden aufgelistet und die Sitzung wird beendet. /tmp/telnet.pcap Anschließend wird es mit Wireshark analysiert, und es ist trivial zu sehen Anmeldeinformationen und Befehle im Klartext dem entsprechenden TCP-Ablauf folgend.
Das Experiment wird mithilfe von SSH wiederholt und gespeichert. /tmp/ssh.pcapUnd auch diesmal lässt sich der Aufbau der SSH-Verbindung und der Schlüsselaustausch beobachten. Die Benutzername- und Passwortdaten werden verschlüsselt.In Wireshark können keine Anmeldeinformationen angezeigt werden, sondern nur verschlüsselte Datenpakete.
Dasselbe gilt für HTTP im Vergleich zu HTTPS: mit net.sniff-Ausgabe an /tmp/http.pcap, eine Navigation mit Lynx oder einem grafischen Browser in Richtung http://interno2.ssi.net HTTP-Anfragen und -Antworten bleiben vollständig lesbar (Header, Cookies, Parameter usw.). Wenn dies jedoch wiederholt wird mit https://interno2.ssi.net und Analyse /tmp/https.pcap, wird beobachtet, TLS-Handshake (ClientHello, ServerHello, Zertifikate usw.) und dann nur noch verschlüsselter Datenverkehr, der als TLS 1.3 gekennzeichnet ist.
Mit dem Filter in der Hand können Sie Ihren Blick auf Folgendes richten: tls Verfolgen Sie in Wireshark den entsprechenden TCP-Datenfluss und überprüfen Sie, ob der gesamte Datenverkehr zwar über den Angreifer läuft, hat keinen Zugriff auf den Klartextinhalt Es sei denn, es gelingt ihm auf irgendeine Weise, die Verschlüsselung zu knacken oder zu missbrauchen.
Anpassung, Nmap NSE und Integration mit anderen Lösungen
Einer der Gründe, warum Nmap auch heute noch so leistungsstark ist, ist sein hohes Maß an Personalisierung und AutomatisierungAuf Kommandozeilenebene ist nahezu alles konfigurierbar: spezifische Ports, Timeouts, Anzahl der Wiederholungsversuche, Grad der Parallelität, Stealth-Level (Profile T0 bis T5), Paketfragmentierung, gefälschte Quell-IP und MAC usw.
Darüber hinaus gibt es die Nmap-Skript-Engine (NSE)Dieses Ökosystem von Skripten ermöglicht es Ihnen, weit über die einfache Überprüfung von „Port offen/geschlossen“ hinauszugehen. Es gibt Skripte für Brute-Force-Angriffe auf SSH oder FTP, zum Erkennen unsicherer Konfigurationen, zum Überprüfen bekannter Schwachstellen, zum Abrufen detaillierter Banner, zum Testen gegen Webserver, Samba, DNS und vieles mehr.
Um beispielsweise einen Brute-Force-Angriff auf SSH-Port 22 eines bestimmten Hosts mithilfe zweier Wörterbücher durchzuführen, können Sie Folgendes verwenden:
nmap -p 22 --script ssh-brute --script-args userdb=usuarios.txt,passdb=claves.txt,ssh-brute.timeout=4s 99.99.99.99
Um zu überprüfen, ob ein FTP-Server anonymen Zugriff erlaubt oder um Anmeldeinformationen per Brute-Force-Angriff zu knacken, gibt es Skripte wie beispielsweise ftp-anon o ftp-brute. Diese werden in einer Kette gestartet -sV -sC oder gegebenenfalls einzeln.
Ein weiterer Vorteil ist das Nmap lässt sich sehr gut mit anderen Tools integrieren. Die Ergebnisse können in verschiedenen Formaten gespeichert werden (Klartext, XML, grep-freundlich, kombiniert mit -oAund werden dann an nachfolgende Verarbeitungsprozesse, Dashboards oder sogar Tools wie Metasploit, Inventarsysteme oder Ereigniskorrelations-Engines weitergeleitet.
Auf Unternehmensebene umfasst die Implementierung von Nmap als Teil eines Sicherheitsprogramms die Definition Nutzungsrichtlinien, Scanplanung, Ergebnisanalyse und kontinuierliche AktualisierungenEinmaliges Scannen und anschließendes Ablegen ist nicht sehr sinnvoll; man muss den Vorgang wiederholen, vergleichen und auf die Ergebnisse reagieren.
Die Verwendung von Nmap und Wireshark zur Überprüfung eines lokalen Netzwerks, ergänzt durch andere Tools, liefert ein sehr umfassendes Bild davon, wie sich Dienste verhalten, was tatsächlich offengelegt wird und welche Informationen ein Angreifer einsehen oder manipulieren könnte. Dadurch wird deutlich, warum es sich lohnt, in Verschlüsselung (SSH, HTTPS), das Schließen unnötiger Ports, eine gute Firewall-Konfiguration und die ständige Überwachung von Protokollen und Netzwerkverkehr zu investieren.