linux系统企业端口扫描策略

　　企业端口扫描策略

　　1、端口扫描的目的　　对于位于网络中的计算机系统来说，一个端口就是一个潜在的通信通道，也就是一个入侵通道。对目标计算机进行端口扫描，能得到许多有用的信息从而发现系统的安全漏洞。通过其可以使系统用户了解系统目前向外界提供了哪些服务，从而为系统用户管理网络提供了一种参考的手段。

　　从技术原理上来说，端口扫描向目标主机的TCP/UDP服务端口发送探测数据包，并记录目标主机的响应。通过分析响应来判断服务端口是打开还是关闭，就可以得知端口提供的服务或信息。

　　端口扫描也可以通过捕获本地主机或服务器的流入流出IP数据包来监视本地主机的运行情况，不仅能对接收到的数据进行分析，而且能够帮助用户发现目标主机的某些内在的弱点，而不会提供进入一个系统的详细步骤。一般说来，端口扫描的目的通常是如下的一项或者多项：

　　(1)发现开放端口：发现目标系统上开放的TCP或UDP端口;

　　(2)了解主机操作系统信息：端口扫描可以通过操作系统的“指纹”来推测被扫描操作系统或者应用程序的版本等信息;

　　(3)了解软件或者服务版本：软件或服务版本可以通过“标志获取”或者应用程序的指纹来识别获得;

　　(4)发现脆弱的软件版本：识别软件和服务的缺陷，从而有助于发起针对漏洞的攻击。

　 　端口扫描主要有经典的扫描器(全连接)以及所谓的SYN(半连接)扫描器。此外还有间接扫描和秘密扫描等。TCP扫描方式是通过与被扫描主机建立标准的 TCP连接，因此这种方式最准确，很少漏报、误报，但是容易被目标主机察觉、记录。SYN方式是通过与目标主机建立半打开连接，这样就不容易被目标主机记 录，但是扫描结果会出现漏报，在网络状况不好的情况下这种漏报是严重的。

　　2、快速安装nmap进行企业端口扫描　　 nmap是一个网络探测和安全扫描程序，系统管理者和个人可以使用这个软件扫描大型的网络，获取那台主机正在运行以及提供什么服务等信息。nmap支持很 多扫描技术，例如：UDP、TCP connect()、TCP SYN(半开扫描)、ftp代理(bounce攻击)、反向标志、ICMP、FIN、ACK扫描、圣诞树(Xmas Tree)、SYN扫描和null扫描。

　　nmap还提供了一些高级的特征，例如：通过TCP/IP协议栈特征探测操作系统类型，秘密扫 描，动态延时和重传计算，并行扫描，通过并行ping扫描探测关闭的主机，诱饵扫描，避开端口过滤检测，直接RPC扫描(无须端口影射)，碎片扫描，以及 灵活的目标和端口设定。

　　为了提高nmap在non-root状态下的性能，软件的设计者付出了很大的努力。很不幸，一些内核界面(例如raw socket)需要在root状态下使用。所以应该尽可能在root使用nmap。

　　nmap运行通常会得到被扫描主机端口的列表。nmap总会给出well known端口的服务名(如果可能)、端口号、状态和协议等信息。每个端口的状态有：open、filtered、unfiltered。

　　open状态意味着目标主机能够在这个端口使用accept()系统调用接受连接;

　　filtered状态表示防火墙、包过滤和其它的网络安全软件掩盖了这个端口，禁止 nmap探测其是否打开。

　　unfiltered表示这个端口关闭，并且没有防火墙/包过滤软件来隔离nmap的探测企图。通常情况下，端口的状态基本都是unfiltered状态，只有在大多数被扫描的端口处于filtered状态下，才会显示处于unfiltered状态的端口。

　　根据使用的功能选项，nmap也可以报告远程主机的下列特征：使用的操作系统、TCP序列、运行绑定到每个端口上的应用程序的用户名、DNS名、主机地址是否是欺骗地址、以及其它一些东西。
(责任编辑：VEVB)