We support browsers, not dinosaurs. Please update your browser if you want to see the content of this webpage correctly.

ポート スキャンとは?

ポート スキャンとは、ネットワーク上のどのポートが開いていて、データの送受信が可能かを確認する方法です。ホスト上の特定のポートにパケットを送信したり、応答を分析して脆弱性を特定したりするプロセスでもあります。このスキャン プロセスを実行するには、アクティブなホストのリストを特定し、それらのホストを IP アドレスにマッピングする必要があります。綿密なネットワーク スキャンを完了し、ホスト リストをまとめると、適切なポート スキャンが行えます。IP アドレス、ホスト、ポートが整っていれば、オープンまたは脆弱なサーバーの場所を適切に特定でき、最終的にセキュリティ レベルの診断を行えます。

これらのスキャンでは、サーバーとユーザーのデバイス間のファイアウォールなど、実施されているセキュリティ対策の存在を確認できます。

サイバー攻撃者も管理者も、これらのスキャンを使用してネットワークのセキュリティ ポリシーを検証または確認し、脆弱性を特定できます。攻撃者の場合はそれを基に脆弱なエントリ ポイントを悪用します。

ポート スキャンに使用される一般的なプロトコルは TCP (トランスミッション コントロール プロトコル)と UDP(ユーザー データグラム プロトコル)です。どちらもインターネットのデータ転送方式ですが、仕組みが異なります。TCP は信頼性の高い双方向接続ベースのデータ転送で、送信の完了は通信相手のステータスに依存します。UDP はコネクションレス型で、信頼性はありません。通信相手の状態を考慮せずにデータが送信されるため、データが到達するかどうかの保証はありません。これら 2 つのプロトコルを使用したポート スキャンを実行する方法はほかにもいくつかありますが、詳細は以下の「テクニック」セクションで説明します。

ポートとは?

コンピューターのポートは、プログラムまたはインターネットからデバイスまたはネットワーク上の他のコンピューターへ情報の流れ(また、その逆)のドッキング ステーションとして働きます。電子媒体、ソフトウェア、プログラム関連のメカニズムを介してデータを交換するための駐車場のようなものです。ポート番号は、一貫性の保持とプログラミングのために使用されます。ポート番号と IP アドレスの組み合わせは、インターネット サービス プロバイダーが要求に応えるために不可欠な情報です。ポートは 0~65536 まであり、基本的に使用頻度に応じてランク付けされます。

ポート 0~1023 は、インターネット用に設計された「ウェルノウン ポート番号」ですが、特殊目的にも使用できます。これらは、Internet Assigned Numbers Authority(IANA、インターネット番号割当機関)によって管理されています。これらのポートは、Apple QuickTime、MSN、SQL サーバー、他の有名組織などの一流企業に割り当てられています。他のよく使用されるポートと割り当てられたサービスは以下のとおりです。

  • ポート 20(UDP)は、データ転送に使用されるファイル転送プロトコル(FTP)に割り当てられています
  • ポート 22(TCP)は、セキュアなログイン、FTP、ポート転送などの Secure Shell(SSH)に割り当てられています
  • ポート 53(UDP)は、名前を IP アドレスに変換する Domain Name System(DNS)に割り当てられています
  • ポート 80(TCP)は、World Wide Web HTTP に割り当てられています

1024~49151 の番号は「登録済みポート」とされ、ソフトウェア企業によって登録されています。ポート 49151~65536は、ダイナミック ポートとプライベート ポートで、ほぼ誰でも使用できます。

ポート スキャンから得られる結果の種類。

ユーザーに返されるポート スキャンのレポートには、ネットワークまたはサーバーのステータスが、オープン、クローズド、フィルター済みのいずれかのカテゴリで記載されます。

オープンポート:

ターゲットのサーバーまたはネットワークが能動的に接続またはデータグラムを受け入れており、リスニングしていることを示すパケットで応答した場合。さらに、スキャンに使用されたサービス(通常は TCP または UDP)が使用中であることを示します。通常、オープンポートはポート スキャンの最終的なゴールであり、攻撃の道筋を探しているサイバー犯罪者にとっての標的です。管理者はファイアウォールをインストールすることで、正規のユーザーのアクセスに影響を与えることなく、これらのポートにバリケードを設置して保護しようとします。

クローズド ポート:

サーバーまたはネットワークに要求は届いたが、そのポートを「リスニング」しているサービスがない場合。クローズド ポートにアクセスすることは可能で、ホストが IP アドレス上にあることを確認する方法として使用できます。ポートが開いて脆弱性が生じる可能性もあるため、これらのポートも監視する必要があります。管理者は、ファイアウォールを使用して「フィルター済み」ポートにすることでブロックできます。

フィルター済みポート:

要求パケットが送信されたが、ホストが応答せず、リスニングしていない場合。通常、これは要求パケットがフィルターで除外された、またはファイアウォールでブロックされたことを示します。パケットはターゲットの場所に到達しないため、攻撃者がそれ以上の情報を得ることはできません。ほとんどの場合、「接続先なし」または「通信が禁止されています」というエラー メッセージが返されます。

ポート スキャンに使用されるテクニック。

ポート スキャンには、接続先にさまざまな理由でパケットを送信する複数のテクニックがあります。

以下は、テクニックの一部とその仕組みです。

  • 最もシンプルなポート スキャンは、Ping スキャンと呼ばれます。これは、インターネット コントロール メッセージ プロトコル(ICMP)要求です。Ping スキャンは、複数の自動化された ICMP 要求をさまざまなサーバーに送り、応答を待ちます。管理者はこのテクニックを使用してトラブルシューティングを行ったり、ファイアウォールを使用して ping を無効にすることで、ping を介してネットワークが検出されないようにしたりできます。
  • ハーフオープン スキャン、または SYN スキャンでは、SYN(synchronize の略語)メッセージのみを送信し、接続を完了せずターゲットをハングの状態にします。ターゲットのデバイス上で開いている可能性のあるポートを探すときに使用される、簡単かつ検知されにくいテクニックです。
  • XMAS スキャンはさらに見つかりにくいスキャン方法です。主に警戒されるのは SYN パケットであるため、FIN パケット(「送信元からこれ以上のデータはありません」というメッセージ)はファイアウォールに気づかれることなく通過することがあります。そのため、XMAS スキャンは FIN を含むすべてのフラグが付いたパケットを送信し、応答がなければそのポートが開いていることを察知します。RST 応答があった場合は、そのポートが閉じていることがわかります。このスキャンはログに残ることがほとんどないため、ネットワークの保護やファイアウォールに関する情報をこっそりと確認できます。

サイバー犯罪者がポート スキャンを攻撃手段として使用する方法。

SANS Institute によると、ポート スキャンはサイバー攻撃者が突破できそうな脆弱なサーバーを探すときに最もよく使用する手法の 1 つです。

ポート スキャンは、ネットワークを標的とするときの予備段階としてよく使用されます。犯罪者はスキャンを使用してさまざまな組織のセキュリティ レベルを綿密に調べ、強力なファイアウォールを持つ組織はどれか、攻撃しやすいサーバーまたはネットワークはどれかを確認します。いくつかの TCP プロトコル テクニックは、犯罪者のネットワーク位置を隠すために使用できます。犯罪者は「おとりのトラフィック」を使用して、ターゲットにネットワーク アドレスを知られることなくポート スキャンを実行します。

彼らはネットワークとシステムを徹底的に調べ、どのポートが反応するか、オープンか、クローズドか、フィルター済みかを確認します。オープンまたはクローズドの応答があると、ネットワークが実際にスキャンを受けたということがハッカーに伝わります。そうすると、セキュリティのレベルと使用しているオペレーティング システムの種類がハッカーに調べられます。ポート スキャンは古い手法であり、プロトコルとセキュリティ ツールは日々進化しているためセキュリティの変更と最新の脅威インテリジェンスが必要です。ポートへのトラフィックを監視し、悪意のあるトラフィックにネットワークを検知されないようにするには、ポート スキャンのアラートとファイアウォールが必要です。