Attaque par scan de port et prévention

Les attaquants utilisent l’attaque par balayage de port pour déterminer quels ports de votre routeur ou du réseau sont ouverts et disponibles. En lançant une attaque par balayage de port sur un routeur ou sur un réseau, l’attaquant saura quels ports sont ouverts et écoutent des informations. Il peut également savoir quelle version de l’application est utilisée. Tout cela aidera l’attaquant à utiliser le balayage de port comme une « porte » pour lancer une attaque et pénétrer dans notre réseau.

Nous avons déjà vu le balayage de port dans ce livre lorsque nous avons utilisé NMAP pour découvrir les ports ouverts sur le routeur MikroTik. C’est exactement ce qu’est le balayage de port.

Faisons directement un LAB pour voir comment l’attaque par balayage de port se déroule et comment nous pouvons nous en protéger.

LAB: Attaque et Prévention par Balayage de Port

Je suis toujours confronté au même scénario. L’attaquant est sur Internet et il souhaite effectuer un balayage de port vers notre routeur qui a une IP publique.

Avec l’aide de NMAP sur Kali Linux, un balayage de port peut se dérouler comme suit :

Vous pouvez voir que l’attaque par balayage de port fonctionne sur mon routeur MikroTik.

Nous devons maintenant empêcher le balayage de port de se produire. Pour ce faire, nous devons réfléchir à la logique : où le balayage de port se produit-il normalement ?

Cela signifie que l’attaque par balayage de port frappe le routeur en essayant de deviner si ses ports sont ouverts, ou qu’elle passe par le routeur pour aller vers les appareils internes afin de deviner les ports ouverts sur ces appareils.

Cela signifie que je dois désactiver le scan de port comme suit :

Vers le routeur (hint : chain input).
Via le routeur (hint : chain forward).

Commençons par la première règle. Dans cette règle, je vais devoir détecter s’il y a une attaque par balayage de port sur le routeur, et si oui, l’IP de la source émettant cette attaque ira dans une liste d’adresses. La règle qui suivra directement sera de laisser tomber n’importe quelle IP qui se trouve dans la liste d’adresses de la première règle.

Laissez-moi vous montrer cela :

Cette règle stipule que tout trafic TCP arrivant sur le routeur lui-même sur le port Ether1 et effectuant un balayage de port, ajoute l’adresse IP source dans une liste d’adresses appelée « Port-Scan » et la laisse en attente pendant 1 jour.