Инвентаризация cnucков ACL брандмауэра

Чтобы определить правила фильтрации пакетов, хранимые в списках ACL брандмауэра, применяется сканирование портов бастионного хоста с помощью утилит наподобие программы nmap (http://www.insecure.org/nmap), к

сожалению, полностью реализованной только для системы UNIX (для систем Windows NT/2000/XP на сайте предлагается испытать бета-версию). Принцип работы подобных утилит инвентаризации следующий. На исследуемый порт посылаются пакеты ICMP. Если порт открыт, то в ответ сканирующему хосту отсылаются пакеты ICMP с установленными в заголовках TCP флагами SYN и АСК. Если порт заблокирован, то информация об этом передается обратно в заголовке пакета ICMP; если порт фильтруется брандмауэром, то некоторые брандмауэры помещают сообщение о фильтрации порта в IP-заголовок ответного пакета.

Таким образом, анализируя структуру заголовков ответных пакетов ICMP, посылаемых на различные порты бастионного хоста (выявленные сканированием), можно достаточно точно установить, какое правило фильтрации пакетов ICMP, поступающих на сканированный порт, используется брандмауэром - порт может быть открытым, блокированным или фильтруемым. Для такого анализа лучше всего использовать специальные утилиты типа nmap (или hping (http://www.kyuzz.org/antirez), также реализованную пока только для Unix), но, к счастью, наша утилита SuperScan уже предоставила достаточные сведения об портах хоста А1ех-1 - в списке портов на Рис. 5 можно заметить открытый порт FTP-сервера. Вот что это значит с точки зрения хакера.