Lỗi quét cổng? 5 cách dễ dàng để khắc phục và sửa chữa

Nhiều người gặp phải tình huống mà cổng hiện là mở nhưng dịch vụ không thể kết nối, hoặc có một số lượng lớn các báo false positive/false negative xuất hiện vào những thời điểm khác nhau trên cùng một máy chủ.

Những tình huống này thường phát sinh khi sử dụng công cụ quét cổng của bên thứ ba hoặc các công cụ quét cổng trực tuyến dựa trên đám mây. Tiếp theo, tôi sẽ chia sẻ năm mẹo để dễ dàng khắc phục và sửa chữa những vấn đề này.

Xác nhậnQuét cổngMôi trường và Mục tiêu (Đừng hoảng sợ trước tiên)

Đừng vội vàng thay đổi chiến lược của bạn; trước tiên hãy tự hỏi ba câu hỏi: Bạn đang sử dụng công cụ quét cổng nào? Quá trình quét được khởi đầu từ mạng công cộng hay mạng nội bộ? Máy chủ mục tiêu có tường lửa hay ACL không? Nhiều "anomalies dữ liệu" thực sự bắt nguồn từ những môi trường quét không nhất quán.

Chẳng hạn, các công cụ quét cổng trực tuyến dựa trên đám mây thường khởi tạo yêu cầu từ nhiều nút, điều này có thể kích hoạt các chính sách mạng hoặc làm giảm tốc độ, dẫn đến kết quả không ổn định.

2. So sánh nhiều công cụ (Kiểm định chéo là an tâm nhất)

Khi gặp kết quả nghi ngờ, đừng chỉ dựa vào một công cụ. So sánh kết quả bằng cách sử dụng ít nhất hai công cụ quét cổng (nmap cục bộ + công cụ trực tuyến) để nhanh chóng lọc ra các kết quả dương tính giả.

Nên thêm các công cụ phát hiện trình duyệt/khách hàng như ToDetect để hỗ trợ trong việc đánh giá: nếu một số cổng chỉ mở cho các nguồn quét cụ thể, điều đó có thể là do kiểm soát truy cập dựa trên địa chỉ IP nguồn.

Ví dụ hoạt động:

• Quét cục bộ với nmap (thử TCP/UDP tương ứng).

• Sử dụng các công cụ trực tuyến để quét toàn bộ cổng nhanh chóng, sau đó thực hiện phát hiện dịch vụ cấp cao (ví dụ: phát hiện dịch vụ HTTP).

• sử dụng ToDetect phát hiện dấu vân tay trình duyệtChức năng: Kiểm tra xem các tiêu đề yêu cầu hoặc dấu vân tay có bị chặn hoặc sửa đổi hay không, loại bỏ khả năng các yêu cầu phát hiện bị can thiệp bởi các thiết bị trung gian.

3. Điều tra về middleware mạng và bảo vệ (cái "rào cản" thực sự)

Nhiều ngoại lệ đến từ middleware: nhóm bảo mật từ các nhà cung cấp đám mây, WAF (Tường lửa ứng dụng web), bộ cân bằng tải hoặc IPS/IDS.

Chúng có thể phản ứng khác nhau với hành vi quét (giới hạn tỷ lệ, phản hồi sai, thiết lập lại kết nối). Nên tạm thời vô hiệu hóa hoặc nới lỏng các chính sách theo thứ tự để tiến hành một lần quét không được bảo vệ nhằm xác nhận xem liệu nó có được gây ra bởi lớp trung gian hay không.

Mẹo: Thay đổi quét thành một User-Agent của trình duyệt/khách hàng phổ biến hoặc sử dụng công cụ ToDetect để kiểm tra xem yêu cầu có được nhận diện là lưu lượng quét không—một số hệ thống bảo vệ có thể xác định điều này dựa trên dấu vân tay và trả về thông tin giả mạo.

4. Chú ý đến sự khác biệt về giao thức và tốc độ cổng (đừng quên UDP)

Nhiều người chỉ tập trung vào TCP, bỏ qua những khác biệt trong UDP hoặc các giao thức lớp ứng dụng. Việc kiểm tra UDP tự nó dễ bị mất gói và thời gian chờ, dẫn đến những phán đoán không chính xác về "mở/đã lọc/đóng."

Cũng có tốc độ quét—nếu quá nhanh, nó có thể kích hoạt giới hạn tỷ lệ, trong khi nếu quá chậm, nó sẽ lãng phí thời gian. Điều chỉnh tốc độ quét và chiến lược thử lại, kết hợp với việc kiểm tra ở tầng ứng dụng (chẳng hạn như quét trang HTTP/HTTPS), có thể cung cấp những kết luận đáng tin cậy hơn.

Mẹo: Đối với dịch vụ web, hãy sử dụng đánh dấu HTTP kết hợp với quét cổng; đối với dịch vụ không phải web, hãy thử bắt tay ở lớp ứng dụng để xác nhận dịch vụ thực tế do cổng cung cấp.

5. Tạo ra một quy trình phát hiện có thể tái tạo và lưu trữ nó (để thuận tiện cho việc truy xuất trong tương lai).

Sau khi sửa chữa, hãy viết quy trình dưới dạng kịch bản hoặc SOP: tên công cụ quét, các thông số, phát hiện địa chỉ IP nguồn, khoảng thời gian, cấu hình phát hiện dấu vân tay trình duyệt ToDetect, v.v.

Khi gặp phải các ngoại lệ, trước tiên hãy lưu trữ kết quả quét hiện tại, bản ghi mạng (pcap) và nhật ký phát hiện ToDetect để dễ dàng xem lại. Trong dài hạn, điều này có thể giảm đáng kể chi phí đánh giá sai do "các bất thường sporadic" gây ra.

Tóm tắt

Các bất thường dữ liệu trong các công cụ quét cổng đôi khi không phải do một lý do duy nhất. Bằng cách xác nhận môi trường, xác thực chéo nhiều công cụ, điều tra phần mềm bảo vệ, hiểu sự khác biệt giữa các giao thức và thiết lập quy trình có thể tái tạo, bạn có thể giảm thiểu tỷ lệ bất thường.

Đừng quên bao gồm ToDetect phát hiện dấu vân tay trình duyệt trong chuỗi phát hiện của bạn: nó có thể giúp bạn xác định xem các yêu cầu thăm dò có được hệ thống bảo vệ coi là "hành vi trình duyệt bất thường" hay không, từ đó giải thích một số kết quả quét có vẻ mâu thuẫn.