In questi giorni, nei quali si ha una continua espansione della rete, a cui corrisponde un'aumento dei tentativi di intrusione, la sicurezza della vostra rete Linux è essenziale. Molto spesso, durante il testing, si preferisce mettersi nei panni di un possibile intruso e tentare una penetrazione della propria rete. Questo articolo descrive una delle fasi della penetrazione, lo scanning incentrandosi sulle tecniche implementative di un portscanner e presentando Nmap, uno dei piu avanzati portscanner di pubblico dominio, disponibili su Linux.
(n.d.NT. Se volete scaricare una versione di Nmap potete usare i potenti motori di ricerca =) per l'occasione vi consiglio http://linux.box.sk)

• Improntamento. L'improntamento sistematico di una organizzazione permette al possibile intruso di crearsi un profilo completo dello stato di sicurezza della data organizzazione. Principalmente l'intruso cerca di ottenere maggiori informazioni possibili relative a:
  • Amministratori di rete e utenti della rete
  • Posizione del server
  • Presenza o meno di Intranet
  • Sistemi di rilevamento delle intrusioni
  • Server DNS e sua configurazione
  • Indirizzi IP assegnati
  • Eventuale Accesso Telefonico
  La maggior parte delle informazioni suddette sono liberamente disponibili su Internet. Non mi dilungo oltre perchè l'argomento richiede un articolo a parte, che va oltre i nostri scopi.
   
• Scanning. Avendo effettuato l'improntamento sappiamo, come puo essere fatto il nostro "forte", dobbiamo ora essere sicuri, su come sia fatto esattamente e quali possibili sistemi operativi e servizi vi sono. Secondo una definizione comunemente accettata, l'arte di rilevare quali macchine siano attive e raggiungibili via Internet e quali servizi siano disponibili, usando tecniche come i ping sweep (utili per rilevare se uno determinato host sia attivo o meno), portscanning, e il rilevamento del sistema operativo tramite stack TCP/IP fingerprinting viene chiamata scanning. Noi in questo articolo incentreremo la nostra attenzione sul portscanning.

• Identificare i servizi TCP o UDP in esecuzione sul dato sistema.
• Identificare quale Sistema Operativo, è presente sul dato sistema.
• Identificare applicazioni specifiche o versioni di un dato servizio sul sistema.

1. Il sistema client inizia una connessione mandando un messaggio SYN al server
2. Il server riconosce il messaggio SYN mandando il messaggio SYN-ACK al client.
3. Il client risponde con un messaggio di ACK.

A questo punto la connessione è attuata e si procede allo scambio dei dati tra client e server.

         CLIENT                              SERVER
                      SYN dal CLIENT
          |------------------------------------>
                      SYN/ACK dal SERVER
          <------------------------------------|
                      ACK dal CLIENT
          |------------------------------------>

Schema 1.1. Handshake a tre vie.

• Scan TCP connect(). Questo tipo di scan si connette alle porte dell'host e completa un handshake a tre vie (secondo lo schema descritto sopra). È facilmente rilevabile dal sistema, che lo subisce e per questo motivo difficilmente un potenziale intruso lo usa.
• Scan TCP SYN. Questo tipo di scan, viene considerato come il "cavallo di battaglia" delle varie tecniche di portscanning, ed è generalmente denominato come "scanning semi-aperto", in quanto non viene portato a termine l'handshake, e non viene compiuta una vera e propria connessione. Supponiamo di avere una porta P in un nostro host, vediamo come funziona uno scan TCP SYN:

  - MANDO UN PACCHETTO TCP SYN, alla porta P dell'host di cui sto 
    facendo il portscanning.
  
  - se RICEVO dalla porta P:
  
       * UN SYN/ACK ==> posso dedurre che P è in LISTENING.
       * UN RST/ACK ==> posso dedurre che P non è in LISTENING
  
  - MANDO UN RST/ACK per evitare, che l'handshake si completi.

• Scan TCP FIN. Tecnica di scanning basata sulla RFC 793, funziona in questo modo:

  - MANDO UN PACCHETTO TCP FIN, alla porta P dell'host di cui 
    sto facendo il portscanning.
  
  - se RICEVO dalla porta P:
       * UN RST ==> posso dedurre che la porta è chiusa;

• Scan TCP Xmas Tree. Funziona allo stesso modo del precedente, solo che manda un pacchetto con FIN, URG e PUSH impostati.
• TCP Null Scan. Questa tecnica manda un pacchetto con tutti i flag disattivati, e per quanto riguarda l'output funziona allo stesso modo dello Scan TCP FIN.
• UDP scan. Questa tecnica manda un pacchetto UDP alla porta dell'host, di cui si vuole fare lo scanning, se la data porta risponde con il messaggio ICMP port unreacheable, la porta è aperta, altresi la porta è chiusa.

Ho concluso la descrizione delle principali tecniche implementative di un portscanner, ora che sappiamo cosa fanno i portscanner, vediamo come usarli al fine di scoprire, quante e quali informazioni un possibile intruso potrebbe ottenere mediante portscanning sulla nostra rete. Per fare questi esempi, utilizzo un portscanner molto noto : Nmap.

5. Introduzione ad Nmap Nmap, prelevabile al http://www.insecure.org/nmap/index.html è un portscanner, che incorpora in se oltre a tutte le tecniche di portscannig descritte sopra, la rilevazione del sistema operativo, tramite una tecnica chiamata TCP/IP Stack FingerPrinting, di cui trovate un'ampia descrizione (anche in Italiano) al http://www.insecure.org/nmap/nmap-fingerprinting-article.html. Vediamo ora, come usare nmap, al fine di testare la nostra rete con gli occhi dell'intruso. Supponiamo che l'indirizzo, corrispondente all'host della nostra rete, che si desidera testare sia il 192.168.1.1, ed eseguiamo tutti i tipi di portscannig descritti precedentemente: