Nmap comandos e dados coletados com a Descoberta sem credenciais

O Nmap é executado em fases ao coletar dados e executa um conjunto controlado de comandos do Safe com dois padrões para explorar aplicações e dispositivos.

Dados retornados pelo Nmap da Descoberta de host

O Nmap retorna os seguintes dados para um host que determina que está ativo:

• Família de sistemas operacionais : Se a família de sistemas operacionais for uma das seis famílias de sistemas operacionais de servidor compatíveis, um IC de host associado à classe de servidor apropriada será usado para criar ou atualizar o IC de host. Se a família de sistemas operacionais retornada pelo Nmap não for um dos sistemas operacionais de servidor compatíveis, um IC de host será criado ou atualizado usando a classe de hardware base [cmdb_ci_hardware].
• Endereço MAC : Se o host verificado estiver localizado na mesma sub-rede que o host do Windows MID Server que está executando os comandos do Nmap, o Nmap retornará o endereço MAC do host remoto.

Comandos executados pelo Nmap durante a Descoberta de host

O MID Server passa o endereço IP de um host remoto para o comando Nmap e um conjunto de portas, obtidas da tabela de serviço IP. O host deve ser informado pelo Nmap para estar ativo. O host estará ativo se o estado da porta retornado pelo Nmap for aberto ou aberto/filtrado . Se o host estiver ativo, a família de sistemas operacionais retornada será examinada para determinar a classe usada para criar ou atualizar o IC do host.

Comando	Descrição
-PS	A opção TCP SYN determina se o host está on-line. Esta opção que envia um pacote TCP bruto vazio com o sinalizador SYN definido para todas as portas especificadas na lista de verificação. O Nmap relata que o host está on-line se um pacote TCP SYN/ACK for retornado e se um RST for retornado, indicando que a porta está fechada. A máquina host do Nmap destrói a conexão nascente com um RST, em vez de um ACK, já que a resposta SYN/ACK é inesperada de sua perspetiva. Se várias probes de porta forem especificadas, elas serão enviadas em paralelo. Requisitos: Privilégios de pacote bruto. Deve ser executado como raiz no UNIX. Privilégios de administrador no Windows.
-PA	Detecta dispositivos de filtragem de pacotes. Esta opção é uma Descoberta de host TCP ACK, usando uma lista especificada de portas. Se nenhuma lista for definida, a porta padrão 80 será usada. O Nmap envia um pacote TCP bruto vazio com o sinalizador ACK definido. Esta ação reconhece dados em uma conexão TCP estabelecida, fazendo com que o host remoto responda com um pacote RST. Se o host remoto responder com um pacote RST, o Nmap saberá que o host está online. A probe de ping de ACK pode passar pela filtragem de pacotes SYN de TCP por filtragem de pacotes sem estado, entidades de rede, como firewalls, roteadores e tabelas de roteamento de host/software de firewall. Firewalls com monitoramento de estado descartam pacotes inesperados, fazendo com que o pacote ACK seja descartado, o que aumenta a probabilidade de a probe SYN TCP passar. Requisitos: Privilégios de pacote bruto. Deve ser executado como raiz no UNIX. Privilégios de administrador no Windows. Nota: Ping SYN (-ps) e Ping ACK (-pa) podem ser configurados juntos na mesma tentativa de verificação.
-O	Habilita a detecção de SO em relação a um host remoto que fornece o nome do fornecedor, o SO subjacente, a geração do SO e o tipo de dispositivo, como um roteador ou um switch. O Nmap usa fingerprinting de pilha TCP/IP para determinar a família de SO em execução no host. O Nmap envia uma série de pacotes TCP e UPD para o host e examina as respostas. Depois de testar as respostas completamente, o Nmap compara os resultados com o ITS nmap-os-db E imprime os detalhes do SO, se houver uma correspondência. Se o Nmap não for capaz de adivinhar o SO e pelo menos uma porta aberta e uma porta fechada forem encontradas, ele gerará uma impressão digital e uma URL para enviar nmap.org . A detecção DE SO não usa scripts do Nmap Scripting Engine (NSE). A detecção DE SO é executada após a detecção da versão da aplicação/serviço, o que ajuda na precisão da detecção de SO. No entanto, os resultados dos dois tipos de verificação podem ser contraditórios. A Detecção de SO é executada na camada de transporte TCP, enquanto a Detecção de versão de aplicação/serviço é executada em um nível mais alto na pilha TCP. Requisitos: Privilégios de pacote bruto. Deve ser executado como raiz no UNIX. Privilégios de administrador no Windows.
-p	Lista de portas a serem verificadas.
-T4	Nmap agressivo modelo de tempo.
v	Habilitar detalhe detalhado. Este comando é normalmente usado para fornecer indicação de andamento aos visualizadores da saída padrão. No entanto, isso pode fazer com que os scripts do Nmap Scripting Engine (NSE) forneçam detalhes adicionais.
-PN	Desabilite o ping padrão. Este comando ignora a fase de verificação de descoberta de host inicial do Nmap e trata todos os hosts como se estivessem online. Use este comando se você quiser uma verificação de porta, mesmo que o conjunto de portas executado pelas probes de Descoberta padrão não encontre uma porta aberta.
-r	Verificar portas consecutivamente, sem randomizar.
--motivo	Explica por que o Nmap classificou uma porta com um estado específico.
--system-dns	Use o resolvedor de DNS do sistema operacional para pesquisa de DNS reversa, em vez de os servidores de nomes DNS. Esta opção é mais lenta do que usar servidores DNS, já que só pode resolver um endereço IP de cada vez, enquanto várias solicitações de rDNS são executadas em paralelo. No entanto, o valor retornado corresponde ao valor retornado pelo MID Server que é usado para criar ICs de host.
-X -	Redireciona stdout Para um arquivo XML.
2> > file-path >	Redireciona mensagens de erro escritas pelo Nmap para stderr para o arquivo especificado.

Dados retornados pelo Nmap durante a Descoberta de aplicações

O Nmap retorna os seguintes dados da aplicação de um host que determina que está ativo:

• Estado da porta :
  • aberto : Uma aplicação está aceitando ativamente pacotes TCP (ou UDP) na porta.
  • aberto|filtrado Nmap não pode determinar se a porta está aberta ou filtrada. Uma porta aberta pode não retornar uma resposta ao usar as varreduras UDP, IP, FIN, NULL e XMAS do Nmap.
• Nome do serviço : Nome do serviço que aceita ativamente pacotes TCP (ou UDP) na porta de serviço.
• Produto de serviço : Nome da aplicação em execução na porta aberta, conforme identificado pelo Nmap.
• Informações de serviço extras : Qualquer informação adicional retornada pelo Nmap que a Descoberta pode usar para identificar a aplicação.

Comandos executados pelo Nmap durante a Descoberta de aplicações

O MID Server passa um endereço IP de um host remoto para o comando Nmap e uma porta para verificar. O Nmap tenta identificar a aplicação que escuta ativamente na porta e, em seguida, determina se deve criar um novo IC ou atualizar um existente. O host deve ser informado pelo Nmap para estar ativo.

O Nmap usa essas informações para determinar qual curso fazer:

• Produto de serviço
• Nome do serviço
• Informações de serviço extras
• Estado da porta verificada
  Nota:

  Os valores do produto de serviço e do nome do serviço não podem ser NULOS e o nome do serviço não pode terminar com um ponto de interrogação. O Nmap anexa um ponto de interrogação a um nome de serviço quando adivinha a aplicação que escuta na porta verificada. A instância não cria nem atualiza um IC de aplicação se o Nmap não puder recuperar o nome da aplicação da estática nmap-services arquivo de registro.

Comando	Descrição
SS	TCP SYN (stealth) verificação de porta. Esta é a opção de verificação padrão e nunca conclui conexões TCP. As verificações podem diferenciar entre as portas que são aberto , encerrado , ou filtrado . A verificação SYN do TCP implementa uma redefinição parcialmente aberta que aborta a solicitação antes que a conexão possa ser estabelecida. A porta é aberto (A aplicação está escutando) se um SYN/ACK for retornado. A porta é encerrado Se um RST for retornado. Se nenhuma resposta for recebida após várias retransmissões, a porta será marcada filtrado . A porta também será marcada como filtrada se um erro ICMP inacessível (tipo 3, código 1,2,3,9,10,13) for recebido. Requisitos: Privilégios de pacote bruto Deve ser executado como raiz Privilégios de administrador do Windows
-Sv	Probe portas abertas para determinar o protocolo de serviço, o nome da aplicação, o número da versão, o nome do host, o tipo de dispositivo, família DO SO e detalhes diversos, como a versão do protocolo SSH. Quando o Nmap recebe uma resposta, ele não pode corresponder ao banco de dados, ele imprime uma impressão digital e uma URL para envio nmap.org . Se procurar o número da porta em sua estática nmap-services arquivo de registro para determinar o nome de um serviço de aplicações que pode estar ouvindo ativamente na porta. O nome do serviço retornado pelo Nmap é anexado com um ponto de interrogação, indicando que o Nmap teve que adivinhar sua identidade. A instância não cria ou atualiza um IC de aplicação quando o Nmap adivinha a aplicação em execução em uma porta aberta. Nota: Este comando não requer privilégios de pacote bruto.
--datadir	Caminho para o diretório que contém o conjunto Safe de scripts do Nmap a serem executados durante a detecção de aplicação/versão.
-p	Porta única para verificar.
-T4	Nmap agressivo modelo de tempo.
v	Habilitar detalhe detalhado. Este comando é normalmente usado para fornecer indicação de andamento aos visualizadores da saída padrão. No entanto, isso pode fazer com que os scripts do Nmap Scripting Engine (NSE) forneçam detalhes adicionais.
-PN	Desabilite o ping padrão. Este comando ignora a fase de verificação de descoberta de host inicial do Nmap e trata todos os hosts como se estivessem online. Use este comando se você quiser uma verificação de porta, mesmo que o conjunto de portas executado pelas probes de Descoberta padrão não encontre uma porta aberta.
-r	Verificar portas consecutivamente, sem randomizar.
--motivo	Explica por que o Nmap classificou uma porta com um estado específico.
--system-dns	Use o resolvedor de DNS do sistema operacional para pesquisa de DNS reversa, em vez de os servidores de nomes DNS. Esta opção é mais lenta do que usar servidores DNS, já que só pode resolver um endereço IP de cada vez, enquanto várias solicitações de rDNS são executadas em paralelo. No entanto, o valor retornado corresponde ao valor retornado pelo MID Server que é usado para criar ICs de host.
-X -	Redireciona stdout Para um arquivo XML.
2> > file-path >	Redireciona mensagens de erro escritas pelo Nmap para stderr para o arquivo especificado.