Den definitive guide til Nmap: Grundlæggende scanning

den endelige guide til nmap


Hvad er Nmap?

Nmap (eller "netværkskort”) Er et af de mest populære gratis værktøjer til opdagelse af netværk på markedet. I løbet af det sidste årti er programmet fremkommet som et kerneprogram for netværksadministratorer, der ønsker at kortlægge deres netværk og gennemføre omfattende netværksopgørelser. Det giver brugeren mulighed for at finde live-værter på deres netværk samt scanne efter åbne porte og operativsystemer. I denne vejledning lærer du, hvordan du installerer og bruger Nmap.

Nmap kører centreret omkring en kommandolinie, der ligner Windows Command Prompt, men en GUI-grænseflade er tilgængelig for mere erfarne brugere. Ved brug af Nmap indtaster brugeren simpelthen kommandoer og kører scripts via den tekstdrevne grænseflade. De kan navigere gennem firewalls, routere, IP-filtre og andre systemer. I sin kerne var Nmap designet til netværk i virksomhedsskala og kan scanne gennem tusinder af tilsluttede enheder.

Nogle af Nmaps vigtigste anvendelser inkluderer port scanning, ping fejer, OS-detektion, og version detektion. Programmet fungerer ved at bruge IP-pakker til at identificere tilgængelige værter på et netværk samt hvilke tjenester og operativsystemer de kører. Nmap er tilgængelig på mange forskellige operativsystemer fra Linux til Free BSD og Gentoo. Nmap har også et ekstremt aktivt og levende brugerstøttesamfund. I denne artikel opdeler vi grundlæggende forhold i Nmap for at hjælpe dig med at slå jorden i gang.

Netværksanalyse og pakkesniffing med Nmap

Netværksanalysatorer som Nmap er vigtige for netværkssikkerhed af flere årsager. De kan identificere angribere og test for sårbarheder inden for et netværk. Når det kommer til cybersikkerhed, jo mere du ved om din pakketrafik, jo bedre forberedt er du på et angreb. Aktiv scanning af dit netværk er den eneste måde at sikre, at du forbliver forberedt på potentielle angreb.

Som netværksanalysator eller pakkesniffer er Nmap ekstremt alsidig. For eksempel tillader det brugeren at scanne enhver IP, der er aktiv på deres netværk. Hvis du ser en IP, du ikke har set før, kan du køre en IP-scanning for at identificere, om det er en legitim tjeneste eller et udvendigt angreb.

Nmap er go-to netværksanalysator for mange administratorer, fordi den tilbyder en bred vifte af funktioner gratis.

Nmap Brug af sager

For eksempel kan du bruge Nmap til:

  • Identificer live-værter på dit netværk
  • Identificer åbne porte på dit netværk
  • Identificer operativsystemet for tjenester på dit netværk
  • Adresser sårbarheder i din netværksinfrastruktur

Sådan installeres Nmap

Se også: Nmap snyderi

Før vi finder ud af, hvordan vi bruger NMap, skal vi se på, hvordan vi installerer det. Windows-, Linux- og MacOS-brugere kan downloade Nmap her.

Installer Nmap på Windows

Brug selvinstallationsprogrammet Windows (kaldet nmap-setup.exe), og følg derefter instruktionerne på skærmen.

Installer Nmap på Linux

På Linux, tingene er lidt vanskeligere, da du kan vælge mellem en kildekodeinstallation eller et antal binære pakker. Ved at installere Nmap på Linux kan du oprette dine egne kommandoer og køre tilpassede scripts. For at teste, om du har nmap installeret til Ubuntu, skal du køre nmap - version kommando. Hvis du modtager en meddelelse om, at nmap ikke er installeret i øjeblikket, skal du skrive sudo apt-get install nmap i kommandoprompten og klik på Enter.

Installer Nmap på Mac

På Mac, nmap tilbyder et dedikeret installationsprogram. For at installere på Mac skal du dobbeltklikke på nmap-.dmg-fil og åbn en fil, der kaldes nmap-mpkg. Åbning af dette starter installationsprocessen. Hvis du bruger OS X 10.8 eller nyere, blokeres du muligvis af dine sikkerhedspræferencer, fordi nmap betragtes som en "uidentificeret udvikler". For at komme omkring dette skal du blot højreklikke på .mpkg-filen og vælge Åben.

Sådan køres en Ping-scanning

Et af de grundlæggende elementer i netværksadministration tager sig tid til at identificere aktive værter på dit netværk. På Nmap opnås dette ved brug af en ping-scanning. En ping-scanning (også kaldet en opdagelses-IP i en undernetkommando) giver brugeren mulighed for at identificere, om IP-adresser er online. Det kan også bruges som en metode til opdagelse af værten. ARP-ping-scanninger er en af ​​de bedste måder til at registrere værter i LAN-netværk.

Hvis du vil køre en ARP-ping-scanning, skal du skrive følgende kommando i kommandolinjen:

# nmap -sp 192.100.1.1/24

Dette vil returnere en liste over værter, der har svaret på dine ping-anmodninger sammen med et samlet antal IP-adresser i slutningen. Et eksempel vises nedenfor:

nmap ping scan

Det er vigtigt at bemærke, at denne søgning ikke sender nogen pakker til de anførte værter. Imidlertid kører Nmap en omvendt-DNS-opløsning på de anførte værter for at identificere deres navne.

Havnescanningsteknikker

Når det kommer til havnescanning, kan du bruge en række forskellige teknikker på Nmap. Disse er de vigtigste:

  • sS TCP SYN-scanning
  • sT TCP-forbindelsesscanning
  • UU UDP-scanninger
  • sY SCTP INIT-scanning
  • sN TCP NULL

Nyere brugere vil forsøge at løse de fleste problemer med SYN-scanninger, men når din viden udvikler sig, vil du også kunne integrere nogle af disse andre teknikker. Det er vigtigt at bemærke, at du kun kan bruge en metode til portscanning ad gangen (selvom du kan kombinere en SCTP og TCP-scanning sammen).

TCP SYN Scan

sS TCP SYN Scan

Det TCP SYN Scan er en af ​​de hurtigste havnescanneteknikker til din rådighed på Nmap. Du kan scanne tusinder af porte i sekundet på ethvert netværk, der ikke er beskyttet af en firewall.

Det er også en god scanningsteknik med hensyn til privatliv fordi det ikke afslutter TCP-forbindelser, der henleder opmærksomheden på din aktivitet. Det fungerer ved at sende en SYN-pakke og derefter vente på et svar. En bekræftelse angiver en åben port, hvorimod intet svar angiver en filtreret port. En RST eller nulstilling identificerer ikke-lytterporte.

TCP Connect Scan

sT TCP Connect Scan

EN TCP Connect Scan er hovedalternativet TCP-scanning, når brugeren ikke er i stand til at køre en SYN-scanning. Under TCP-forbindelsesscanning udsender brugeren et forbindelsessystemopkald for at etablere en forbindelse med netværket. I stedet for at læse pakkesvar, bruger Nmap dette opkald til at trække oplysninger om hvert forbindelsesforsøg. En af de største ulemper ved en TCP-forbindelsesscanning er, at det tager længere tid at målrette mod åbne porte end en SYN-scanning.

UDP Scan

sU UDP Scan

Hvis du vil køre portscanning på en UDP-service, så UDP-scanninger er dit bedste handlingsforløb. UDP kan bruges til at scanne porte som DNS, SNMP og DHCP på dit netværk. Disse er især vigtige, fordi de er et område, som angribere ofte udnytter. Når du kører en UDP-scanning, kan du også køre en SYN-scanning samtidig. Når du kører en UDP-scanning, sender du en UDP-pakke til hver målrettet port. I de fleste tilfælde sender du en tom pakke (udover porte som 53 og 161). Hvis du ikke modtager et svar, når pakkerne er transmitteret, klassificeres porten som åben.

SCTP INIT-port scanning

sY SCTP INIT Scan

Det SCTP INIT-port scanning dækker SS7- og SIGTRAN-tjenester og tilbyder en kombination af både TCP- og UDP-protokoller. Ligesom Syn-scanningen er SCTP INIT-scanningen utroligt hurtig og i stand til at scanne tusinder af porte hvert sekund. Det er også et godt valg, hvis du ønsker at opretholde privatliv, fordi det ikke afslutter SCTP-processen. Denne scanning fungerer ved at sende en INIT-del og vente på et svar fra målet. Et svar med en anden INIT-ACK-stykke identificerer en åben port, mens en ABORT-del angiver en ikke-lytterport. Porten markeres som filter, hvis der ikke modtages noget svar efter flere videresendelser.

TCP NULL Scan

sN TCP NULL Scan

EN TCP NULL-scanning er en af ​​de mere kunstige scanningsteknikker til din rådighed. Dette fungerer ved at udnytte et smuthul i TCP RFC, der angiver åbne og lukkede porte. I det væsentlige vil enhver pakke, der ikke indeholder SYN-, RST- eller ACK-bits, bede om et svar med en returneret RST, hvis porten er lukket og intet svar, hvis porten er åben. Den største fordel ved en TCP NULL-scanning er, at du kan navigere dig rundt i routerfiltre og firewalls. Selvom disse er et godt valg for stealth, kan de dog stadig detekteres af indtrængningsdetektionssystemer (IDS).

Værtsscanning

Hvis du vil identificere aktive værter på et netværk, er værtsscanningen den bedste måde at gøre dette på. En værtsscanning bruges til at sende ARP-anmodningspakker til alle systemer i et netværk. Det vil sende en ARP-anmodning til en bestemt IP inden for et IP-område, og derefter vil den aktive vært svare med en ARP-pakke, der sender sin MAC-adresse med en 'vært er op' -meddelelse. Du vil modtage denne meddelelse fra alle aktive værter. For at køre en host-scanning skal du indtaste:

nmap -sP

Dette hæver en skærm, der viser følgende:

nmap vært scanning

Identificer værtsnavne

En af de enkleste og mest nyttige kommandoer, du kan bruge, er -sL-kommandoen, der fortæller nmap at køre en DNS-forespørgsel på din valgte IP. Ved at bruge denne metode kan du finde hostnavne til en IP uden at sende en enkelt pakke til værten. Indtast f.eks. Følgende kommando:

nmap -sL 192.100.0.0/24

Dette returnerer en liste over navne, der vedrører de scannede IP'er, som kan være utroligt nyttige til at identificere, hvad bestemte IP-adresser faktisk er til (forudsat at de har et relateret navn!).

OS-scanning

En anden af ​​Nmaps nyttige funktioner er OS-detektion. For at registrere operativsystemet på en enhed sender Nmap TCP- og UDP-pakker til en port og analyserer dens respons. Nmap kører derefter en række tests fra TCP ISN-sampling til IP ID-sampling og sammenligner det med sin interne database med 2.600 operativsystemer. Hvis den finder et match eller et fingeraftryk, giver det et resume, der består af udbyderens navn, operativsystem og version.

For at registrere operativsystemet til en vært skal du indtaste følgende kommando:

nmap -O 192.168.5.102

Det er vigtigt at bemærke, at du har brug for en åben og en lukket port for at bruge kommandoen –O.

Versionsdetektion

Versionsdetektion er det navn, der gives til en kommando, der giver dig mulighed for at finde ud af, hvilken softwareversion en computer kører. Det, der adskiller det fra de fleste andre scanninger, er, at porten ikke er i fokus for dens søgning. I stedet forsøger den at registrere, hvilken software en computer kører ved hjælp af de oplysninger, der er givet af en åben port. Du kan bruge detektion af version ved at skrive kommandoen -sV og vælge din valgte IP, f.eks .:

#nmap -sV 192.168.1.1

Forøgelse af grovhed

Når du kører en scanning gennem Nmap, har du muligvis brug for mere information. Indtastning af verbose-kommando -v giver dig yderligere detaljer om, hvad Nmap laver. Ni niveauer af verbositet er tilgængelige på Nmap fra -4 til 4:

  • Niveau -4 - Giver ingen output (f.eks. Ser du ikke svarpakker)
  • Niveau -3 - Ligner -4, men giver dig også fejlmeddelelser, der viser dig, om en Nmap-kommando er mislykket
  • Niveau -2 - Har ovenstående men har også advarsler og yderligere fejlmeddelelser
  • Niveau 1 - Viser runtime-information som version, starttid og statistik
  • Niveau 0 - Standard verbositetsniveau, der viser sendte og modtagne pakker samt anden information
  • Niveau 1 - Samme som niveau 0, men giver også detaljer om protokoldetaljer, flag og timing.
  • Niveau 2 - Viser mere omfattende information om sendte og modtagne pakker
  • Niveau 3 - Vis den komplette rå overførsel af sendt og modtaget pakke
  • Niveau 4 - Samme som niveau 3 med mere information

Forøgelse af ordositet er fantastisk til at finde måder at optimere dine scanninger. Du øger mængden af ​​information, du har adgang til, og giver dig selv flere oplysninger for at gøre målrettede forbedringer af din netværksinfrastruktur.

Nmap scripting-motor

Hvis du vil få mest muligt ud af Nmap, bliver du nødt til at bruge Nmap Scripting Engine (NSE). NSE giver brugerne mulighed for at skrive scripts i Lua, så de kan automatisere forskellige netværksopgaver. Et antal forskellige script-kategorier kan oprettes med NSE. Disse er:

  •  auth - scripts, der fungerer med eller omgå autentificeringsoplysninger på et målsystem (f.eks. X11-adgang).
  • udsende - scripts, der typisk bruges til at opdage værter ved transmission på det lokale netværk
  • brute - scripts, der bruger brute force til at få adgang til en ekstern server (for eksempel http-brute)
  • Standard - scripts, der er indstillet som standard på Nmap baseret på hastighed, nyttighed, ordlighed, pålidelighed, påtrængende og privatliv
  • opdagelse - scripts, der søger i offentlige registre, katalogtjenester og SNMP-aktiverede enheder
  • dos - scripts, der kan forårsage afvisning af service. Kan bruges til at teste eller angribe tjenester.
  • udnytte - scripts designet til at udnytte netværkssårbarheder (for eksempel http-shellshock
  • udvendig - scripts, der sender data til eksterne databaser som whois-ip
  • fuzzer - scripts, der sender randomiserede felter i pakker
  • påtrængende - scripts, der risikerer at nedbryde det målrettede system og fortolkes som ondsindede af andre administratorer
  • malware - scripts, der bruges til at teste, om et system er blevet inficeret af malware
  • sikker - scripts, der ikke betragtes som indgribende, designet til at udnytte smuthuller eller crashtjenester
  • version - brugt under funktionen til detektionsversion, men kan ikke vælges eksplicit
  • vuln - scripts designet til at tjekke for sårbarheder og rapportere dem til brugeren

NSE kan være ret kompliceret at få dit hoved rundt med først, men efter den indledende læringskurve bliver det meget lettere at navigere.

Hvis du f.eks. Indtaster kommandoen -sC, kan du bruge de almindelige scripts, der er hjemmehørende i platformen. Hvis du vil køre dine egne scripts, kan du bruge indstillingen –skript i stedet. Det er vigtigt at huske, at alle scripts, du kører, kan beskadige dit system, så dobbeltkontrol alt før du beslutter at køre scripts.

Nmap GUI-værktøjer

Zenmap

Som et alternativ til kommandolinjegrænsefladen tilbyder NMap også en GUI kaldet Zenmap. På Zenmap kan du oprette og udføre kommandoer og scanninger. GUI er meget mere brugervenligt end kommandolinjegrænsefladen, hvilket gør den ideel til nyere brugere. GUI kan også vise grafiske sammenligninger af servicetestresultater, for eksempel:

zenmap brugergrænseflade

Hvis du vil skrive dine egne kommandoer og scripts, er GUI langt fra ideel, og du har det bedre med at holde dig til Nmap og kommandolinjegrænsefladen.

Paessler PRTG Network Monitor

PRTG-netværkskort

Paessler PRTG Network Monitor bruger Enkel netværksadministrationsprotokol (SNMP) for at finde alle enhederne på dit netværk. Når hvert udstyr er fundet, logges det i en opgørelse. Beholdningen danner grundlaget for PRTG-netværkskortet. Du kan omorganisere kortet manuelt, hvis du vil, og du kan også specificere tilpassede layout. Kortene er ikke begrænset til at vise enhederne på et sted. Det kan vise alle enhederne på et WAN og endda plot alle virksomhedens websteder på et ægte kort over verden. Cloud-tjenester er også inkluderet på netværkskortet.

PRTG's netværksopdagelsesfunktion kører kontinuerligt. Så hvis du tilføjer, flytter eller fjerner en enhed, vises denne ændring automatisk på kortet, og udstyrsbeholdningen opdateres også.

Hver enhed på kortet er mærket med sin IP-adresse. Alternativt kan du vælge at have enheder identificeret med deres MAC-adresser eller deres hostnavne. Hvert enhedsikon på kortet er et link til et detaljeringsvindue, der giver information om det udstyr. Du kan ændre visningen af ​​netværkskortet for at begrænse det til enheder af en bestemt type, eller bare vise en del af netværket.

Paessler PRTG er et samlet infrastrukturovervågningssystem. Det vil også holde styr på dine servere og de applikationer, der kører på dem. Der er specielle moduler til overvågning af websteder, og monitoren er også i stand til at dække virtualiseringer og wifi-netværk.

Paessler PRTG er tilgængelig som en onlinetjeneste med en lokal opsamleragent installeret på dit system. Alternativt kan du vælge at installere softwaren i lokalerne. PRTG-systemet kører på Windows-computere, men det er i stand til at kommunikere med enheder, der kører andre operativsystemer. PRTG kan downloades i en 30-dages gratis prøveperiode.

WhatsUp Gold

WhatsUp Gold Network Map

WhatsUp Gold har en autodiscovery-funktion, der dækker kablede, trådløse og virtuelle miljøer. Softwaren til dette infrastrukturovervågningsværktøj installeres på Windows Server 2008 R2, 2012, 2012 R2 og 2016. Den første kørsel af værktøjet vil starte netværkets opdagelsesrutiner. Disse logger alle Layer 2 og Layer 3 enheder (switches og routere) på dit netværk og registrerer dem i et register. Opdagelsesprocessen genererer også et netværkskort. Logningssystemet kører konstant, så ændringer i netværket afspejles på kortet. Cloudbaserede tjenester, som din virksomhed bruger, bliver også inkluderet på kortet, og du kan dække flere steder for at plotte din WAN på et kort.

Opdagelsesprocessen for WhatsUp Gold bruger Ping- og SNMP-rutiner. Typen af ​​enheder er også registreret. Dette hjælper skærmen med at justere processer i overensstemmelse hermed for hver type udstyr. En pop-up med detaljer knyttet til hvert ikon på kortet viser dig detaljer om det udstyr.

Status på enhederne i netværket overvåges med SNMP. Kortet viser sundheden for hver enhed med farve: grønt for godt, gult til advarsel og rødt for dårligt. Så, Du kan se med et øjeblik, hvordan alt det udstyr gør. Netværkslinkstatus er også fremhævet med farve: grønt for godt, gult til advarsel og rødt for overbelastet.

Du kan få en tilføjelse til netværkstrafikanalyse til WhatsUp Gold for at få en dybere intelligens om dit netværks ydelse. Dette giver dig større fejlfindingskapaciteter gennem indsigt i netværkets ydeevne både via link og ende til ende. Et kapacitetsplanlægningsværktøj hjælper dig med at forudsige efterspørgsel og udvide ressourcerne, hvor det er nødvendigt.

Alternativer til Nmap

Selvom regelmæssige brugere af Nmap sværger ved det, har værktøjet sine begrænsninger. Nykommere i netværksadministration har lært at forvente en GUI-grænseflade fra deres yndlingsværktøjer og bedre grafiske repræsentationer af problemer med netværkets ydeevne. En-map tilpasningen af ​​Nmap (se nedenfor) går langt i retning af at imødekomme disse behov.

Hvis du ikke ønsker at bruge et kommandolinjeværktøj, er der alternativer til Nmap, som du kunne tjekke ud. SolarWinds, som er en af ​​verdens førende producenter af netværksadministrationsværktøjer tilbyder endda en gratis portscanner. De analytiske funktioner i Nmap er ikke så store, og du kan måske finde dig selv i at undersøge andre værktøjer til yderligere at udforske dit netværks status og ydeevne.

Nmap: Et essentielt netværksadministrationsværktøj

I sidste ende, hvis du leder efter et værktøj, der giver dig mulighed for at målrette systemer i dit netværk og navigere rundt i firewalls, er Nmap værktøjet for dig. Selvom det ikke er så glamorøst som nogle af de andre netværksanalyseværktøjer på markedet, er det stadig en kerne del af de fleste IT-administratorers værktøjssæt. Ping-scanninger og port-scanninger er bare toppen af ​​isbjerget, når vi taler om, hvad denne platform er i stand til.

Hvis du gerne vil lære mere om Nmap, er et omfattende community-websted fuld af guider og oplysninger, der hjælper dig med at få mest muligt ud af din oplevelse. Du kan få adgang til Nmap-dokumentationen på værktøjets websted. Når du kommer forbi indlæringskurven, har du ikke kun større gennemsigtighed over dit netværk, men du vil være i stand til at beskytte dine systemer mod fremtidige trusler. Start bare ved at lære det grundlæggende, og du klarer dig fint med NMap.

Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me

Add a Comment

Your email address will not be published. Required fields are marked *

32 + = 33