端口扫描检查器概述
|
类型 |
检查器（探测器） |
|
使用方式 |
全局 |
|
实例类型 |
全局 |
|
所需其他检查器 |
无 |
|
已启用 |
false |
端口扫描是一种通常被攻击者用作攻击前奏的网络侦察形式。在端口扫描中，攻击者发送旨在探测目标主机上的网络协议和服务的数据包。通过检查主机响应时发送的数据包，攻击者通常可以直接或通过推理确定主机上的哪些端口是开放的，以及哪种应用协议正在这些端口上运行。
端口扫描本身不算是攻击。网络上的合法用户可能会采用与攻击者类似的端口扫描技术。
port_scan 检查器可检测四种类型的端口扫描，并监控 TCP、UDP、ICMP 和 IP 协议上的连接尝试。通过检测活动模式， port_scan 检查器帮助确定哪些端口扫描可能是恶意的。
| 协议 (Protocol) | 说明 |
|---|---|
| TCP | 检测 TCP 探针，例如 SYN 扫描、ACK 扫描、TCP connect() 扫描和带异常标志组合（如 Xmas tree、FIN 和 NULL）的扫描。 |
| UDP | 检测 UDP 探针，如零字节 UDP 数据包。 |
| ICMP | 检测 ICMP 回应请求 (ping)。 |
| IP | 检测 IP 协议扫描。Snort 不会查找开放端口，而是搜索目标主机上支持的 IP 协议。 |
根据目标主机的数量、扫描主机的数量和扫描的端口数量，端口扫描通常分为四种类型。
| 类型 | 说明 |
|---|---|
| 端口扫描 |
一对一端口扫描，在这种扫描中，攻击者使用一个或几个主机扫描单个目标主机上的多个端口。 一对一端口扫描具有如下特征：
端口扫描选项检测 TCP、UDP 和 IP 端口扫描。 |
| 端口清扫 |
一对多端口清扫，在这种扫描中，攻击者使用一个或几个主机扫描多个目标主机上的单个端口。 端口扫描具有以下特征：
端口清扫检测 TCP、UDP、ICMP 和 IP 端口清扫。 |
| 诱骗端口扫描 |
一对一端口扫描，在这种攻击中，攻击者将伪造的源 IP 地址与真实的扫描 IP 地址混合在一起。 诱骗端口扫描具有如下特征：
诱骗端口扫描选项检测 TCP、UDP 和 IP 协议端口扫描。 |
| 分布式端口扫描 |
多对一端口扫描，在这种攻击中，多个主机查询单个主机是否有开放端口。 分布式端口扫描具有如下特征：
分布式端口扫描检测 TCP、UDP 和 IP 协议端口扫描。 |
端口扫描敏感度级别
port_scan 检查器提供三个默认扫描灵敏度级别。
-
default_low_port_scan
-
default_med_port_scan
-
default_high_port_scan
可以使用各种过滤器配置其他扫描灵敏度级别：
-
扫描
-
拒绝
-
nets
-
端口
port_scan 检查器通过收集被探测主机的否定响应来了解探测。例如，当 web 客户端使用 TCP 连接到 web 服务器时，客户端可以假设 web 服务器监听 80 端口。但是，当攻击者探测服务器时，攻击者事先并不知道其是否提供 Web 服务。当 port_scan 检测器看到否定响应（ICMP 不可达或 TCP RST 数据包）时，它会将该响应记录为潜在的端口扫描。当目标主机位于设备（例如，过滤否定响应的防火墙或路由器）的另一端时，这个过程更难以执行。在这种情况下，port_scan 检测器可以根据选择的灵敏度级别生成已过滤端口扫描事件。
反馈