IP-сканер: назначение и принципы работы¶

IP-сканер — это программное средство (утилита, сервис или встроенная функция сетевого оборудования), предназначенное для анализа IP-адресов в заданном диапазоне или подсети с целью обнаружения активных хостов, открытых портов, запущенных служб и иной информации о сетевых устройствах. Инструменты данного класса используются администраторами для инвентаризации сети, диагностики неполадок, проверки безопасности, а также злоумышленниками на этапе разведки.

¶Назначение и решаемые задачи

Основная функция IP-сканера — определение, какие адреса из проверяемого диапазона в данный момент заняты работающими устройствами (компьютерами, серверами, принтерами, камерами, коммутаторами). Помимо простого обнаружения хостов, сканеры позволяют:

• определять MAC-адреса и производителей сетевых карт;
• выявлять открытые TCP/UDP-порты и запущенные службы;
• сопоставлять IP-адреса с именами хостов (обратное DNS-разрешение);
• оценивать время отклика и качество канала;
• обнаруживать неавторизованные (посторонние) устройства в сети;
• формировать карту сети и вести её актуализацию.

Инструменты применяются для контроля соответствия сетевой инфраструктуры документации, поиска конфликтов IP-адресов, проверки корректности работы DHCP-серверов и выявления сервисов, доступных извне.

¶Принципы работы

Технологически сканирование базируется на отправке служебных пакетов и анализе ответов. Основные методы делятся на несколько типов.

¶Методы обнаружения хостов

• ICMP-запросы (ping) — отправка эхо-запросов протокола ICMP. Наиболее простой способ, однако многие хосты и межсетевые экраны блокируют ICMP-трафик, что приводит к ложным отрицательным результатам.
• TCP-сканирование — попытка установления соединения с определёнными портами (например, 80, 443, 22). Если хост отвечает SYN-ACK, порт открыт, а хост считается активным.
• ARP-сканирование — используется в пределах одного широковещательного сегмента Ethernet. Отправка ARP-запросов позволяет гарантированно обнаружить все устройства в локальной сети, так как ARP-трафик не фильтруется межсетевыми экранами.
• UDP-сканирование — отправка датаграмм UDP; применяется реже из-за низкой надёжности и медленной работы.

¶Сканирование портов

После обнаружения активного хоста сканер проверяет состояние портов. Различают:

• TCP-connect сканирование — полное установление соединения через системный вызов; простое, но легко обнаруживается средствами защиты.
• SYN-сканирование (полуоткрытое) — отправка только SYN-пакета без завершения рукопожатия; быстрее и менее заметно, требует привилегий суперпользователя.
• FIN/Null/Xmas-сканирование — отправка пакетов с нестандартными флагами; используется для обхода простых фильтров, но ненадёжно против современных ОС.

Состояние порта классифицируется как open (открыт), closed (закрыт), filtered (фильтруется межсетевым экраном) или unfiltered.

¶Классификация инструментов

IP-сканеры различаются по сфере применения, интерфейсу и функциональности.

¶По типу интерфейса

• Консольные утилиты — работают из командной строки, подходят для скриптовой автоматизации.
• Графические приложения — предоставляют наглядные таблицы, диаграммы и карты сети.
• Веб-сервисы — онлайн-сканеры, проверяющие доступность и порты узлов из внешней сети.
• Встроенные средства — функции сканирования в операционных системах, маршрутизаторах и коммутаторах.

¶По функциональности

• Простые сканеры хостов — только проверка доступности (ping-утилиты).
• Сканеры портов — узкоспециализированные инструменты для проверки портов одного или нескольких адресов.
• Универсальные сетевые сканеры — комбинируют обнаружение хостов, сканирование портов, определение ОС и версий служб, а также сбор дополнительной информации.

¶Популярные представители

¶Nmap

Nmap (Network Mapper) — наиболее известный и функциональный сканер с открытым исходным кодом. Разработан Гордоном Лайоном (псевдоним Fyodor) в 1997 году. Поддерживает все основные методы сканирования, скриптовый движок NSE (Nmap Scripting Engine), определение версий служб и операционных систем. Работает в Linux, Windows, macOS и BSD-системах. Широко применяется как администраторами, так и специалистами по тестированию на проникновение.

¶Angry IP Scanner

Кроссплатформенная утилита с графическим интерфейсом, написанная на Java. Отличается высокой скоростью за счёт многопоточности. Позволяет сканировать диапазоны адресов, получать данные о портах, NetBIOS-информацию и экспортировать результаты в различные форматы. Распространяется бесплатно.

¶Advanced IP Scanner

Бесплатная программа для Windows с закрытым исходным кодом. Ориентирована на малые и средние сети. Предоставляет удобный интерфейс, определяет общие папки, позволяет удалённо управлять компьютерами через RDP и Radmin.

¶Masscan

Высокопроизводительный сканер портов, способный обрабатывать миллионы пакетов в секунду. Использует асинхронную модель передачи данных. Применяется для сканирования больших адресных пространств, например всего интернета. Работает в операционных системах семейства Unix.

¶SolarWinds Port Scanner

Коммерческий инструмент в составе платформы SolarWinds для мониторинга сетевой инфраструктуры. Интегрируется с другими продуктами вендора, предоставляет расширенную отчётность.

¶Области применения

¶Администрирование сетей

Сканеры используются для регулярной инвентаризации оборудования, контроля доступности критических узлов, выявления несанкционированных подключений и планирования адресного пространства.

¶Обеспечение информационной безопасности

Специалисты по безопасности применяют сканеры для аудита сети: проверки корректности настроек межсетевых экранов, обнаружения необновлённых служб с известными уязвимостями и моделирования действий потенциального злоумышленника. Регулярное сканирование является частью стандартов безопасности (например, PCI DSS).

¶Тестирование на проникновение

В рамках пентеста сканирование — первый этап после сбора информации. Специалист определяет доступные хосты, открытые порты и запущенные службы для последующего поиска уязвимостей.

¶Правовые и этические аспекты

Сканирование сетей без разрешения владельца во многих юрисдикциях может квалифицироваться как неправомерный доступ к компьютерной информации или подготовка к несанкционированному вмешательству. В России действия по сканированию чужих сетей при отсутствии согласия владельца могут подпадать под статью 272 Уголовного кодекса РФ «Неправомерный доступ к компьютерной информации». Ответственность наступает при наличии последствий в виде уничтожения, блокирования или модификации информации. Само по себе сканирование, не причинившее вреда, часто рассматривается как административное правонарушение или остаётся вне поля правового регулирования, однако судебная практика неоднородна. Этические нормы требуют проведения сканирования исключительно в отношении собственных сетей или сетей, на которые получено явное письменное разрешение.

¶Защита от сканирования

Для противодействия сканированию применяются межсетевые экраны, фильтрующие подозрительный трафик, системы обнаружения вторжений (IDS), ограничение ICMP-трафика и нестандартные конфигурации служб. Однако полностью скрыть узел от определения практически невозможно, особенно в пределах локальной сети, где используется ARP-протокол.

}