Сканирование сервисов
Сканирование сервисов (англ. service scan) — это процесс выявления доступных сетевых сервисов в компьютерных сетях путём попыток установить множество сеансов с разными прикладными приложениями для каждого устройства из выбранной группы целей. Для этого инициируются соединения с разными приложениями посредством передачи пакетов установления сеанса на открытые порты всех указанных устройств. Сканирование охватывает широкий диапазон портов различных транспортных протоколов, в том числе TCP, UDP и, при необходимости, другие протоколы транспортного уровня, такие как SCTP. Сканер сервисов для каждого найденного устройства определяет список сервисов, обнаруженных на просканированных портах[1][2].
Описание
Большинство пользовательских сетевых сервисов предназначены для обнаружения пользователями[3]. Например, веб-сервис может быть доступен на порту TCP 80 определённого устройства. TCP/80 является стандартным портом для протокола HTTP, и пользователи могут получить доступ к содержимому веб-сервера — веб-сайта — направив свой веб-браузер на адрес данного устройства, чтобы просмотреть главную страницу сайта. Вместе с тем, веб-сервис может быть открыт и на другом порту, где может предоставляться другое содержимое. Это может использоваться для сокрытия материала от обычных пользователей, предоставления его только тем, кто знает о нестандартном порте доступа. Сканирование портов позволяет определить, что порт на устройстве открыт, но не всегда — какой сервис там развернут. Сканирование сервисов для этого устройства выявит не только наличие открытого порта, но и то, что на нём именно веб-сервис.
Сканеры сервисов могут быть настроены на проверку одного устройства, однако чаще они используются для массового сканирования множества устройств. Например, сканер может быть настроен для проверки всей подсети. Возможно задание сканирования только стандартных, популярных или неиспользуемых портов с попытками установить соединение с известными сервисами для каждого из них. Это отличается от просева портов, который выявляет лишь наличие открытых портов, предполагая, что на них работают стандартные для них сервисы. В свою очередь, сканирование портов и просев портов определяет только факт доступности порта на устройстве и предполагает наличие типового сервисного приложения. Однако сканер сервисов способен проверить, действительно ли сервис соответствует порту, либо выявить, какое приложение реально функционирует на данном порте.
Специалисты в области информационной безопасности применяют сканирование сервисов для снижения рисков. Например, сканер может быть настроен на поиск Microsoft SQL Server в диапазоне портов TCP от 1 до 50 000 на всех устройствах корпоративной сети. Если сервис найден только на разрешённых серверах по портам TCP/1433 (стандартному для MS SQL), то можно с определённой уверенностью считать, что несанкционированные SQL-серверы в сети отсутствуют[4][5][6][7]. Для таких задач используются инструменты, такие как nmap и Nessus.
В то же время злоумышленники могут использовать специальный тип сканера сервисов, называемый сканером уязвимостей, чтобы находить устройства с неустановленными обновлениями и известными уязвимостями[8]. Также они могут использовать сканеры сервисов для поиска открытых административных портов, таких как Telnet (TCP/21) и SSH (TCP/22). После нахождения таких портов злоумышленник может попытаться получить доступ к устройствам, перебирая пары имя пользователя/пароль[9].