Состояние относится к конкретной проверке
Nmap описывает порт так, как видит его при выбранном способе проверки из определённой точки сети. Состояние open означает, что приложение принимает соединения или пакеты соответствующего типа. Closed указывает на доступность порта для проверки при отсутствии слушающего приложения. Filtered означает, что фильтрация мешает определить, открыт ли порт. Поэтому один и тот же сервис может выглядеть доступным внутри сети и фильтруемым снаружи. В отчёте важно сохранять время, точку наблюдения, протокол и параметры проверки, иначе сравнение двух результатов может оказаться вводящим в заблуждение.
Название в столбце службы требует внимания
Известный номер порта помогает предположить тип сервиса, но приложение может работать и на нестандартном номере. Определение службы по номеру и отдельная проверка её версии — разные источники информации. Обнаружение версий использует дополнительные обращения к сервису и анализ ответов. Даже полученная строка версии не заменяет проверку установленного программного обеспечения и его конфигурации у владельца системы. Для рабочего вывода полезно записывать степень уверенности: наблюдается доступный порт, предполагается определённая служба, требуется подтверждение версии. Это точнее, чем автоматически объявлять находку критической уязвимостью.
Сценарии NSE не являются одинаковыми по воздействию
В Nmap есть механизм сценариев для дополнительных проверок. Перед использованием конкретного сценария необходимо изучить его назначение и сопоставить с разрешённой задачей. Название категории safe не гарантирует полного отсутствия нежелательных последствий, а набор default не означает, что каждый входящий в него сценарий подходит любой системе. Массовое включение всего доступного увеличивает неопределённость и может выйти за согласованные пределы. Для обучения достаточно изолированного стенда и заранее выбранного ограниченного действия. Разбор готового учебного отчёта вообще позволяет отработать интерпретацию без отправки сетевых запросов.
Формулируйте вывод и следующий вопрос отдельно
Запись содержит факт и вопрос владельцу. Например, на условном учебном узле доступен порт, ожидаемый для административной службы. Следующий вопрос — должна ли она быть доступна из этой точки и соответствует ли настройка согласованной схеме доступа. Ответ может потребовать конфигурации сервера и правил сети, а не ещё одного произвольного сканирования. До реальной работы согласуйте конкретные адреса, время и допустимые методы с уполномоченным владельцем. Наличие инструмента и публичность адреса сами по себе не дают разрешения на проверку чужой инфраструктуры.
Попробуйте на практике
Разберите вымышленный отчёт на бумаге: у учебного узла указаны 22/tcp open, 80/tcp closed и 443/tcp filtered. Сетевые проверки выполнять не нужно.
- Для каждой строки запишите только наблюдаемое состояние. Не заменяйте open словом уязвим и filtered утверждением, что приложение отсутствует.
- Объясните, чем closed отличается от filtered: в одном случае получена информация об отсутствии слушающего приложения, в другом определению мешает фильтрация.
- Отметьте, какие сведения отсутствуют: время, точка сети, параметры проверки и подтверждённая информация о службах. Не придумывайте их из номера порта.
- Составьте вопрос владельцу учебной системы о том, ожидается ли доступность административного сервиса из указанной точки. Отделите этот вопрос от вывода о риске.
- Опишите допустимый следующий шаг: сверить результат с конфигурацией и согласованной схемой доступа. Любые дополнительные активные действия потребовали бы отдельного соответствия разрешённой области.
Как проверить результат. Вы различаете три состояния, не выводите версию приложения из номера порта и не объявляете уязвимость без дополнительных оснований. Следующий шаг связан с проверяемым вопросом и разрешённым объёмом работы.
Частые вопросы
Показывает ли отсутствие открытых портов полную безопасность узла?
Нет. Результат ограничен точкой наблюдения, выбранными портами, протоколами и методами. Он не охватывает все возможные свойства и проблемы системы.
Можно ли считать сценарий безопасным только по его категории?
Нет. Категория помогает ориентироваться, но назначение, возможное воздействие и соответствие конкретной системе нужно проверять отдельно.
Самостоятельный разбор темы. Содержание конкретной обучающей программы здесь не представлено.