Comandos Nmap e dados coletados com o Discovery sem credencial

Dados retornados pelo Nmap da Descoberta do host

O Nmap retorna os seguintes dados para um host que ele determina que está ativo:

Família desistemas operacionais: se a família de sistemas operacionais for uma das seis famílias de sistemas operacionais de servidor compatíveis, um IC de host associado à classe de servidor apropriada será usado para criar ou atualizar o IC de host. Se a família de sistemas operacionais retornada pelo Nmap não for um dos sistemas operacionais de servidor compatíveis, um IC de host será criado ou atualizado usando a classe Hardware [cmdb_ci_hardware] base.
Endereço MAC: se o host verificado estiver localizado na mesma sub-rede que o host do Windows MID Server que está executando os comandos Nmap, o Nmap retornará o endereço MAC do host remoto.

Comandos executados pelo Nmap durante a Descoberta do host

O MID Server passa o endereço IP de um host remoto para o comando Nmap e um conjunto de portas, obtido da tabela Serviço IP. O host deve ser relatado pelo Nmap como ativo. O host está ativo se o estado da porta retornado pelo Nmap for aberto ou aberto/filtrado. Se o host estiver ativo, a família do sistema operacional retornada será examinada para determinar a classe usada para criar ou atualizar o IC do host.


Comando	Descrição
-PS	A opção TCP SYN determina se o host está online. Esta opção que envia um pacote TCP bruto vazio com o sinalizador SYN definido para todas as portas especificadas na lista de verificação. O Nmap relata que o host está online se um pacote TCP SYN/ACK for retornado e se um RST for retornado, indicando que a porta está fechada. A máquina host Nmap desativa a conexão nascente com um RST, em vez de um ACK, já que a resposta SYN/ACK é inesperada de sua perspectiva. Se vários probes de porta forem especificados, eles serão enviados em paralelo. Requisitos: Privilégios de pacote bruto. Deve ser executado como raiz no UNIX. Privilégios de administrador no Windows.
-PA	Detecta dispositivos de filtragem de pacotes. Esta opção é uma Descoberta de host de ACK de TCP, usando uma lista especificada de portas. Se nenhuma lista for definida, a porta padrão 80 será usada. O Nmap envia um pacote TCP bruto vazio com o sinalizador ACK definido. Esta ação confirma os dados em uma conexão TCP estabelecida, fazendo com que o host remoto responda com um pacote RST. Se o host remoto responder com um pacote RST, o Nmap saberá que o host está online. A probe de ping de ACK pode passar pela filtragem de pacotes TCP SYN por filtragem de pacotes sem estado, entidades de rede, como firewalls, roteadores e tabelas de roteamento de host/software de firewall. Os firewalls com estado descartam pacotes inesperados, fazendo com que o pacote ACK seja descartado, o que aumenta a probabilidade de a probe SYN TCP passar. Requisitos: Privilégios de pacote bruto. Deve ser executado como raiz no UNIX. Privilégios de administrador no Windows. Nota: Os tipos de pacote Ping SYN (-PS) e Ping ACK (-PA) podem ser configurados juntos na mesma tentativa de verificação.
-O	Habilita a detecção de SO em um host remoto fornecendo o nome do fornecedor, SO subjacente, geração de SO e tipo de dispositivo, como um roteador ou um comutador. O Nmap usa impressão digital de pilha TCP/IP para determinar a família do SO em execução no host. O Nmap envia uma série de pacotes TCP e UPD para o host e examina as respostas. Depois de testar as respostas completamente, o Nmap compara os resultados com o banco de dados nmap-os-db e imprime os detalhes do sistema operacional, se houver uma correspondência. Se o Nmap não conseguir adivinhar o sistema operacional e pelo menos uma porta aberta e uma porta fechada forem encontradas, ele gerará uma impressão digital e um URL para enviar para nmap.org. A detecção de SO não usa scripts do Nmap Scripting Engine (NSE). A detecção do SO é executada após a detecção da versão da aplicação/serviço, o que ajuda na precisão da detecção do SO. No entanto, os resultados dos dois tipos de verificação podem ser contraditórios. A detecção de SO é executada na camada de transporte TCP, enquanto a detecção de versão de serviço/aplicação é executada em um nível superior na pilha TCP. Requisitos: Privilégios de pacote bruto. Deve ser executado como raiz no UNIX. Privilégios de administrador no Windows.
-p	Lista de portas a serem verificadas.
-T4	Modelo de tempo agressivo Nmap.
-v	Habilitar detalhe detalhado. Este comando é normalmente usado para fornecer indicação de andamento para visualizadores de saída padrão. No entanto, isso pode fazer com que os scripts do Nmap Scripting Engine (NSE) forneçam detalhes adicionais.
-Pn	Desabilite o ping padrão. Este comando ignora a fase inicial de verificação de descoberta do host Nmap e trata todos os hosts como se estivessem online. Use este comando se quiser uma verificação de porta, mesmo que o conjunto de portas executado pelos probes do Discovery padrão não encontre uma porta aberta.
-r	Verificar portas consecutivamente, sem aleatoriedade.
--motivo	Explica por que o Nmap classificou uma porta com um estado específico.
--system-dns	Use o resolvedor de DNS do sistema operacional para pesquisa DNS reversa, em vez dos servidores de nomes DNS. Esta opção é mais lenta do que usar servidores DNS, já que ela só pode resolver um endereço IP de cada vez, enquanto várias solicitações de rDNS são realizadas em paralelo. No entanto, o valor retornado corresponde ao valor retornado pelo MID Server que é usado para criar ICs de host.
-X-	Redireciona o `stdout` para um arquivo XML.
2> <caminho do arquivo>	Redireciona mensagens de erros gravadas pelo Nmap para `stderr` para o arquivo especificado.

Dados retornados pelo Nmap durante a Descoberta da aplicação

O Nmap retorna os seguintes dados da aplicação de um host que ele determina que está ativo:

Estado da porta:
- open: uma aplicação está aceitando ativamente pacotes TCP (ou UDP) na porta.
- open|filtered: o Nmap não pode determinar se a porta está aberta ou filtrada. Uma porta aberta pode não retornar uma resposta ao usar UDP do Nmap, protocolo IP, verificações FIN, NULL e Xmas.
Nome doserviço: nome do serviço que aceita ativamente pacotes TCP (ou UDP) na porta de serviço.
Produto de serviço: nome da aplicação em execução na porta aberta, conforme identificado pelo Nmap.
Informações de serviço extra: qualquer informação adicional retornada pelo Nmap que o Discovery possa usar para identificar a aplicação.

Comandos executados pelo Nmap durante a Descoberta da aplicação

O MID Server passa um endereço IP de um host remoto para o comando Nmap e uma porta a ser verificada. O Nmap tenta identificar a aplicação que está ouvindo ativamente na porta e, em seguida, determina se ela deve criar um novo IC ou atualizar um existente. O host deve ser relatado pelo Nmap como ativo.

O Nmap usa essas informações para determinar qual curso fazer:

Produto de serviço
Nome do serviço
Informações de serviço extra
Estado da porta verificada
Nota:
Os valores do produto do serviço e do nome do serviço não podem ser NULOS e o nome do serviço não pode terminar com um ponto de interrogação. O Nmap anexa um ponto de interrogação a um nome de serviço quando adivinha a aplicação que está ouvindo na porta escaneada. A instância não criará ou atualizará um IC da aplicação se o Nmap não puder recuperar o nome da aplicação de seu arquivo de registro estático nmap-services.


Comando	Descrição
-sS	Verificação de porta TCP SYN (invisível). Esta é a opção de verificação padrão e nunca conclui as conexões TCP. As verificações podem diferenciar entre portas que estão abertas, fechadasou filtradas. A verificação SYN de TCP implementa uma redefinição semiaberta que anula a solicitação antes que a conexão possa ser estabelecida. A porta está aberta (a aplicação está ouvindo) se um SYN/ACK for retornado. A porta será fechada se um RST for retornado. Se nenhuma resposta for recebida após várias retransmissões, a porta será marcada como filtrada. A porta também será marcada como filtrada se um erro de ICMP inatingível (tipo 3, código 1,2,3,9,10,13) for recebido. Requisitos: Privilégios de pacote bruto Deve ser executado como raiz Privilégios de administrador do Windows
-sV	As probes abrem portas para determinar o protocolo de serviço, nome da aplicação, número da versão, nome do host, tipo de dispositivo, família de SO e detalhes diversos, como a versão do protocolo SSH. Quando o Nmap recebe uma resposta que não pode corresponder ao banco de dados, ele imprime uma impressão digital e um URL para enviar para nmap.org. Se procura o número da porta em seu arquivo de registro estático nmap-services para determinar o nome de um serviço de aplicativos que pode estar ouvindo ativamente na porta. O nome do serviço retornado pelo Nmap é anexado com um ponto de interrogação, indicando que o Nmap teve que adivinhar sua identidade. A instância não cria ou atualiza um IC da aplicação quando o Nmap adivinha a aplicação em execução em uma porta aberta. Nota: Este comando não requer privilégios de pacote bruto.
--datadir	Caminho para o diretório que contém o conjunto seguro de scripts Nmap a serem executados durante a detecção da aplicação/versão.
-p	Porta única a ser verificada.
-T4	Modelo de tempo agressivo Nmap.
-v	Habilitar detalhe detalhado. Este comando é normalmente usado para fornecer indicação de andamento para visualizadores de saída padrão. No entanto, isso pode fazer com que os scripts do Nmap Scripting Engine (NSE) forneçam detalhes adicionais.
-Pn	Desabilite o ping padrão. Este comando ignora a fase inicial de verificação de descoberta do host Nmap e trata todos os hosts como se estivessem online. Use este comando se quiser uma verificação de porta, mesmo que o conjunto de portas executado pelos probes do Discovery padrão não encontre uma porta aberta.
-r	Verificar portas consecutivamente, sem aleatoriedade.
--motivo	Explica por que o Nmap classificou uma porta com um estado específico.
--system-dns	Use o resolvedor de DNS do sistema operacional para pesquisa DNS reversa, em vez dos servidores de nomes DNS. Esta opção é mais lenta do que usar servidores DNS, já que ela só pode resolver um endereço IP de cada vez, enquanto várias solicitações de rDNS são realizadas em paralelo. No entanto, o valor retornado corresponde ao valor retornado pelo MID Server que é usado para criar ICs de host.
-X-	Redireciona o `stdout` para um arquivo XML.
2> <caminho do arquivo>	Redireciona mensagens de erros gravadas pelo Nmap para `stderr` para o arquivo especificado.