ポートスキャナー

ポートスキャナーは、サーバーまたはホストの開いているポートを調べるために設計されたアプリケーションです。このようなアプリケーションは、管理者がネットワークのセキュリティポリシーを確認するために使用したり、攻撃者がホストで実行されているネットワーク サービスを識別して脆弱性を悪用するために使用したりすることがあります。

ポートスキャンまたはポートスキャンは、アクティブなポートを見つけることを目的として、ホスト上のサーバーポートアドレスの範囲にクライアント要求を送信するプロセスです。これ自体は悪質なプロセスではありません。^[1]ポートスキャンの用途の大部分は攻撃ではなく、リモートマシンで利用可能なサービスを判断するための単純な調査です。

ポートスイープとは、複数のホストをスキャンして特定のリスニングポートを探すことです。後者は通常、特定のサービスを探すために使用されます。たとえば、SQLベースのコンピュータワームは、 TCPポート1433でリスニングしているホストを探すためにポートスイープを行うことがあります。 ^[2]

インターネットの設計と運用は、インターネット プロトコル スイート(一般にTCP/IPとも呼ばれる)に基づいています。このシステムでは、ネットワーク サービスは、ホスト アドレスとポート番号という 2 つのコンポーネントを使用して参照されます。使用可能なポート番号は 65535 個あり、1 ～ 65535 の番号が付けられています (ポート 0 は使用可能なポート番号ではありません)。ほとんどのサービスでは、1 つのポート番号、または最大でも限られた範囲のポート番号が使用されます。

一部のポート スキャナーは、特定のホスト上の最も一般的なポート番号、または脆弱なサービスに最も一般的に関連付けられているポートのみをスキャンします。

ポートのスキャンの結果は通常、次の 3 つのカテゴリのいずれかに分類されます。

1. オープンまたは承認: ホストは、サービスがポートでリッスンしていることを示す応答を送信しました。
2. 閉じている、拒否されている、またはリッスンしていない: ホストは、ポートへの接続が拒否されることを示す応答を送信しました。
3. フィルタリング、ドロップ、またはブロック: ホストからの応答がありませんでした。

開いているポートには、管理者が注意しなければならない2 つの脆弱性があります。

1. サービスの提供を担当するプログラムに関連するセキュリティと安定性に関する懸念 - 開いているポート。
2. ホスト上で実行されているオペレーティング システムに関連するセキュリティと安定性に関する懸念- 開いているポートまたは閉じているポート。

フィルタリングされたポートでは脆弱性が生じる傾向はありません。

すべての形式のポートスキャンは、ターゲットホストがRFCに準拠しているという前提に基づいています。ほとんどの場合はそうなりますが、ホストの TCP/IP スタックが RFC に準拠していないか変更されている場合は、ホストが奇妙なパケットを返したり、誤検知を生成したりする可能性があります。これは、 OSに依存するあまり一般的ではないスキャン手法 (FIN スキャンなど) に特に当てはまります。^[3] TCP /IP スタックフィンガープリント法も、特定の刺激からのこれらの種類の異なるネットワーク応答に依存して、ホストが実行しているオペレーティングシステムの種類を推測します。

最も単純なポート スキャナはオペレーティング システムのネットワーク機能を使用するもので、SYN が実行可能なオプションではない場合 (次で説明) に次に選択するオプションです。Nmapはこのモードを、Unix の connect() システム コールにちなんで connect スキャンと呼んでいます。ポートが開いている場合、オペレーティング システムはTCP の3 ウェイ ハンドシェイクを完了し、ポート スキャナはサービス拒否攻撃の実行を回避するために接続を直ちに閉じます。^[3]それ以外の場合は、エラー コードが返されます。このスキャン モードの利点は、ユーザーに特別な権限が必要ないことです。ただし、OS のネットワーク機能を使用すると低レベルの制御ができなくなるため、このスキャン タイプはあまり一般的ではありません。この方法は、特に「ポートスイープ」の場合に「ノイズが多い」ため、サービスが送信者の IP アドレスをログに記録し、侵入検知システムがアラームを発する可能性があります。

SYNスキャンは TCP スキャンの別の形式です。ポート スキャナーはオペレーティング システムのネットワーク機能を使用するのではなく、生の IP パケットを生成し、応答を監視します。このスキャン タイプは、完全な TCP 接続を実際に開くことはないため、「ハーフ オープン スキャン」とも呼ばれます。ポート スキャナーは SYN パケットを生成します。ターゲット ポートが開いている場合は、SYN-ACK パケットで応答します。スキャナー ホストは RST パケットで応答し、ハンドシェイクが完了する前に接続を閉じます。^[3]ポートが閉じられているがフィルタリングされていない場合は、ターゲットは即座に RST パケットで応答します。

生のネットワークの使用には、送信されたパケットと応答のタイムアウトをスキャナが完全に制御し、応答の詳細なレポートを作成できるなど、いくつかの利点があります。どのスキャンがターゲット ホストにあまり影響を与えないかについては議論があります。SYN スキャンの利点は、個々のサービスが実際に接続を受信することはないことです。ただし、ハンドシェイク中の RST は、一部のネットワーク スタック、特にプリンタなどの単純なデバイスに問題を引き起こす可能性があります。どちらにも決定的な議論はありません。

UDP スキャンも可能ですが、技術的な課題があります。UDPはコネクションレスプロトコルなので、TCP SYN パケットに相当するものはありません。ただし、UDP パケットが開いていないポートに送信された場合、システムは ICMP ポート到達不能メッセージで応答します。ほとんどの UDP ポート スキャナーはこのスキャン方法を使用し、応答がないことを利用してポートが開いていると推測します。ただし、ポートがファイアウォールによってブロックされている場合、この方法はポートが開いていると誤って報告します。ポート到達不能メッセージがブロックされている場合、すべてのポートが開いているように見えます。この方法は、ICMPレート制限の影響も受けます。^[4]

代替アプローチは、アプリケーション固有の UDP パケットを送信して、アプリケーション層の応答を生成することです。たとえば、DNS クエリをポート 53 に送信すると、DNS サーバーが存在する場合は応答が返されます。この方法は、開いているポートを識別するのにはるかに信頼性があります。ただし、アプリケーション固有のプローブ パケットが使用可能なポートのスキャンに限定されます。一部のツール ( Nmap、Unionscan ^[5]など) では、通常 20 未満の UDP サービスのプローブがありますが、一部の商用ツールでは 70 ものプローブがあります。場合によっては、サービスがポートでリッスンしているが、特定のプローブ パケットに応答しないように設定されていることがあります。

ACKスキャンは、ポートが開いているか閉じているかを正確に判断するのではなく、ポートがフィルタリングされているかフィルタリングされていないかを判断するため、より珍しいスキャンタイプの1つです。これは、ファイアウォールとそのルールセットの存在を調査する場合に特に適しています。単純なパケットフィルタリングでは確立された接続（ACKビットが設定されたパケット）が許可されますが、より洗練されたステートフルファイアウォールでは許可されない可能性があります。^[6]

ウィンドウスキャンは、時代遅れの性質のためめったに使用されませんが、ポートが開いているか閉じているかを判断する上では、あまり信頼できません。ACKスキャンと同じパケットを生成しますが、パケットのウィンドウフィールドが変更されていないかどうかを確認します。パケットが宛先に到達すると、設計上の欠陥により、ポートが開いている場合はパケットのウィンドウサイズを作成しようとし、パケットのウィンドウフィールドに1のフラグを付けてから送信者に返されます。この実装をサポートしていないシステムでこのスキャン手法を使用すると、ウィンドウフィールドに0が返され、開いているポートが閉じていると表示されます。^[7]

SYNスキャンは十分に秘密にできないため、ファイアウォールは一般的にSYNパケットの形でパケットをスキャンしてブロックします。^[3] FINパケットは変更なしでファイアウォールをバイパスできます。閉じたポートはFINパケットに適切なRSTパケットで応答しますが、開いているポートは手元のパケットを無視します。これはTCPの性質による典型的な動作であり、ある意味では避けられない欠点です。^[8]

他にも珍しいスキャンタイプがいくつかあります。これらにはさまざまな制限があり、あまり広く使用されていません。Nmapはこれらのほとんどをサポートしています。^[6]

• X-masスキャンとNullスキャンはFINスキャンに似ていますが、次の点が異なります。^[3]
  • X-masは、クリスマスツリーのようにFIN、URG、PUSHフラグをオンにしたパケットを送信します。
  • NullはTCPフラグが設定されていないパケットを送信します
• プロトコル スキャン - 有効になっている IP レベル プロトコル (TCP、UDP、GREなど) を判別します。
• プロキシスキャン - プロキシ ( SOCKSまたはHTTP ) を使用してスキャンを実行します。ターゲットはプロキシの IP アドレスをソースとして認識します。これは、一部のFTPサーバーを使用して実行することもできます。
• アイドル スキャン- 予測可能な IP ID の欠陥を利用して、IP アドレスを明かさずにスキャンする別の方法。
• CatSCAN - ポートにエラーのあるパケットがないかチェックします。
• ICMPスキャン - エコー ( ping )、ネットマスクなどの ICMP 要求にホストが応答するかどうかを判別します。

多くのインターネット サービス プロバイダーは、顧客が自宅のネットワーク外の宛先にポート スキャンを実行することを制限しています。これは通常、顧客が同意しなければならないサービス条件または利用規定で規定されています。 ^{[9] [10]}一部の ISP は、特定のポートへのサービス要求の送信をブロックするパケット フィルターまたは透過プロキシを実装しています。たとえば、ISP がポート 80 で透過 HTTP プロキシを提供している場合、ターゲット ホストの実際の構成に関係なく、どのアドレスのポート スキャンでもポート 80 が開いているように見えます。

ポートスキャンによって収集された情報には、ネットワークインベントリやネットワークのセキュリティの検証など、多くの正当な用途があります。しかし、ポートスキャンはセキュリティを侵害するためにも使用される可能性があります。多くのエクスプロイトは、ポートスキャンを利用して開いているポートを見つけ、特定のデータパターンを送信して、バッファオーバーフローと呼ばれる状態をトリガーしようとします。このような動作は、ネットワークとその中のコンピューターのセキュリティを侵害し、機密情報の損失や漏洩、および作業能力の喪失につながる可能性があります。^[3]

ポートスキャンによる脅威レベルは、スキャン方法、スキャンするポートの種類、ポート番号、ターゲットホストの価値、ホストを監視する管理者によって大きく異なります。しかし、ポートスキャンは攻撃の第一歩と見なされることが多く、ホストに関する多くの機密情報を漏洩する可能性があるため、真剣に受け止められています。^[11] それにもかかわらず、ポートスキャンのみの後に実際の攻撃が発生する可能性は低いです。ポートスキャンが脆弱性スキャンと関連している場合、攻撃の可能性ははるかに高くなります。^[12]

インターネットは本質的にオープンで分散化された構造であるため、立法者は創設以来、サイバー犯罪者を効果的に訴追できる法的境界を定義することに苦心してきました。ポートスキャン活動に関するケースは、違反を判断する際に直面する困難の一例です。このようなケースはまれですが、ほとんどの場合、法的手続きでは、ポートスキャンの実行だけでなく、侵入または不正アクセスを行う意図があったことを証明する必要があります。

2003年6月、イスラエル人アヴィ・ミズラヒがイスラエル当局からコンピュータ資料への不正アクセスを試みた罪で告発された。彼はモサドのウェブサイトをポートスキャンしていた。2004年2月29日、彼はすべての容疑で無罪となった。裁判官は、この種の行為は良い意味で行われる限り、阻止されるべきではないと判決を下した。^[13]

17歳のフィンランド人は、フィンランドの大手銀行のコンピュータ侵入未遂容疑で告発された。2003年4月9日、フィンランド最高裁判所は彼に有罪判決を下し、銀行が行った法医学的分析の費用として1万2000ドルの支払いを命じた。1998年、彼は銀行ネットワークのポートスキャンを行い、閉鎖されたネットワークにアクセスしようとしたが、失敗した。^[14]

2006年、英国議会は1990年コンピューター不正使用法の修正案を可決し、「[コンピューター不正使用法]第1条または第3条に基づく犯罪の過程または関連で使用するために設計または改造されていることを知りながら、物品を製造、改造、供給、または供給を申し出た者は有罪となる」とした。^[15]しかし、この修正案の影響範囲は曖昧であり、セキュリティ専門家から広く批判されている。^[16]

ドイツにも、Strafgesetzbuch § 202a、b、c という同様の法律があり、欧州連合理事会も、より正確ではあるものの、同様の法律を可決する予定であることを示すプレスリリースを発表しました。^[17]

1999 年 12 月、スコット モールトンは FBI に逮捕され、ジョージア州のコンピュータ システム保護法および米国コンピュータ詐欺および濫用防止法の下でコンピュータ不法侵入未遂の罪で告発されました。当時、彼の IT サービス会社は、ジョージア州チェロキー郡と 911 センターのセキュリティの維持とアップグレードに関する契約を締結していました。彼はチェロキー郡のサーバーのセキュリティを確認するためにポート スキャンを数回実行し、最終的には別の IT 会社が監視する Web サーバーをポート スキャンしました。これが口論を引き起こし、最終的には法廷に持ち込まれました。2000 年にトーマス スラッシュ判事がモールトン対 VC3 ( ND  Ga. 2000) ^[18]で、ネットワークの整合性と可用性を損なう損害はなかったと判決を下し、彼は無罪となりました。^[19]

• コンテンツベクタープロトコル
• TCPおよびUDPポート番号のリスト
• サービススキャン

• Teo, Lawrence (2000 年 12 月)。ネットワーク プローブの説明: ポート スキャンと Ping スイープを理解する。Linux Journal、2009 年 9 月 5 日に Linuxjournal.com から取得