Portscans und Netzanalysen mit Nmap

Die Suche nach potenziellen Kommunikationspartnern in weltweiten Netzwerken ist Tradition, allein die Hilfsmittel haben sich geändert: Wo früher Modems nächtlich Tausende von Telefonnummern durchprobierten und jeden Connect aufzeichneten (Wardialing genannt), jagen heute Portscanner ihre Klopfzeichen per IP durchs Internet. Über einfache Lebenszeichen hinaus erfahren diese Programme verblüffend viel über die untersuchten Systeme.

Den wohl umfangreichsten Portscanner Nmap (Network Mapper, [1]) stellte der Entwickler Fyodor erstmals im September 1997 vor [2]. Die damals gängigen Tools wie zum Beispiel Strobe [3] und Pscan [4] boten ihm zu wenig, er wollte ihren Funktionensumfang in den Schatten stellen - was ihm auch gelang:

• Nmap erkennt mit seinem TCP-Fingerprinting das Betriebssystem
  des gescannten Systems,
• stellt die Uptime des untersuchten Rechners fest und
• identifiziert zuverlässig die offenen Dienste und deren
  Versionen.

Dabei konstruiert der Scanner auch sehr spezielle Pakete, die im normalen Netzverkehr nicht vorkommen.

Obwohl oft als Hackerwerkzeug verteufelt, hilft Nmap auch Administratoren bei der Analyse ihres Netzwerks. Bevor Angreifer auf vergessene und offen gelassene Dienste stoßen, spürt sie der Admin lieber selbst auf oder prüft das Regelwerk seiner Firewall so, wie es ein Angreifer auch täte. Selbst zum Inventarisieren oder Überprüfen von Patch-Ständen taugt das Tool.

Für Einsteiger und Profis

Die initiale Entwicklungsplattform für Nmap war Linux, mittlerweile läuft es auch auf Windows, BSD und vielen Unix-Varianten. Für das Kommandozeilen-Tool gibt es grafische Oberflächen unter Unix (Nmapfe, Abbildung 1) und den Betriebssystemen aus Redmond (Nmapwin, [5]). Nmapwin hinkt der Entwicklung aber notorisch hinterher. Dank PHP-Nmap [2] (siehe auch Abbildung 2) lässt sich der Scanner sogar per Webbrowser nutzen. Die Nmap-Homepage listet weitere Projekte [7], die auf Nmap aufsetzen oder seine Funktionen nutzen. Dazu gehört sogar eine Portierung auf Sharps Zaurus.

Vielfalt der Optionen

Der Funktionsumfang führt zu einer großen Zahl an Aufrufparametern. Zur Auswahl stehen allein 15 Methoden, um Hosts zu scannen (Tabelle 1). Jede Methode kennt 20 Einstellungen, die teils zu sehr ausgefallenen Paketen führen. Dennoch eignet sich das Programm auch für Laien, wenn sie auf das Feintuning verzichten. Für den vollen Funktionsumfang, der das Tool in die Profi-Liga hebt, ist allerdings einiges Hintergrundwissen über Netzwerke erforderlich.

Abbildung 1: Das Nmap-Frontend bewahrt den Admin vor dem Auswendiglernen der vielfältigen Optionen und stellt das Kommando (letzte Zeile) zusammen. Das Textfenster im unteren Drittel sammelt die Ausgaben des Nmap-Scan.