- Portscan
-
Balayage de port
En informatique, le balayage de port (appelé portscan en anglais) est une technique pour rechercher les ports ouverts sur un serveur d'un réseau.
Cette technique est utilisée par les administrateurs des systèmes informatiques pour contrôler la sécurité des serveurs de leurs réseaux. La même technique est aussi utilisée par les pirates informatiques pour tenter de trouver des failles dans des systèmes informatiques. Un balayage de port effectué sur un système tiers est généralement considéré comme une tentative d'intrusion, car un balayage de port sert souvent à préparer une intrusion.
Le balayage de ports est une des activités considérées comme suspectes par un système de détection d'intrusion. Un système de détection d'intrusion peut être réglé à différents niveaux de sensibilité. Un niveau de sensibilité élevé génèrera plus de fausses alertes, un niveau de sensibilité bas risque de laisser passer les balayages effectués par des systèmes sophistiqués comme Nmap qui disposent de diverses options pour camoufler leurs balayages.
Pour tromper la vigilance des systèmes de détection et des pare-feu, les balayages peuvent se faire dans un ordre aléatoire, avec une vitesse excessivement lente (par exemple sur plusieurs jours), ou à partir de plusieurs adresses IP.
Les balayages de ports se font habituellement sur le protocole TCP ; néanmoins, certains logiciels permettent aussi d'effectuer des balayages UDP. Cette dernière fonctionnalité est beaucoup moins fiable, UDP étant orienté sans connexion, le service ne répondra que si la requête correspond à un modèle précis variant selon le logiciel serveur utilisé.
Sommaire
Techniques
TCP
Un balayage de ports vise typiquement le protocole TCP, car c'est celui qui est utilisé par la majorité des applications. L'objectif du balayage est de savoir si un logiciel est en écoute sur un numéro de port donné. Si un logiciel écoute, on dit que le port est ouvert, sinon on dit qu'il est fermé. Le balayage d'un port se passe en deux étapes :
- l'envoi d'un paquet sur le port testé ;
- l'analyse de la réponse.
Il existe de nombreuses variantes pour le paquet émis. Il y a le paquet valide selon la norme TCP, le paquet « TCP SYN », et les paquets invalides. L'utilisation des paquets invalides vise à tromper les systèmes de détection d'intrusion. La liste des paquets invalides utilisés est :
Le serveur peut répondre de différentes manières :
- ouverture de connexion acceptée : envoi d'un paquet TCP SYN/ACK ;
- fermeture de la connexion : envoi d'un paquet TCP RST ;
- absence de réponse : on dit que le paquet est droppé
Une ouverture de connexion acceptée indique clairement que le port est ouvert. Une fermeture de la connexion indique que le port est fermé. L'absence de réponse est souvent due à un pare-feu qui vise à contrer le balayage de port. Le pare-feu peut détecter un trafic anormal et décider d'ignorer pendant un certain temps tous les paquets provenant de la machine générant le trafic anormal. En absence de réponse, on ne peut donc pas savoir avec certitude si le port est ouvert ou fermé.
La technique Window envoie un paquet TCP ACK et observe la taille de la fenêtre TCP du paquet de réponse (TCP RST). Si le port est fermé, la taille de la fenêtre de la réponse est nulle.
La technique Mainon est utilisée sur les systèmes BSD. Uriel Maimon a constaté que ces systèmes ignorent un paquet TCP FIN/ACK (invalide) si le port est ouvert au lieu d'envoyer la réponse TCP RST.
Autres techniques pour TCP
Une autre technique consiste à passer par un serveur FTP. On utilise la fonctionnalité de proxy des serveurs FTP pour balayer les ports.
Finalement, la technique idlescan utilise la fragmentation du protocole IP. Un système de détection d'intrusion pense que l'analyse provient d'un ordinateur zombi. Consultez l'article (en) Idle Scanning and Related IPID Games pour les détails.
UDP et IP
Pour le protocole UDP, on envoie un paquet UDP vide (de longueur nulle). Si le port est fermé, un message ICMP de type 3 (destinataire inaccessible) et code 3 est envoyé.
Il est également possible de lister les protocoles IP supportés par un hôte. On appelle cette technique IP protocol scan.
Version du logiciel
On peut détecter le système d'exploitation et sa version par la prise d'empreinte de la pile TCP/IP. Un logiciel tel que Nmap permet également de détecter le nom du logiciel écoutant sur un port, voire même sa version.
Balayeurs de port en ligne
- Sygate Online Scan extended security check (Stealth Scan, Trojan Scan)
- Planet Security Firewall-Check Fast, extended check, checks currently high-endangered ports
- Crucialtests concise, incl. advisor
- ShieldsUP (Gibson Research Corporation) Quick Scanner, clearly laid out
- DerKeiler's Port Scanner Peut seulement balayer votre adresse IP, utile lorsque vous êtes dans un café Internet avec plusieurs restrictions
- AuditMyPC Free Port Scanning Peut balayer les 65535 ports
Balayeurs de port hors ligne
- AutoScan-Network Utilitaire gratuit de surveillance réseau
- SafaNetwork Utilitaire de surveillance de réseau.
- Network Security Auditor Utilitaire gratuit de surveillance de réseau.
Références
- ↑ La technique Mainon porte le nom de son auteur, Uriel Maimon. Elle a été publiée dans le magazine électronique Phrack numéro 49
- ↑ La technique Xmas (ou Christmas qui signifie Noël en anglais) a été nommée en hommage à l'attaque du serveur de Tsutomu Shimomura par Kevin Mitnick le jour de Noël 1994. Lire l'article sur Kevin Mitnick pour les détails.
Voir aussi
Articles connexes
Lien externe
- (fr) The Art Of Port Scanning: Phrack 51, Article 11 (traduction)
Portail de la sécurité informatique
Catégorie : Sécurité du réseau informatique
Wikimedia Foundation. 2010.
