Nmap-Befehle und mit der anmeldedatenlosen Erkennung erfasste Daten

Nmap wird beim Erfassen von Daten in Phasen ausgeführt und führt einen kontrollierten Satz sicherer Befehle mit zwei Mustern zum Untersuchen von Anwendungen und Geräten aus.

Daten, die von Nmap von der Host-Discovery zurückgegeben werden

Nmap gibt die folgenden Daten für einen Host zurück, der bestimmt wird, dass er aktiv ist:

• Betriebssystemfamilie : Wenn die Betriebssystemfamilie eine der sechs unterstützten Serverbetriebssystemfamilien ist, wird ein Host-CI verwendet, das der entsprechenden Serverklasse zugeordnet ist, um das Host-CI zu erstellen oder zu aktualisieren. Wenn die von Nmap zurückgegebene Betriebssystemfamilie nicht eines der unterstützten Serverbetriebssysteme ist, wird ein Host-CI mit der Basishardware-Klasse [cmdb_ci_Hardware] erstellt oder aktualisiert.
• MAC-Adresse : Wenn sich der gescannte Host im selben Subnetz wie der Windows MID-Server-Host befindet, der die Nmap-Befehle ausführt, gibt Nmap die MAC-Adresse des Remote-Hosts zurück.

Befehle, die von Nmap während der Host-Discovery ausgeführt werden

Der MID-Server übergibt die IP-Adresse eines Remote-Hosts an den Befehl „Nmap“ und einen Satz von Ports, die aus der Tabelle „IP-Service“ übernommen werden. Der Host muss von Nmap gemeldet werden, um aktiv zu sein. Der Host ist aktiv, wenn der von Nmap zurückgegebene Portstatus lautet Offen Oder Geöffnet/gefiltert . Wenn gemeldet wird, dass der Host aktiv ist, wird die zurückgegebene Betriebssystemfamilie überprüft, um die Klasse zu bestimmen, die zum Erstellen oder Aktualisieren des Host-CI verwendet wird.

Befehl	Beschreibung
-PS	Die TCP-SYN-Option bestimmt, ob der Host online ist. Diese Option sendet ein leeres TCP-Rohpaket mit der SYN-Kennzeichnung an alle angegebenen Ports in der Scan-Liste. Nmap meldet, dass der Host online ist, wenn ein SYN/ACK-TCP-Paket zurückgegeben wird und wenn ein RST zurückgegeben wird, was angibt, dass der Port geschlossen ist. Der Nmap-Hostcomputer zerlegt die im Entstehen befindliche Verbindung mit einem RST anstelle einer ACK, da die SYN/ACK-Antwort aus ihrer Perspektive unerwartet ist. Wenn mehrere Port-Probes angegeben sind, werden sie parallel gesendet. Anforderungen: Rohpaketberechtigungen. Muss als Stamm unter UNIX ausgeführt werden. Administratorrechte unter Windows.
-PA	Erkennt Paketfilterungsgeräte. Diese Option ist eine TCP-ACK-Host-Discovery, die eine angegebene Liste von Ports verwendet. Wenn keine Liste definiert ist, wird der Standardport 80 verwendet. Nmap sendet ein leeres TCP-Rohpaket mit festgelegter ACK-Kennzeichnung. Diese Aktion bestätigt Daten über eine hergestellte TCP-Verbindung, wodurch der Remote-Host mit einem RST-Paket antwortet. Wenn der Remote-Host mit einem RST-Paket antwortet, weiß Nmap, dass der Host online ist. Die ACK-Ping-Probe kann die Paketfilterung von TCP-SYN-Paketen nach statusloser Paketfilterung, Netzwerkentitäten wie Firewalls, Routern und Host-Routingtabellen/Firewall-Software vergehen. Statusbehaftete Firewalls legen unerwartete Pakete ab, was dazu führt, dass das ACK-Paket verworfen wird, was die Wahrscheinlichkeit erhöht, dass die SYN-TCP-Probe durchkommt. Anforderungen: Rohpaketberechtigungen. Muss als Stamm unter UNIX ausgeführt werden. Administratorrechte unter Windows. Hinweis: Sowohl die Pakettypen Ping-SYN (-PS) als auch Ping-ACK (-PA) können zusammen im selben Scan-Versuch konfiguriert werden.
-O	Aktiviert die BS-Erkennung für einen Remote-Host, der den Lieferantennamen, das zugrunde liegende Betriebssystem, die BS-Generierung und den Gerätetyp bereitstellt, z. B. einen Router oder einen Switch. Nmap verwendet TCP/IP-Stapelfingerabdruck, um die auf dem Host ausgeführte BS-Familie zu bestimmen. Nmap sendet eine Reihe von TCP- und UPD-Paketen an den Host und untersucht die Antworten. Nachdem die Antworten gründlich getestet wurden, vergleicht Nmap die Ergebnisse mit nmap-os-DB Datenbank und druckt die BS-Details, wenn eine Übereinstimmung vorhanden ist. Wenn Nmap das Betriebssystem nicht erraten kann und mindestens ein offener Port und ein geschlossener Port gefunden wurden, werden ein Fingerabdruck und eine URL generiert, an die übermittelt werden soll nmap.org . Die BS-Erkennung verwendet keine Skripts aus der Nmap-Skripting-Engine (NSE). Die BS-Erkennung wird nach der Erkennung von Anwendungs-/Serviceversionen ausgeführt, was die Genauigkeit der BS-Erkennung unterstützt. Die Ergebnisse der beiden Scan-Typen können jedoch widersprüchlich sein. Die BS-Erkennung wird auf der TCP-Transportebene ausgeführt, während die Anwendungs-/Serviceversionserkennung auf einer höheren Ebene im TCP-Stapel ausgeführt wird. Anforderungen: Rohpaketberechtigungen. Muss als Stamm unter UNIX ausgeführt werden. Administratorrechte unter Windows.
-P	Liste der zu scannenden Ports.
-T4	Nmap Aggressiv Zeitvorlage.
-V	Aktivieren Sie ausführliche Details. Dieser Befehl wird normalerweise verwendet, um Betrachtern der Standardausgabe Fortschrittsanzeige bereitzustellen. Dies kann jedoch dazu führen, dass die Skripts der Nmap-Skriptmodul (NSE) zusätzliche Details bereitstellen.
-Pn	Deaktivieren Sie den Standard-Ping. Dieser Befehl überspringt die anfängliche Scan-Phase der Nmap-Host-Discovery und behandelt alle Hosts so, als wären sie online. Verwenden Sie diesen Befehl, wenn Sie einen Port-Scan wünschen, auch wenn der Satz von Ports, der von den Standard-Discovery-Probes ausgeführt wird, keinen offenen Port findet.
-R	Ports nacheinander ohne Randomisierung scannen.
--Grund	Erklärt, warum Nmap einen Port mit einem bestimmten Status klassifiziert hat.
--System-dns	Verwenden Sie den DNS-Resolver des Betriebssystems für die umgekehrte DNS-Suche anstelle der DNS-Namensserver. Diese Option ist langsamer als die Verwendung von DNS-Servern, da sie jeweils nur eine IP-Adresse auflösen kann, während mehrere rDNS-Anforderungen parallel ausgeführt werden. Der zurückgegebene Wert stimmt jedoch mit dem vom MID-Server zurückgegebenen Wert überein, der zum Erstellen von Host-CIs verwendet wird.
-X –	Umleitungen Stdout In eine XML-Datei.
2> < Dateipfad >	Leitet Fehlermeldungen, die von Nmap geschrieben wurden, an um Stderr In die angegebene Datei.

Daten, die von Nmap während der Anwendungs-Discovery zurückgegeben werden

Nmap gibt die folgenden Anwendungsdaten von einem Host zurück, der bestimmt wird, dass er aktiv ist:

• Portstatus :
  • Offen : Eine Anwendung akzeptiert aktiv TCP-Pakete (oder UDP-Pakete) am Port.
  • Öffnen|gefiltert : Nmap kann nicht bestimmen, ob der Port geöffnet oder gefiltert ist. Ein offener Port gibt möglicherweise keine Antwort zurück, wenn Nmaps UDP-, IP-Protokoll-, FIN-, Null- und XMAS-Scans verwendet werden.
• Servicename : Name des Service, der TCP- (oder UDP-) Pakete am Service-Port aktiv akzeptiert.
• Serviceprodukt : Name der Anwendung, die auf dem offenen Port ausgeführt wird, wie von Nmap identifiziert.
• Zusätzliche Serviceinformationen : Alle zusätzlichen Informationen, die von Nmap zurückgegeben werden, die Discovery zur Identifizierung der Anwendung verwenden kann.

Befehle, die von Nmap während der Anwendungs-Discovery ausgeführt werden

Der MID-Server übergibt eine IP-Adresse für einen Remote-Host an den Nmap-Befehl und einen Port zum Scannen. Nmap versucht, die Anwendung zu identifizieren, die den Port aktiv abhört, und bestimmt dann, ob ein neues CI erstellt oder ein vorhandenes aktualisiert werden soll. Der Host muss von Nmap gemeldet werden, um aktiv zu sein.

Nmap verwendet diese Informationen, um den Kurs zu bestimmen:

• Serviceprodukt
• Servicename
• Zusätzliche Serviceinformationen
• Status des gescannten Ports
  Hinweis:

  Die Werte für das Serviceprodukt und den Servicenamen dürfen nicht Null sein, und der Servicename darf nicht mit einem Fragezeichen enden. Nmap hängt ein Fragezeichen an einen Servicenamen an, wenn die Anwendung den gescannten Port abhört. Die Instanz erstellt oder aktualisiert kein Anwendungs-CI, wenn Nmap den Anwendungsnamen nicht aus seiner statischen Quelle abrufen kann nmap-Services Registrierungsdatei.

Befehl	Beschreibung
-SS	TCP-SYN-Port-Scan (Stealth). Dies ist die standardmäßige Scan-Option und schließt niemals TCP-Verbindungen ab. Scans können zwischen Ports unterscheiden, die sind Offen , Geschlossen , Oder Gefiltert . Der TCP-SYN-Scan implementiert eine halboffene Zurücksetzung, die die Anforderung abbricht, bevor die Verbindung hergestellt werden kann. Der Port ist Offen (Die Anwendung hört ab), wenn ein SYN/ACK zurückgegeben wird. Der Port ist Geschlossen Wenn ein RST zurückgegeben wird. Wenn nach mehreren erneuten Übertragungen keine Antwort empfangen wird, wird der Port markiert Gefiltert . Der Port wird auch als gefiltert markiert, wenn ein ICMP-Fehler (Typ 3, Code 1,2,3,9,10,13) empfangen wird. Anforderungen: Rohpaketberechtigungen Muss als Stamm ausgeführt werden Windows-Administratorrechte
-SV	Probt offene Ports, um das Serviceprotokoll, den Anwendungsnamen, die Versionsnummer, den Hostnamen, den Gerätetyp zu bestimmen BS-Familie und verschiedene Details, z. B. die SSH-Protokollversion. Wenn Nmap eine Antwort erhält, kann sie nicht mit der Datenbank übereinstimmen, die sie zur Übermittlung an ausdruckt nmap.org . Sucht nach der Portnummer in ihrer statischen nmap-Services Registrierungsdatei zum Bestimmen des Namens eines Anwendungsservice, der den Port möglicherweise aktiv abhört. Der von Nmap zurückgegebene Servicename wird mit einem Fragezeichen angehängt, das angibt, dass Nmap seine Identität erraten musste. Die Instanz erstellt oder aktualisiert kein Anwendungs-CI, wenn Nmap die Anwendung errät, die auf einem offenen Port ausgeführt wird. Hinweis: Dieser Befehl erfordert keine Rohpaketberechtigungen.
--datadir	Pfad zum Verzeichnis, das den sicheren Satz von Nmap-Skripts enthält, die während der Anwendungs-/Versionserkennung ausgeführt werden sollen.
-P	Einzelner Port zum Scannen.
-T4	Nmap Aggressiv Zeitvorlage.
-V	Aktivieren Sie ausführliche Details. Dieser Befehl wird normalerweise verwendet, um Betrachtern der Standardausgabe Fortschrittsanzeige bereitzustellen. Dies kann jedoch dazu führen, dass die Skripts der Nmap-Skriptmodul (NSE) zusätzliche Details bereitstellen.
-Pn	Deaktivieren Sie den Standard-Ping. Dieser Befehl überspringt die anfängliche Scan-Phase der Nmap-Host-Discovery und behandelt alle Hosts so, als wären sie online. Verwenden Sie diesen Befehl, wenn Sie einen Port-Scan wünschen, auch wenn der Satz von Ports, der von den Standard-Discovery-Probes ausgeführt wird, keinen offenen Port findet.
-R	Ports nacheinander ohne Randomisierung scannen.
--Grund	Erklärt, warum Nmap einen Port mit einem bestimmten Status klassifiziert hat.
--System-dns	Verwenden Sie den DNS-Resolver des Betriebssystems für die umgekehrte DNS-Suche anstelle der DNS-Namensserver. Diese Option ist langsamer als die Verwendung von DNS-Servern, da sie jeweils nur eine IP-Adresse auflösen kann, während mehrere rDNS-Anforderungen parallel ausgeführt werden. Der zurückgegebene Wert stimmt jedoch mit dem vom MID-Server zurückgegebenen Wert überein, der zum Erstellen von Host-CIs verwendet wird.
-X –	Umleitungen Stdout In eine XML-Datei.
2> < Dateipfad >	Leitet Fehlermeldungen, die von Nmap geschrieben wurden, an um Stderr In die angegebene Datei.