Как обмануть сканер портов?

#linux #iptables

Возможно ли сканерам портов вернуть будто порт закрыт, но на самом деле он открыт??
    

Ответы

Ответ 1

Вынесено из комментария



Один из вариантов скрытия портов от утилит сканирования и несанкционированных подключений
- механизм port knocking.
Суть его в том, что изначально порт защищаемого сервиса закрыт файрволом, демон port
knocking'a ожидает получения пакетов на определенные порты в заданной последовательности,
после чего открывает порт сервиса для доступа извне.

Мануалы по настройке:


https://wiki.archlinux.org/index.php/Port_knocking
http://ashep.org/2010/zashhita-sistemy-pri-pomoshhi-port-knocking/


Преимущества/недостатки port knocking - вопрос обсуждаемый, но в любом случае, этот
механизм нужно рассматривать как часть системы безопасности, а не ее единственный элемент.

Основные неудобства в использовании:


Требуется клиент для предварительной отправки последовательности пакетов перед подключением.
Нет прямой поддержки в ядре Linux (хотя есть варианты решения целиком на iptables).
Демон port knocking'a - это точка отказа, проблемы функционирования демона приведут
к проблемам с доступом к защищаемым сервисам.
Рекомендуется периодически менять последовательность "стуков".


Ответ 2

Такое возможно. Nmap, например, использует различные техники сканирования (через
zombie, xtree), кроме того сами сервисы могут отличаться поведением или ждать специальных
пакетов, поэтому nmap может допускать false-positive ошибки. Много зависит от глубины
анализа nmap. См. также статью

Но, я полагаю, это скорее случайное поведение. Сделать его более вероятным можно,
выбрав нестандартный порт.