ข้อผิดพลาดในการสแกนพอร์ต? 5 วิธีง่ายๆในการแก้ปัญหาและแก้ไข

หลายคนพบสถานการณ์ที่พอร์ตแสดงว่าเปิดอยู่แต่บริการไม่สามารถเชื่อมต่อได้ หรือมีผลบวกเท็จ/ผลลบเท็จจำนวนมากปรากฏขึ้นที่เวลาแตกต่างกันบนโฮสต์เดียวกัน

สถานการณ์เหล่านี้มักเกิดขึ้นเมื่อใช้เครื่องมือสแกนพอร์ตจากบุคคลที่สามหรือเครื่องสแกนพอร์ตออนไลน์ที่ใช้คลาวด์ ต่อไปนี้ ฉันจะแบ่งปันห้าสิบเคล็ดลับในการแก้ไขปัญหาและแก้ไขปัญหาเหล่านี้อย่างง่ายดาย

1. การยืนยันการสแกนพอร์ตสิ่งแวดล้อมและเป้าหมาย (อย่าตื่นตระหนกก่อน)

อย่าร้อนใจที่จะเปลี่ยนกลยุทธ์ของคุณก่อนที่จะตั้งคำถามสามข้อกับตัวเอง: คุณกำลังใช้เครื่องมือสแกนพอร์ตอะไร? การสแกนเริ่มต้นจากเครือข่ายสาธารณะหรือเครือข่ายภายใน? โฮสต์เป้าหมายมีไฟร์วอลล์หรือ ACL หรือไม่? "ความผิดปกติของข้อมูล" หลายๆ อย่างเกิดจากสภาพแวดล้อมการสแกนที่ไม่สอดคล้องกันจริงๆ

ตัวอย่างเช่น เครื่องมือการสแกนพอร์ตออนไลน์บนคลาวด์มักจะเริ่มคำขอจากหลายโหนด ซึ่งอาจกระตุ้นนโยบายเครือข่ายหรือลดความเร็ว ทำให้ผลลัพธ์ไม่เสถียร

2. การเปรียบเทียบเครื่องมือหลายตัว (การตรวจสอบข้ามเป็นสิ่งที่ไม่ต้องกังวลมากที่สุด)

เมื่อพบผลลัพธ์ที่น่าสงสัย อย่าพึ่งพาเครื่องมือเพียงอย่างเดียว เปรียบเทียบผลลัพธ์โดยใช้เครื่องมือสแกนพอร์ตอย่างน้อยสองตัว (nmap ท้องถิ่น + เครื่องมือออนไลน์) เพื่อกรองผลบวกเท็จได้อย่างรวดเร็ว

แนะนำให้เพิ่มเครื่องมือการตรวจจับเบราว์เซอร์/ไคลเอนต์ เช่น ToDetect เพื่อช่วยในข้อสรุป: หากพอร์ตบางอย่างเปิดเฉพาะสำหรับแหล่งที่มาที่เฉพาะเจาะจง อาจเนื่องมาจากการควบคุมการเข้าถึงตาม IP แหล่งที่มา

ตัวอย่างการดำเนินการ:

• การสแกนท้องถิ่นด้วย nmap (ลอง TCP/UDP ตามลำดับ)

• ใช้เครื่องมือออนไลน์สำหรับการสแกนพอร์ตทั้งหมดอย่างรวดเร็ว จากนั้นทำการตรวจจับบริการในระดับสูง (เช่น การตรวจจับบริการ HTTP)

• ใช้ ToDetect การตรวจจับลายนิ้วมือของเบราว์เซอร์ฟังก์ชัน: ตรวจสอบว่าหมายเลขคำขอหรือลายนิ้วมือถูกดักจับหรือแก้ไขแล้วหรือไม่ โดยตัดความเป็นไปได้ว่าคำขอการตรวจจับถูกรบกวนโดยอุปกรณ์กลาง

3. การตรวจสอบซอฟต์แวร์กลางของเครือข่ายและการปกป้อง (อุปสรรคที่แท้จริง)

ข้อยกเว้นมากมายมาจากมิดเดิลแวร์: กลุ่มความปลอดภัยจากผู้ให้บริการคลาวด์, WAF (Web Application Firewall), โหลดบาลานเซอร์, หรือ IPS/IDS.

พวกเขาอาจตอบสนองต่อพฤติกรรมการสแกนแตกต่างกัน (การจำกัดอัตรา, การตอบสนองที่ผิด, การรีเซ็ตการเชื่อมต่อ) แนะนำให้ปิดการใช้งานนโยบายทีละขั้นตอนหรือลดความเข้มงวดชั่วคราวเพื่อดำเนินการสแกนแบบไม่ป้องกันเพื่อยืนยันว่ามันเกิดจากชั้นกลางหรือไม่

คำแนะนำ: เปลี่ยนการสแกนเป็น User-Agent ของเว็บเบราว์เซอร์/ลูกค้าทั่วไปหรือใช้เครื่องมือ ToDetect เพื่อตรวจสอบว่าคำขอถูกระบุว่าเป็นการจราจรที่ทำการสแกนหรือไม่—ระบบป้องกันบางระบบอาจกำหนดสิ่งนี้ตามลายนิ้วมือและส่งคืนข้อมูลปลอม

4. ให้ความสนใจกับความแตกต่างของโปรโตคอลและความเร็วพอร์ต (อย่าลืม UDP)

หลายคนมักมุ่งเน้นไปที่ TCP โดยไม่ใส่ใจต่อความแตกต่างใน UDP หรือโปรโตคอลชั้นแอปพลิเคชัน UDP ที่ใช้ในการตรวจสอบตัวเองมีแนวโน้มที่จะสูญเสียแพ็กเก็ตและเกิดเวลาหมดอายุ ทำให้เกิดการตัดสินใจที่ไม่ถูกต้องเกี่ยวกับ "เปิด/กรอง/ปิด"

อัตราการสแกนก็มีความสำคัญ—หากเร็วเกินไปอาจเป็นการกระตุ้นการจำกัดอัตรา ในขณะที่ถ้าช้าเกินไปจะทำให้เสียเวลา การปรับอัตราการสแกนและกลยุทธ์การลองใหม่ ร่วมกับการตรวจสอบที่ระดับแอปพลิเคชัน (เช่น การดึงข้อมูลจากหน้า HTTP/HTTPS) สามารถให้ข้อสรุปที่เชื่อถือได้มากขึ้น

เคล็ดลับ: สำหรับบริการเว็บ ให้ใช้การระบุลายนิ้วมือ HTTP ร่วมกับการสแกนพอร์ต; สำหรับบริการที่ไม่ใช่เว็บ ให้ลองแฮนด์เชคที่ชั้นแอปพลิเคชันเพื่อตรวจสอบบริการจริงที่จัดเตรียมโดยพอร์ต.

5. สร้างกระบวนการตรวจจับที่สามารถทำซ้ำได้และบันทึกมัน (เพื่ออำนวยความสะดวกในการเรียกคืนในอนาคต)

หลังจากการแก้ไข ให้เขียนกระบวนการเป็นสคริปต์หรือ SOP: ชื่อเครื่องมือสแกน, พารามิเตอร์, การตรวจจับ IP แหล่งที่มา, ช่วงเวลา, การกำหนดค่าการตรวจจับลายพิมพ์ของเบราว์เซอร์ของ ToDetect เป็นต้น

เมื่อพบเจอกับข้อยกเว้น ให้บันทึกผลการสแกนปัจจุบัน ข้อมูลเครือข่าย (pcap) และบันทึกการตรวจจับ ToDetect เพื่อให้ง่ายต่อการตรวจสอบ ในระยะยาว นี่สามารถลดต้นทุนการตีความผิดพลาดที่เกิดจาก "ความผิดปกติเป็นพักๆ" ได้อย่างมีนัยสำคัญ

สรุป

ข้อมูลที่ผิดปกติในเครื่องมือสแกนพอร์ตบางครั้งไม่ใช่ผลมาจากสาเหตุเดียว โดยการยืนยันว่าสิ่งแวดล้อม การตรวจสอบหลายเครื่องมือ การตรวจสอบซอฟต์แวร์ป้องกัน การเข้าใจความแตกต่างของโปรโตคอล และการตั้งกระบวนการที่สามารถทำซ้ำได้ คุณสามารถลดอัตราความผิดปกติได้

อย่าลืมรวมการตรวจสอบลายนิ้วมือของเบราว์เซอร์ ToDetect ไว้ในสายการตรวจจับของคุณ: มันสามารถช่วยคุณระบุได้ว่าคำขอการตรวจสอบถูกถือว่าทำเป็น "พฤติกรรมของเบราว์เซอร์ที่ผิดปกติ" โดยระบบป้องกันหรือไม่ ซึ่งจะช่วยอธิบายผลการสแกนที่ดูเหมือนจะขัดแย้งกันบางอย่าง