DedSec Project

Network Scanning και Service Discovery — DedSec Project

Network Scanning και Service Discovery Το network scanning απαντά συγκεκριμένες ερωτήσεις για hosts, ports, protocols και exposed services. Σε ethical assessment το scanning δεν είναι…

Το network scanning απαντά συγκεκριμένες ερωτήσεις για hosts, ports, protocols και exposed services. Σε ethical assessment το scanning δεν είναι άσκηση stealth. Scope, rate, expected traffic, monitoring coordination και quality του evidence είναι πιο σημαντικά από την απόκρυψη.

Όριο εξουσιοδοτημένης χρήσης: Σκάναρε μόνο addresses/services που περιλαμβάνονται ρητά στο scope. Για μάθηση χρησιμοποίησε localhost, host-only VM network, containers ή isolated lab όπως 192.168.56.0/24 που ελέγχεις.

Μαθησιακοί στόχοι

Ξεκίνα από ερώτηση

Ένα scan πρέπει να απαντά κάτι συγκεκριμένο, π.χ. «ποιοι approved lab hosts εκθέτουν TCP/22 και TCP/443;». Μην κάνεις broad scan όταν ένα μικρό test αρκεί.

TCP state

Το TCP είναι stateful. Συνήθως η σύνδεση αρχίζει με SYN, SYN/ACK και ACK. Open/closed/filtered περιγράφουν το observation από τη θέση του scanner, όχι μόνιμη ιδιότητα του target. Routing, firewall, source address, IPv4/IPv6 και time μπορούν να αλλάξουν το αποτέλεσμα.

UDP state

UDP δεν έχει connection handshake. Silence μπορεί να σημαίνει open service, filtered traffic, εφαρμογή που αγνοεί το request ή packet loss. Χρειάζεται protocol-aware request ή server-side evidence για ισχυρό conclusion.

Host discovery

ICMP echo είναι μόνο ένα signal. Ένα host μπορεί να blockάρει ping αλλά να έχει TCP service. Αντίστροφα, gateway/load balancer μπορεί να απαντά χωρίς να αποδεικνύει application health.

Σε δικό σου lab:

ping -c 2 192.168.56.10
nmap -sn 192.168.56.0/24

Nmap basics

Χρησιμοποίησε την απλούστερη επιλογή που απαντά την ερώτηση:

nmap -sT -p 22,80,443 192.168.56.10

Για authorized version detection:

nmap -sT -sV -p 22,80,443 192.168.56.10

Το version result είναι hypothesis. Reverse proxies, custom banners και backported patches μπορεί να το κάνουν λάθος.

Rate και reliability

Πολύ γρήγορο scan μπορεί να προκαλέσει packet loss, rate limiting ή misleading results. Κατέγραψε timing και retry behavior όταν η ακρίβεια έχει σημασία.

Firewalls και detection validation

Μην χρησιμοποιείς scanning options με σκοπό να παρακάμψεις monitoring. Σε control validation συνεργάσου με defenders και έλεγξε αν το approved traffic έγινε log, correlation και alert.

Κράτα evidence από scanner timestamp/source, target response, firewall decision, host/application log και SIEM/EDR/network telemetry όπου υπάρχει.

IPv6 parity

Service μπορεί να είναι blocked σε IPv4 αλλά reachable σε IPv6. Έλεγξε listening sockets, AAAA records, firewall/cloud rules και monitoring coverage και για τα δύο protocol families.

Service validation

Μετά από open port ρώτησε:

  1. Ποιο protocol περιμένουμε;
  2. Χρειάζεται TLS;
  3. Ποιο identity/authorization boundary το προστατεύει;
  4. Επιτρέπεται να είναι reachable από αυτό το segment;
  5. Ποιο evidence επιβεβαιώνει application/version;

Το port number είναι convention, όχι identity.

Συχνά λάθη

Καθοδηγούμενο εργαστήριο

Φτιάξε δύο local services σε VM/container, ένα running και ένα stopped. Κάνε scan μόνο στα αντίστοιχα ports, πρόβλεψε το αποτέλεσμα, άλλαξε μία firewall/service setting και επανάλαβε. Εξήγησε γιατί άλλαξε το observation.

Έλεγχος γνώσεων

  1. Γιατί UDP scanning είναι ambiguous;
  2. Τι περιγράφει το “filtered”;
  3. Γιατί ένα banner μπορεί να είναι misleading;
  4. Ποιο evidence συνοδεύει detection validation;
  5. Γιατί χρειάζεται ξεχωριστός IPv6 έλεγχος;

Καθοδηγούμενη μελέτη

Χρησιμοποίησε τη Μεθοδολογία Μελέτης. Στόχος είναι να εξηγείς result από protocol behavior και policy, όχι από απομνημονευμένα switches.

Συνέχεια

Προτεινόμενα μαθήματα: 04, 05, 12, 51.