Port Scanning (Port Poking): tecniche, implicazioni sicurezza e strategie difesa
Port scanning (colloquialmente "port poking") è la sondaggio sistematico delle porte TCP/UDP di un host target per determinare quali sono aperte (in ascolto), chiuse (reset), o filtrate (firewall). È un passo ricognitivo fondamentale in cybersecurity sia offensiva che difensiva.
Tipi scan comuni (Sintassi Nmap)
| Scan | Flag pacchetto | Interpretazione risposta | Stealth |
|---|
| TCP Connect (-sT) | Handshake 3-vie completo (SYN, SYN-ACK, ACK) | Aperto = ACK; Chiuso = RST | Basso (loggato) |
| SYN Scan (-sS) | Solo SYN; kernel completa handshake se aperto | Aperto = SYN-ACK; Chiuso = RST | Alto (half-open) |
| UDP Scan (-sU) | Pacchetto UDP a porta | Aperto = risposta; Open|Filtered = nessuna risposta; Chiuso = ICMP Port Unreachable | Medio |
| FIN/NULL/Xmas (-sF/-sN/-sX) | Combo flag aberranti | Chiuso = RST; Open|Filtered = nessuna risposta | Alto (bypass alcuni firewall stateless) |
| ACK Scan (-sA) | Solo ACK | Non filtrato = RST; Filtrato = nessuna risposta / errore ICMP | Mapping firewall |
Usi attaccante
- Enumerazione servizi (banner grabbing, rilevamento versione).
- Mapping vulnerabilità (match porte aperte a CVE).
- Riduzione superficie attacco (identificare servizi esposti inutilmente).
- Pianificazione movimento laterale (pivot points).
Strategie difensive
- Minimizzare superficie attacco: Disabilitare servizi inutilizzati; bind servizi necessari a interfacce specifiche (non 0.0.0.0).
- Firewall host-based: `iptables`/`nftables` (Linux), Windows Firewall, `pf` (BSD) — default deny inbound.
- Segmentazione rete: VLAN, zero-trust microsegmentazione; limitare traffico Est-Ovest.
- Intrusion Detection/Prevention (IDS/IPS): Rilevare pattern scan (soglie, porte decoy).
- Port Knocking / SPA: Nascondere servizi fino a sequenza knock autenticata.
- Honeypots / Canary tokens: Rilevare e alertare su scan.
- Scansione esterna regolare: Eseguire propri scan (Nmap, Nessus, OpenVAS) per verificare postura.
Legalità ed etica
- Scansionare sistemi che non possiedi o non hai autorizzazione esplicita per è illegale in maggior parte giurisdizioni (CFAA USA, Computer Misuse Act UK, ecc.).
- Operare sempre sotto Rules of Engagement (RoE) firmate per penetration testing.
Port scanning è tecnologia neutra — intent e autorizzazione definiscono la sua legittimità.