Indietro

ⓘ Port scanning




                                     

ⓘ Port scanning

Con port scanning, in informatica, si indica una tecnica progettata per sondare un server o un host al fine di stabilire quali porte siano in ascolto sulla macchina.

Questa tecnica è spesso utilizzato dagli amministratori per verificare le politiche di sicurezza delle loro reti, e dagli hacker per identificare i servizi in esecuzione su un host e sfruttarne le vulnerabilità.

Un port scan o portscan è un processo che invia le richieste dei client a un intervallo di indirizzi di porte su un host, con lobiettivo di trovare una porta aperta. Elaborando le risposte è possibile stabilire anche con precisione quali servizi di rete siano attivi su quel computer. Una porta si dice "in ascolto" listening o "aperta" quando vi è un servizio, programma o processo che la usa.

Il port scan viene utilizzato soprattutto per determinare quali siano i servizi disponibili su un computer, piuttosto che essere sfruttato per un attacco.

Con il termine portsweep si intende lesecuzione di una scansione di più host per una specifica porta di ascolto. È in genere utilizzato per la ricerca di un determinato servizio, per esempio, un SQL-based worm può cercare host in ascolto sulla porta TCP 1433.

                                     

1. Conoscenze di base TCP/IP

La progettazione ed il funzionamento di Internet si basa su una suite di protocolli internet, comunemente chiamato TCP/IP. In questo sistema gli hosts e i servizi di host utilizzano due componenti: un indirizzo e un numero di porta. Esistono 65536 numeri di porta distinti e utilizzabili. Molti servizi utilizzano una gamma limitata di numeri.

Alcuni port scan scansionano solo i numeri di porta più comuni, o porte più comuni associate a servizi vulnerabili, su un determinato host.

Il risultato della scansione di una porta rientra solitamente in una delle seguenti categorie:

  • aperta accepted: lhost ha inviato una risposta indicando che un servizio è in ascolto su quella porta,
  • bloccata/filtrata dropped / filtered: non cè stata alcuna risposta dallhost, quindi è probabile la presenza di un firewall o di un ostacolo di rete in grado di bloccare laccesso alla porta impedendo di individuarne lo stato.
  • chiusa denied: lhost ha inviato una risposta indicando che le connessioni alla porta saranno rifiutate ICMP port-unreachable,

Le porte aperte presentato due tipi di vulnerabilità alle quali gli amministratori devono prestare attenzione:

  • la sicurezza e la stabilità devono essere implementate dal programma responsabile di fornire il servizio - open ports
  • la sicurezza e la stabilità sono associate al sistema operativo che gira sullhost - open/closed ports

Di norma le porte filtrate tendono a non essere vulnerabili.

                                     

2. Premessa

Tutte le forme di port scanning si basano sul presupposto che lhost mirato è conforme a RFC 793 - Transmission Control Protocol. Nonostante sia presente quasi sempre, cè anche la possibilità che un host remoto possa spedire strani pacchetti o addirittura generare falsi positivi quando lo stack TCP/IP dellhost non è RFC RFC-compliant oppure se è stato alterato. Ciò spesso accade per le tecniche di scansione meno comuni che dipendono dal sistema operativo, come il FIN scanning.

                                     

3.1. Tipologie TCP connect scan

I più semplici port scanning utilizzano funzioni di rete del sistema operativo e normalmente sono impiegati quando non è possibile effettuare una scansione SYN scan descritto di seguito.

Nmap chiama questa modalità connect scan, dal nome della chiamata di sistema Unix connect, utilizzata per aprire una connessione ad ogni porta interessante sulla macchina di destinazione. Se una porta è aperta, il sistema operativo completa il three-way handshake connessione TCP affidabile tra due host, e il port scan chiude immediatamente la connessione per evitare lesecuzione di un attacco Denial of Service. In caso contrario viene restituito un codice di errore.

Questa modalità di scansione ha il vantaggio che lutente non deve avere privilegi particolari. Tuttavia, utilizzando le funzioni di rete del sistema operativo, impedisce il controllo di basso livello, per cui questo tipo di scansione è poco comune.

Questo metodo è" rumoroso”, in particolare se si tratta di un" portsweep”: i servizi possono registrare lindirizzo IP del mittente e gli Intrusion Detection System sono in grado far scattare un allarme.



                                     

3.2. Tipologie SYN scan

SYN scan è unaltra forma di TCP scanning. Invece di utilizzare le funzioni di rete del sistema operativo, il port scan genera lui stesso pacchetti IP non validi, e monitora le risposte. Questo tipo di scansione è anche conosciuto come" half-open scanning”, perché in realtà non viene mai aperta completamente una connessione TCP. Il port scan genera un pacchetto SYN. Se la porta di destinazione è aperta, risponde con un pacchetto SYN-ACK. Lhost scanner risponde con un pacchetto RST, così da chiudere la connessione prima che la three-way handshake sia completata. Se la porta è chiusa, ma non filtrata, lobiettivo sarà di rispondere immediatamente con un pacchetto RST. In entrambi i casi la connessione non verrà mai completata e per questa ragione difficilmente comparirà nei file di log, anche se generalmente viene riconosciuta e registrata dagli IDS.

Luso di reti" raw” ha diversi vantaggi, dando allo scan pieno controllo dei pacchetti inviati e dei timeout per le risposte, e viene fornito un rapporto dettagliato delle risposte. Cè un dibattito su quale scansione sia meno intrusiva sullhost di destinazione. SYN scan ha il vantaggio che i singoli servizi non ricevono effettivamente una connessione. Tuttavia, la RST durante la three-way handshake può causare problemi per alcune reti, in particolare nei dispositivi più semplici come le stampanti.

                                     

3.3. Tipologie UDP scan

È possibile utilizzare anche lUDP scan, nonostante siano presenti vari problemi tecnici. UDP è un protocollo senza connessione, per questo motivo non esiste un equivalente al pacchetto TCP SYN. Tuttavia, se un pacchetto UDP viene inviato ad una porta che non è aperta, il sistema risponderà con un pacchetto ICMP tipo 3 codice 3 port unreachable o tipo 3 codice 13 administratively prohibited. La maggior parte dei port scan UDP usano questo tipo di scansione, e utilizzano lassenza di una risposta per dedurre lapertura di una porta. Tuttavia, se una porta è bloccata da un firewall, questo metodo segnalerà erroneamente che la porta è aperta.

Un approccio alternativo è quello di inviare pacchetti UDP per applicazioni specifiche, nella speranza di generare una risposta a livello di applicazione. Per esempio, inviando una query DNS alla porta 53 si tradurrà in una risposta, se è presente un server DNS. Questo metodo è molto più affidabile per individuare porte aperte. Tuttavia, è limitato alla scansione delle porte per le quali è disponibile un pacchetto sonda tramite unapplicazione specifica. Alcuni tools e.g. nmap hanno generalmente sonde per meno di 20 servizi UDP, mentre alcuni tools commerciali e.b. nessus ne hanno fino a 70. In alcuni casi, un servizio può essere in ascolto su una determinata porta, ma configurato a non rispondere a un determinato pacchetto sonda.

                                     

3.4. Tipologie ACK scan

LACK scan è una delle scansioni più insolite, in quanto non si determina esattamente se la porta è aperta o chiusa, ma se una determinata porta è filtrata o non filtrata. Ciò è particolarmente utile quando si tenta di sondare se in un host è presente un firewall le sue regole. I pacchetti inviati per effettuare lACK scanning hanno solamente il flag ACK abilitato e si avranno risposte con pacchetti RST solamente se le porte sono aperte o chiuse. In caso contrario, cioè se non arriva alcuna risposta o vengono restituiti errori ICMP, le porte vengono classificate come filtrate.

                                     

3.5. Tipologie Window scan

Questo tipo di scansione viene utilizzato molto raramente, a causa della sua natura obsoleta, poiché la Window scanning è piuttosto inaffidabile nel determinare se una porta è aperta o chiusa. Genera un pacchetto uguale allACK scan, ma controlla se il campo TCP Window del pacchetto RST di ritorno è stato modificato. Se ritorna una grandezza positiva per il campo Window allora la porta è aperta, se ritorna una grandezza pari a zero si ha una porta chiusa. Quindi al contrario dellACK scan che ad ogni pacchetto RST restituito dallhost cataloga la porta come non filtrata, questo scan determina se la porta è aperta o chiusa in base se il valore RST è positivo o pari a zero. Purtroppo il Window scan non è spesso affidabile poiché utilizza unimplementazione presente solamente in alcuni sistemi.

                                     

3.6. Tipologie FIN scan

Dal momento che SYN scan non è abbastanza efficiente, poiché i firewall, che vengono scansionati, bloccano pacchetti della forma del SYN scan, si può utilizzare FIN scan. I pacchetti FIN possono sorpassare i firewall senza apportare modifiche. Le porte chiuse rispondono a un pacchetto FIN con un pacchetto con RST attivo, mentre le porte aperte o filtrate ignorano direttamente il pacchetto FIN e non viene restituito alcun pacchetto in risposta. Purtroppo non è affidabile poiché sistemi come Windows, IRIX, Cisco e HP-UX rispondono sempre con un pacchetto con flag RST attivo.

                                     

3.7. Tipologie Altri tipi di scansioni

Esistono alcuni tipi di scansioni più insoliti. Questi hanno forti limitazioni e non sono utilizzati frequentemente. Nonostante ciò Nmap supporta la maggior parte di questi.

  • X-mas invia pacchetti con flag FIN, URG e PUSH attivi come un albero di Natale,
  • X-mas e Null Scan: molto simili al FIN scanning, ma
  • Null non invia alcun bit, il TCP flag header è 0.
  • Idle scan: un altro metodo di scansione che permette di non rivelare il proprio indirizzo IP scansione completamente invisibile.
  • ICMP scan: determina se un host risponde alle richieste ICMP, come il ping.
  • Proxy scan: un proxy SOCKS o HTTP viene usato per eseguire la scansione. Sarà visualizzato lindirizzo IP del proxy come source. Questa scansione può essere effettuata anche utilizzando alcuni server FTP.
  • Protocol scan: determina quali protocolli a livello IP sono abilitati.
  • Decoy scan: tecnica che prevede di confondere amministratori o IDS inviando, assieme ai pacchetti di scansione, una gran numero di pacchetti fittizi con mittente IP modificato tramite spoofing.


                                     

4. Filtraggio delle porte tramite ISP

Molti Internet service providers limitano la capacità dei loro clienti per eseguire scansioni delle porte verso host al di fuori delle reti domestiche. Questo è di solito coperto in termini di servizio o di policy di utilizzo con il quale il cliente deve essere daccordo. Alcuni ISP implementano packet filters o proxy trasparenti che impediscono le richieste di servizio in uscita a determinate porte. Ad esempio, se un ISP fornisce un proxy HTTP trasparente sulla porta 80, con la scansione delle porte di qualsiasi indirizzo si avrà la porta 80 aperta, indipendentemente dalla configurazione attuale dellhost di destinazione.

                                     

5. Etica

Le informazioni raccolte da un port scan possiedono molti usi legittimi, tra cui linventario della rete e la verifica della sicurezza di una rete. Port scanning può, tuttavia, anche essere utilizzato per compromettere la sicurezza. Molte imprese si affidano alle scansioni delle porte per trovare le porte aperte e inviare modelli di dati specifici, nel tentativo di innescare una condizione nota come buffer overflow. Tale comportamento può compromettere la sicurezza della rete e dei computer, con conseguente perdita ed esposizione di informazioni sensibili e limpossibilità di lavorare.

Il livello di minaccia causato da un port scan può variare notevolmente a seconda del metodo utilizzato per la scansione, il tipo di porta scansionata, il suo numero e lamministratore che controlla lhost. Ma un port scan è spesso visto come un primo passo per un possibile attacco, ed è quindi presa molto sul serio poiché può rivelare informazioni molto sensibili sullhost. Nonostante ciò, la probabilità che a seguito di un port scan si verifichi un vero e proprio attacco è molto piccola. La probabilità di un attacco è più elevata quando il port scan è associato ad una scansione con un vulnerability scanner.



                                     

6. Implicazioni legali

A causa dellarchitettura intrinsecamente aperta e decentralizzata di Internet, i legislatori hanno lottato sin dalla sua creazione per definirne i confini legali che permettano un efficace perseguimento dei crimini informatici. I casi che coinvolgono le attività di port scanning sono un esempio delle difficoltà incontrate nel giudicare tali violazioni. Anche se questi casi sono rari, la maggior parte delle volte il processo legale richiede che venga dimostrato lintento di commettere un break-in o lesistenza di accessi non autorizzati, piuttosto che lesecuzione di un port scan.

  • Un diciassettenne finlandese è stato accusato di aver tentato di accedere al network di una delle maggiori banche finlandesi nel 1998. Aveva effettuato un port scan nel network della banca per accedere ai network interni, senza successo. Il 9 aprile 2003, è stato condannato dalla Corte suprema della Finlandia e costretto a pagare US$12.000 per le spese di analisi forense da parte della banca.
  • Nel 2006, il Parlamento britannico ha votato un emendamento al Computer Misuse Act 1990 che definisce colpevole chiunque "makes, adapts, supplies or offers to supply any article knowing that it is designed or adapted for use in the course of or in connection with an offence under section 1 or 3). Tuttavia, larea deffetto di questo emendamento è imprecisa, e pertanto è stato ampiamente criticato dagli esperti di sicurezza.
  • La Germania ha una legge in materia, il Strafgesetzbuch § 202a, b, c.
  • Nel dicembre del 1999, Scott Moulton è stato arrestato dallFBI con laccusa di violazione del computer del Computer Systems Protection Act della Georgia e Computer Fraud and Abuse Act federale. In quel momento la sua società di servizi IT aveva un contratto in corso con Cherokee County in Georgia Stati Uniti per mantenere e migliorare il centro di sicurezza del locale servizio di emergenza. Effettuando diversi port scan sui server di Cherokee County per verificare la loro sicurezza e scansionando le porte di un server web monitorato da unaltra compagnia IT, aveva provocato uno scontro passato poi alle vie legali. Moulton è stato successivamente assolto nel 2000, quando il giudice ha sentenziato che non erano stati commessi danni atti a compromettere lintegrità e la disponibilità della rete.
  • Il Consiglio dellUnione Europea, nel 2013, ha approvato una direttiva in materia.
  • Nel giugno del 2003, il cittadino israeliano Avi Mizrahi, è stato accusato dalle autorità di Israele di aver provato ad accedere a materiale informatico per il quale non era autorizzato. Aveva scansionato il sito del Mossad. È stato assolto da tutte le accuse il 29 febbraio 2004. Il giudice ha stabilito che questo tipo di azioni non dovrebbero essere scoraggiate quando vengono svolte in modo positivo.
                                     

7. Portscanner online

  • Crucialtests concise, incl. advisor
  • AuditMyPC Free Port Scanning scan all 65535 ports.
  • ShieldsUP Gibson Research Corporation Quick Scanner, clearly laid out
  • DerKeilers Port Scanner You can only scan your IP, useful when you are in an internet cafe with many restrictions.
  • Planet Security Firewall-Check Fast, extended check, checks currently high-endangered ports
  • Sygate Online Scan extended security check Stealth Scan, Trojan Scan