Сканування мережі – це процедура виявлення активних пристроїв у мережі за допомогою використання однієї чи кількох функцій мережевого протоколу для надсилання сигналів пристроям та очікування на відповідь. Здебільшого мережеве сканування використовується для моніторингу мереж та управління ними, проте його також можна застосовувати для проактивного виявлення вразливостей, якими можуть скористатися кіберзловмисники.
Існує багато різноманітних інструментів для сканування мережі, включно з рішеннями з open source та комерційними продуктами. Різні платформи пропонують різні функції, тому важливо обрати інструмент із характеристиками, що відповідають потребам організації.
Як працює сканування мережі?
Конкретні функції протоколів, що використовуються під час сканування, залежать від мережі. Для мереж на базі інтернет-протоколу (IP) під час сканування зазвичай надсилається просте повідомлення, наприклад, ping – на кожну можливу адресу IP у визначеному діапазоні. Якщо отримано відповідь на ping, мережевий сканер використовує інший протокол для отримання даних про пристрої. Це називається активним скануванням.
Натомість пасивне сканування мережі передбачає безперервний моніторинг мережевого трафіку на наявність потенційних ризиків (наприклад, шкідливого коду) та позначення потенційних проблем для подальшого аналізу.
У системах моніторингу та управління мережеві адміністратори регулярно використовують сканування для трьох управлінських функцій:
- Використання функцій виявлення мережі для ідентифікації та формування реєстру користувачів мережі.
- Визначення стану систем та пристроїв.
- Проведення додаткової інвентаризації мережевих елементів, які порівнюються зі списком очікуваних пристроїв як показник працездатності мережі.
Кіберзлочинці використовують ті самі інструменти та протоколи, що й мережеві адміністратори, для сканування потенційних цілей. У зловмисному сценарії нападник спочатку отримує діапазон адрес IP, призначений компанії, за допомогою системи доменних імен або протоколу WHOIS. Адреси в межах цього діапазону скануються для пошуку серверів, операційних систем, системної архітектури та сервісів. Потім зловмисник намагається отримати доступ до відкритих і неналежним чином захищених портів для зламу цільових систем та застосунків.
Чому сканування мережі є важливим?
Враховуючи кількість кіберзагроз, що виникають щодня і широкий спектр потенційних мережевих вразливостей, сканування є важливою складовою підтримання працездатності мережі та її захисту від кібератак. Це важливий інструмент мережевої безпеки, який необхідно використовувати регулярно. Загрози можуть виникати миттєво, і сканування мережі відіграє значну роль у виявленні та усуненні потенційних вразливостей безпеки й загроз.
Запорукою ефективного сканування мережі є його часте проведення, навіть якщо під час цього процесу продуктивність мережі може дещо знижуватися. Ці інструменти надають детальну карту мережі з такою інформацією:
- Реєстр усіх пристроїв, підключених до мережі.
- Дані про ключові точки входу, як-от порти.
- Ідентифікація підозрілих пакетів, що проходять через мережу.
- Дані про продуктивність, що відображаються на дешбордах.
- Звіти про стан мережі.
Коротко кажучи, сканування допомагає адміністраторам з кібербезпеки та мережевої безпеки працювати на випередження кіберзлочинців та інших суб’єктів загроз.
Етапи сканування мережі
Більшість процесів сканування мережі включають такі чотири етапи:
- Інвентаризація. Спочатку інструменти сканування обстежують мережу для створення реєстру всіх підключених пристроїв.
- Карта мережі. Якщо ця функція доступна, інструмент може підготувати карту топології мережі. Nmap (скорочення від Network Mapper) – це інструмент сканування портів на рівні командного рядка, який використовується для попереднього визначення того, що знаходиться в мережі, та створення карти пристроїв. Цей інструмент з open source може сканувати великі мережі з різноманітними характеристиками; ідентифікувати активні та неактивні хости або порти; а також оцінювати периметри мережі, наприклад, фаєрволи, системи виявлення та запобігання вторгненням та інші параметри.
- Перевірка працездатності та вразливостей. Далі протокол під назвою Address Resolution Protocol перевіряє мережеві адреси на первинному рівні та рівні підмереж на наявність підозрілої активності. Internet Control Message Protocol використовується для ширшого сканування, наприклад, систем в інших географічних локаціях. Також доступні інші, більш просунуті протоколи для збору детальних даних про стан мережі та виявлення потенційних вразливостей.
- Звітування. Дані сканування часто відображаються на дешборді в режимі реального часу з виділенням конкретних параметрів та пропозиціями щодо протидії атакам. Системи сканування також можуть готувати задокументовані звіти для проведення аудиту.
Які існують типи сканування мережі?
Сканування поділяються на дві основні категорії: активні та пасивні. Їх також можна класифікувати за більш спеціалізованими функціями:
- Сканування хостів. Системи хостів є одними з ключових цілей для кіберзловмисників. Як наслідок, важливо сканувати всі системи хостів та визначати їхній стан. Це можна зробити шляхом надсилання запитів ping на всі адреси IP, що спонукає хост надіслати зворотне повідомлення, а разом із ним і дані про свій стан. Хости, які не відповідають, потрапляють до списку вразливих цілей. Кіберзлочинці регулярно використовують сканування хостів для виявлення систем з метою експлуатації вразливостей.
- Сканування портів. Цей метод дозволяє виявити порти, які можуть працювати некоректно або бути скомпрометованими. Під час перевірки надсилаються пакети даних, а отримані відповіді аналізуються при спробі підключення до запущеного сервісу. Кіберзловмисники також використовують такий тип сканування для виявлення потенційних цілей.
- Сканування мережі. Це сканування перевіряє адреси IP та ідентифікує операційні системи й пристрої, підключені до мережі. Воно також може генерувати карту мережі.
- Зовнішнє сканування вразливостей. Цей тип перевірки виявляє недоліки та слабкі місця в мережі, як-от неправильно налаштовані або застарілі фаєрволи й системи безпеки, відкриті порти, пристрої без належних оновлень та незахищені кінцеві точки інтернету (IoT). Сканери вразливостей оцінюють мережу та мережеві пристрої з погляду кіберзловмисника.
- Комплексне сканування. У цьому процесі аналізуються пристрої за всіма адресами IP для оцінки низки параметрів. Серед них: загальний стан безпеки, статус встановлення патчів, час останнього використання, наявність антивірусного програмного забезпечення, а також систем виявлення та реагування на кінцевих точках (EDR).
- Тестування на проникнення. Цей метод, який іноді називають етичним хакінгом, має на меті зімітувати атаку шляхом обходу чинних засобів захисту периметра, пошуку потенційних вразливостей, виявлення систем і даних, що піддаються експлуатації, а також проведення детальної оцінки ризиків інфраструктури. Перед виконанням тестування на проникнення слід отримати відповідні погодження від користувачів та клієнтів.
Найкращі практики сканування мережі
Для досягнення оптимальних результатів під час сканування мережі рекомендується дотримуватися таких практик:
- Регулярно перевіряти внутрішні та зовнішні пристрої в мережевій інфраструктурі.
- Налагодити процес документування, результати якого можна застосовувати для усунення несправностей, оцінки безпеки й планування, створення звітів про стан, а також формування доказової бази для аудиту.
- Пріоритизувати сканування на основі рівня критичності кожного пристрою для організації.
- Розробити графік для регулярного та частого проведення перевірок.
- Автоматизувати сканування у заздалегідь визначений час або за певних умов, якщо це підтримується обраним інструментом.
- Періодично переглядати та оновлювати параметри сканування для мінімізації хибнопозитивних і хибнонегативних спрацьовувань.
