Analysis of Traffic Usage by Scanning Computer Networks with Different Versions of Nmap

Abstract

На сьогодні існує велика кількість інструментів для моніторингу та діагностики мережі, які можуть використовуватись з різними цілями, як уповноваженими на це особами, так і іншими особами, що можуть здійснювати несанкціонований доступ до мережі. Одним з них є мережевий сканер Nmap. Мережевий сканер Nmapце досить потужний додаток мережевого сканування з відкритим поточним кодом. Наразі він є майже незамінним інструментом для діагностики роботи мереж, виявлення помилкових мережевих конфігурацій, а також допомагає під час пошуку вразливостей всередині мережі. Мережевий сканер Nmap постійно вдосконалюється його авторами та незалежними розробниками. Тому з плином часу цей додаток розширює свій функціонал та поліпшує вже існуючі інструменти. Однак це суттєво впливає на його поведінку в мережі. Для виявлення сканувальної активності у мережі зазвичай використовуються сніфери, які фіксують пакети, що через них проходять. На сьогодні за їхньою допомогою та допоміжного програмного забезпечення для виявлення вторгнень можливо виконувати ідентифікацію хостів, які здійснюють сканування. Однак залишаються актуальними задачі ідентифікації програмного забезпечення, що сканує мережу, та його версій. У статті розглядається розв'язання задачі на прикладі мережевого сканера Nmap. Розглянуто використання трафіку різними версіями мережевого сканера Nmap під час виконання різних фаз сканування. Відмінності у роботі програми виникають в результаті оновлення поточного коду цього додатку та його скриптів сканування. У більшості випадків код у межах однієї мажоритарної версії не зазнає суттєвих змін. Однак навіть незначні зміни можуть вплинути на процес ідентифікації програмного забезпечення в процесі аналізу мережевого трафіку. Проаналізовано роботу таких версій Nmap: