Lab 3 — nmap — skeniranje otvorenih portova

nmap i ključni parametri

nmap je open-source mrežni skener koji se koristi za otkrivanje otvorenih portova, identifikaciju servisa i OS-a. Pokreće se iz Kali Linux kao root korisnik (ili sudo su) za punu funkcionalnost.

Parametri skeniranja

`-F`	Fast — skenira samo top 100 popularnih portova
`-sS`	SYN scan (half-open) — najpouzdaniji, ne uspostavlja punu TCP sesiju
`-sV`	Version scan — identificira servise i verzije na otvorenim portovima
`-O`	OS detection — pokušava identificirati operativni sustav ciljnog hosta
`-Pn`	Preskači host discovery (ping), tretira sve IP-ove kao aktivne
`-oN`	Sprema output u datoteku (Normal / human-readable format)

Korisne naredbe uz nmap

grep open <file>.nmap — prikazuje samo otvorene portove
grep OS <file>.nmap — prikazuje OS detekciju
dhclient -r && dhclient — oslobodi staru IP, dobij novu (pri promjeni mreže)
ip a s eth0 — prikazuje IP konfiguraciju sučelja eth0

Kapitalizacija parametara je važna: -O ≠ -o

SYN scan (-sS): Šalje SYN paket → prima SYN-ACK (port otvoren) ili RST (zatvoren) → ali ne šalje ACK za dovršetak TCP handshakea. Zato se zove "half-open" scan. Pouzdan, brz, teže ga detektiraju stariji firewalli.

Mrežna topologija laba — 3 pozicije skeniranja

Pozicije skeniranja u labu

Sken s interneta — border firewall (203.0.113.1)

nmap 203.0.113.1 -F -sS -sV -O -Pn -oN border-scan.nmap
grep open border-scan.nmap
grep OS border-scan.nmap

Pronađeni otvoreni portovi

21	FTP
22	SSH ⚠
25	SMTP
53	DNS
80	HTTP
443	HTTPS
3389	RDP ⚠

OS detekcija

🐡

FreeBSD

Detekcija OS-a omogućuje napadaču da odabere ciljane exploite za tu platformu. Minimiziranje dostupnih OS info smanjuje rizik.

Problem: SSH (22) i RDP (3389) dostupni s interneta = remote administracija je izložena. Ako imaju ranjivost ili slabu lozinku — napadač preuzima kontrolu. Sve internet-exposed servise treba hardenirano ili zatvoriti.

Sken s guest mreže (192.168.16.254)

nmap 192.168.16.254 -F -sS -sV -O -oN guest-scan.nmap
grep open guest-scan.nmap

Pronađeno: portovi 80, 443 i 8000 otvoreni — radi se o upravljačkom sučelju firewalla (firewall management interface). OS detekcija: FreeBSD.

Kritičan propust: Gost koji je spojen na guest mrežu može pristupiti management sučelju firewalla. Kompromitiranjem firewalla napadač mijenja sva pravila — cijela mreža je ugrožena. Guest mreža mora biti strogo izolovana od upravljačke infrastrukture.

Koji portovi smiju biti otvoreni na guest mreži? DNS (53), HTTP (80), HTTPS (443) za normalni pristup internetu su ok. Portovi 8000 i management sučelja ne smiju biti dostupni gostima.

Sken internog servera (10.1.16.2)

nmap 10.1.16.2 -F -sS -sV -O -oN server-scan.nmap
grep open server-scan.nmap

Skenirano iz vLAN_CLIENTS podmreže prema serverskoj podmreži. Pronađeni otvoreni portovi: HTTP, FTP, IMAP, SMTP, RDP, MySQL, NTP, MSRPC, Microsoft-DS, Mountd (NFS) — iznimno veliki broj servisa.

Što ovo otkriva: Između klijentske i serverske podmreže nema firewalla — nedostaje network segmentacija. Interni korisnik ima direktan pristup svim servisima. Insajder može uzrokovati jednaku štetu kao vanjski napadač.

Dodatno: Windows Server 2016 dostigao je EOL (End of Life) 11. siječnja 2022. Primljiva sigurnosna ažuriranja traju do EOSL (End of Service Life) 12. siječnja 2027. — nakon tog datuma nema više zakrpa.

Attack surface i zaključci

Threat vector vs. attack surface

Threat vector — put koji napadač može koristiti za intruziju (npr. otvoreni SSH port)
Attack surface — ukupnost svih mogućih ulaznih točaka (svi portovi, servisi, korisnici, API-ji)

Cilj: smanjiti attack surface zatvaranjem svega što nije nužno.

Odgovor na pronađeni otvoreni port

Zatvoriti port — ako servis nije poslovno neophodan
Konfigurirati enkripciju — ako servis mora ostati (HTTP→HTTPS, Telnet→SSH, FTP→SFTP)

I interni i vanjski skenovi su relevantni — insajderi su jednako opasan threat vector kao vanjski napadači.

Na ispitu zapamti:

Threat vector = put napada, attack surface = sve izložene točke
-sV = identifikacija servisa/verzija, -O = OS detekcija, -Pn = bez host discovery
OS detekcija pomaže napadaču odabrati ciljane exploite — minimizirati javno dostupne OS info
Prisustvo firewalla između mreža = network segmentacija = smanjuje attack surface
EOL ≠ EOSL: EOL = kraj aktivnog razvoja; EOSL = kraj svih sigurnosnih ažuriranja

Kviz — 15 pitanja

0 / 15

Odgovori na pitanja da vidiš rezultat.

1. Koji nmap parametar identificira servise i verzije koje rade na otvorenim portovima (npr. Apache 2.4, OpenSSH 8.2)?

-O -Pn -sS -sV

-sV = version scan. Pokušava identificirati koji servis i koja verzija radi na otvorenom portu. -O = OS detekcija. -sS = SYN scan tip. -Pn = preskači host discovery.

2. Zašto se SYN scan (-sS) smatra "half-open" skanom?

Skenira samo pola dostupnih portova Šalje SYN ali ne šalje završni ACK — ne uspostavlja potpunu TCP sesiju Radi samo s IPv4, ne i IPv6 Može skenirati samo prvih 512 portova

SYN scan šalje SYN → prima SYN-ACK (otvoren) ili RST (zatvoren) → ali NE šalje ACK za potpunu sesiju. Zato je "half-open" — pouzdan i diskretaniji od full-connect scana.

3. Nakon skena border routera (203.0.113.1) pronađeno je da su portovi 22 (SSH) i 3389 (RDP) otvoreni prema internetu. Koji je primarni sigurnosni problem?

SSH i RDP troše previše propusnosti Ovi portovi ne postoje na border routerima Remote administracija dostupna s interneta povećava attack surface — napadač može eksploatirati ranjivosti tih servisa SSH i RDP su rezervirani portovi koji ne smiju biti iznad 1024

SSH (22) i RDP (3389) su servisi za udaljenu administraciju. Ako su dostupni s interneta i imaju ranjivost (ili slabu lozinku), napadač može preuzeti kontrolu nad sustavom.

4. Sken border firewalla otkriva da OS detekcija pokazuje FreeBSD. Zašto je ta informacija korisna napadaču?

FreeBSD ima manje portova od Windows OS-a Napadač može koristiti FreeBSD-specifične exploite i ranjivosti za taj OS Znanje o OS-u i verziji omogućuje napadaču odabir ciljanih exploita za tu platformu FreeBSD je javni OS pa napadač zna lozinku

Detekcija OS-a (-O) daje napadaču ključnu informaciju za odabir ciljanih exploita. Znanjem da je cilj FreeBSD, napadač traži CVE-ove specifične za tu platformu.

5. Skan guest mreže pokazuje da su portovi 80, 443 i 8000 otvoreni na gateway uređaju — radi se o firewall management sučelju. Koji je problem?

Guest mreža ne smije imati pristup internetu Portovi 80 i 443 su rezervirani samo za interne mreže Gost može pristupiti upravljačkom sučelju firewalla — kritičan propust izolacije mreže Problem ne postoji — firewall management sučelje mora biti dostupno svima

Management sučelje firewalla ne smije biti dostupno s guest mreže. Gost koji kompromitira firewall može promijeniti sva pravila i ugroziti cijelu mrežu. Stroga izolacija je obavezna.

6. Skenirajući interni server (10.1.16.2) iz klijentske podmreže pronalazite HTTP, FTP, IMAP, SMTP, RDP, MySQL, NTP, MSRPC — sve otvoreno. Što ovaj nalaz PRIMARNO ukazuje?

Server je kompromitiran i radi kao command and control Nedostaje network segmentacija — nema firewalla između klijentske i serverske podmreže nmap je pogriješio u identifikaciji servisa Interni serveri uvijek trebaju imati sve portove otvorene

Kada klijentska podmreža ima direktan pristup svim servisima serverske podmreže — nedostaje mrežna segmentacija. Firewall između segmenata ograničio bi koji klijenti smiju pristupiti kojim servisima.

7. Koji parametar nmap-a sprema rezultate skeniranja u datoteku u normalnom (human-readable) formatu?

-sV -F -oX -oN

-oN = output Normal (human-readable tekst). -oX = XML format. -oG = grepable format. -oA = sva tri formata odjednom.

8. Koristiš grep open border-scan.nmap nakon skeniranja. Što ta naredba prikazuje?

Otvara grafički prikaz nmap rezultata Pokreće dodatno skeniranje samo otvorenih portova Filtrira i prikazuje samo retke koji sadrže "open" iz nmap output datoteke Otvara datoteku border-scan.nmap u text editoru

grep filtrira tekstualne datoteke prema uzorku. "grep open border-scan.nmap" prikazuje samo retke koji sadrže riječ "open" — dakle samo otvorene portove iz nmap outputa.

9. Interni server radi na Windows Server 2016 koji je dostigao EOL. Što EOL konkretno znači za taj server?

Server automatski prestaje raditi Microsoft blokira pristup internetu s tog servera Microsoft više aktivno ne razvija OS, ali sigurnosna ažuriranja još dolaze do EOSL datuma Server postaje automatski ranjiv na sve poznate exploite odmah

EOL = End of Life = kraj aktivnog razvoja. Windows Server 2016 EOL je bio 11.1.2022., ali sigurnosna ažuriranja dolaze do EOSL (End of Service Life) 12.1.2027. Nakon EOSL — nema više zakrpa ni sigurnosnih popravaka.

10. Koja su dva preporučena odgovora kada nmap sken otkrije otvoreni port koji hostira nesigurni servis?

Zamijeniti lozinke i pokrenuti antivirusni sken Zatvoriti port (ako servis nije potreban) ili konfigurirati enkripciju komunikacije (ako je servis neophodan) Blokirati sve dolazne veze na firewallу i čekati Prijaviti incident CERT-u i ne poduzimati ništa

Dva primarna odgovora: (1) zatvoriti port ako servis nije potreban, (2) ako je servis potreban — konfigurirati enkripciju (npr. HTTP→HTTPS, Telnet→SSH, FTP→SFTP).

11. Što je "attack surface" organizacije?

Fizička površina podatkovnog centra Broj potencijalnih napadača koji ciljaju organizaciju Ukupnost svih mogućih ulaznih točaka kroz koje napadač može pokušati pristup Lista svih poznatih ranjivosti u sustavu

Attack surface = sve izložene točke sustava koje napadač može pokušati iskoristiti — otvoreni portovi, servisi, korisnički računi, API-ji, fizički pristup. Cilj je smanjiti attack surface zatvaranjem nepotrebnih točaka.

12. Parametar -Pn u nmap naredbi — što radi?

Skenira samo privatne (Private) IP adrese Sprema output u Passive Nmap format Koristi samo pasivne tehnike bez slanja paketa Preskače host discovery i tretira sve IP adrese kao aktivne

-Pn = "no ping" — nmap ne vrši host discovery (ping). Korisno kad firewall blokira ICMP pa bi host izgledao "mrtav" — nmap ionako skenira portove bez obzira na ping odgovor.

13. U labu se menjala mrežna pozicija Kali VM-a (Internet → vGUEST → vLAN_CLIENTS). Koja naredba je korišćena za dobivanje nove IP adrese pri svakoj promjeni?

ip addr flush eth0 ifconfig eth0 down && ifconfig eth0 up dhclient -r && dhclient netstat -rn

dhclient -r = release (oslobodi trenutnu IP adresu), dhclient (bez -r) = renew (zatraži novu IP adresu od DHCP servera). Naredbe se izvode jedna za drugom pomoću &&.

14. Koji servis pronađen na internom serveru (10.1.16.2) ukazuje da server hostira dijeljene datoteke putem NFS protokola?

MSRPC Microsoft-DS IMAP Mountd (NFS)

Mountd je daemon koji podržava NFS (Network File System) — sustav za dijeljenje datoteka na Unix/Linux sustavima. Prisutnost Mountd na internom serveru znači da server dijeli datoteke putem NFS protokola.

15. Odakle mogu dolaziti prijetnje prema organizacijskim sustavima? (Odaberi sve točne)

Izvana (internet, vanjski napadači) Iznutra (zaposlenici, insajderi) Treće strane (dobavljači, softver trećih strana) Samo izvana — interni korisnici ne mogu biti prijetnja

Prijetnje mogu dolaziti s bilo kojeg smjera: vanjski napadači, insajderi (namjerni ili slučajni), i treće strane (kompromitiran dobavljač, supply chain napad). Insajder može uzrokovati jednaku ili veću štetu od vanjskog napadača.

0 / 15

Riješi kviz da vidiš rezultat.