Une méthode importante pour identifier exactement les services exécutés sur votre réseau consiste à effectuer une analyse des ports. L’exécution d’une analyse de port peut vous donner une vue d’ensemble précise de la surface d’attaque de votre ordinateur et de votre réseau. Dans certains cas, vous pouvez constater que vous exécutez des services auxquels vous ne vous attendiez peut-être pas.
Le protocole de contrôle de transmission, ou TCP, est une norme qui permet les connexions entre les ordinateurs sur un réseau. TCP utilise une négociation à trois pour ouvrir une connexion qui restera ensuite ouverte jusqu’à ce qu’elle expire ou que la connexion soit fermée. Cela ne veut pas dire que la connexion transmet toujours des données, cela signifie simplement que les deux parties enregistrent les détails de la connexion et peuvent immédiatement reprendre l’envoi et la réception de données.
Nmap est l’outil standard pour effectuer l’analyse des ports. Il est principalement conçu pour fonctionner sous Linux, mais il existe également des versions Windows. Une interface graphique est également disponible, mais l’utilisation de la ligne de commande est toujours la norme.
Comment utiliser Nmap
Pour tester si Nmap est installé sur une machine Linux, exécutez la commande «nmap». Si vous obtenez une page d’aide, alors elle est installée et prête à fonctionner, si vous obtenez une erreur indiquant que la commande n’a pas été trouvée, alors vous devez installer Nmap.
Pour Windows, Nmap est fourni avec un programme d’installation personnalisé (namp <version> setup.exe). Téléchargez et exécutez ce programme d’installation, et il configure automatiquement Nmap sur votre système.
Après avoir installé Nmap, le meilleur moyen d’apprendre à l’utiliser est d’effectuer des analyses de base du réseau.
Comme par exemple :
-
- pour une analyse Ping :
# nmap -sp 192.168.1.1/42
= liste des hôtes sur votre réseau et le nombre total d’adresses IP attribuées. - pour une analyse d’hôte :
# nmap -sp <plage d'adresses IP cible>
= informations sur chaque hôte, leur latence, leur adresse MAC, ainsi que toute description associée à cette adresse.
- pour une analyse Ping :
Pour analyser les ports TCP, vous souhaiterez utiliser l’un des deux types d’analyse, TCP ou SYN. Une analyse TCP tente d’établir une connexion complète à chaque port, terminant la négociation à trois. Un scan SYN abuse légèrement du protocole et n’envoie jamais le troisième message de la négociation à trois. Les analyses SYN sont souvent moins stressantes pour les ressources système car les périphériques n’ont pas à maintenir ouvertes plusieurs connexions à la fois car les connexions ne sont jamais complètement établies, elles s’exécutent également plus rapidement que les analyses TCP, mais elles auront besoin d’autorisations root. Un scan TCP est spécifié avec l’indicateur “-sT” tandis qu’un scan SYN est spécifié par “-sS“.
Remarque : La prise de contact à trois est la manière
dont une connexion TCP est initialisée, elle implique
trois messages, SYN, SYN-ACK et ACK respectivement
envoyés du client au serveur, du serveur au client,
puis du client au serveur.
Comment spécifier les options d’analyse
La section des options est entièrement facultative, mais il en existe un certain nombre qui peuvent être généralement utiles.
-
- Vous pouvez activer des résultats d’analyse plus détaillés en augmentant la verbosité avec -v, vous pouvez augmenter la verbosité jusqu’à un troisième niveau avec -vvv.
- Vous pouvez exécuter la détection du système d’exploitation, la détection de version, l’analyse de script et les traceroutes en utilisant l’indicateur -A, bien que cela prenne un peu plus de temps à s’exécuter.
- Vous pouvez analyser les adresses IPv4 ou IPv6 à la fois, IPv4 est la valeur par défaut, si vous souhaitez analyser les adresses IPv6, vous devez utiliser l’indicateur -6. Parfois, Nmap exécutera une analyse ping rapide pour déterminer quels hots sont actifs, si cela saute les hôtes que vous voulez tester, vous pouvez le désactiver avec l’indicateur -Pn. Si vous spécifiez une plage étendue, l’analyse peut prendre un certain temps. L’indicateur -T4 exécutera l’analyse plus rapidement et ne manquera probablement rien, il peut submerger les réseaux ou les périphériques lents car la sortie du trafic sera considérablement augmentée.
Comment spécifier l’adresse IP et les plages de ports
Par défaut, Nmap analysera les 1000 premiers ports les plus couramment utilisés, vous pouvez définir manuellement une plage de ports en utilisant l’indicateur -p, puis en spécifiant une plage sans espaces. Les plages de ports peuvent être spécifiées via des valeurs séparées par des virgules, des plages séparées par un trait d’union ou une combinaison des deux. Par exemple, les indicateurs -p22, -p1-65535 et -p21-25,80,139,8080 analyseront le port 22, tous les ports entre 1 et 65535 et les ports 21 à 25, 80, 239, et 8080 respectivement. Il est également possible de spécifier l’indicateur –top-ports [numéro] à la place pour analyser les [nombre] ports les plus courants. Si vous souhaitez spécifier tous les ports, vous pouvez utiliser le raccourci -p-.
Remarque : les numéros de port sont compris entre 0 et
65535, bien que 0 ne puisse techniquement pas être
utilisé.
La dernière chose que vous devez spécifier est les adresses IP des appareils que vous souhaitez tester. Pour ce faire, listez simplement toutes les adresses IP que vous souhaitez scanner, elles doivent être séparées par des espaces et peuvent être listées individuellement, par plages séparées par un trait d’union ou via la notation CIDR. Par exemple, 191.168.0.1 analysera cette adresse IP unique, 192.168.0.1-5 analysera les cinq adresses IP comprises entre 102.168.0.1 et 192.168.0.5, enfin 192.168.0.1/24 analysera toutes les adresses IP. entre 192.168.0.1 et 192.168.0.255.
La commande globale devrait ressembler aux exemples suivants:
-
- nmap -sS -vvv -A -p- 127.0.0.1
- nmap -sS -v -p80,443,8080 192.168.0.1/24
- nmap -sS –Top-ports 10000 -6 :: 1