3 Loại Quét (Scanning) chính trong Bảo mật mạng: Network, Port, Vulnerability

Scanning (Quét) trong An ninh mạng là gì?

Quét là quá trình **thu thập thông tin chủ động (active reconnaissance)** nhằm khám phá tài sản, dịch vụ, lỗ hổng, cấu hình trên mạng/hệ thống. Là giai đoạn đầu trong Cyber Kill Chain (Reconnaissance) và Penetration Testing (Information Gathering).

3 Loại Quét Cốt Lõi (Core Scanning Types)

1. Network Scanning (Quét mạng / Host Discovery)

Mục tiêu: Xác định **host nào đang sống (alive/up)** trong dải IP/subnet.

• Kỹ thuật: ICMP Echo Request (Ping), ARP Request (local subnet), TCP SYN/ACK đến port phổ biến (80, 443, 445, 3389), UDP (53, 161, 500).
• Công cụ: Nmap (`-sn`, `-PS`, `-PA`, `-PU`, `-PR`), Angry IP Scanner, Advanced IP Scanner, Masscan (siêu nhanh), fping, arp-scan.
• Kết quả: Danh sách IP alive, MAC address, vendor (OUI), hostname (nếu resolve được).
• Mục đích Blue Team: Asset inventory, phát hiện shadow IT, rogue device, unauthorized DHCP.

2. Port Scanning (Quét cổng)

Mục tiêu: Xác định **port nào đang OPEN (mở), CLOSED (đóng), FILTERED (bị firewall chặn)** trên host mục tiêu. Mỗi port mở = một dịch vụ đang lắng nghe = bề mặt tấn công tiềm năng.

• TCP Scan Types:
  • SYN Scan (Half-open / Stealth) `-sS`: Gửi SYN, nhận SYN/ACK → port open; nhận RST → closed. Không hoàn thành 3-way handshake → ít log hơn. **Mặc định Nmap.**
  • Connect Scan `-sT`: Hoàn thành 3-way handshake (OS network stack). Chậm hơn, ghi log nhiều hơn. Dùng khi không có raw socket privilege.
  • ACK Scan `-sA`: Gửi ACK → nhận RST = unfiltered; không phản hồi / ICMP error = filtered. Dùng mapping firewall rule.
  • Window Scan `-sW`, Maimon Scan `-sM`: Khai thác TCP window size để phân biệt open/filtered.
• UDP Scan `-sU`: Gửi UDP packet → ICMP Port Unreachable = closed; Open|Filtered nếu không phản hồi. Chậm, khó khăn do UDP connectionless.
• Service/Version Detection `-sV`: Kết nối port open → gửi probe xác định service name, version, banner (Apache 2.4.41, OpenSSH 8.9p1...).
• OS Fingerprinting `-O`: Phân tích TCP/IP stack quirks → đoán OS (Linux 3.10, Windows 10 1909...).
• Scripting (NSE - Nmap Scripting Engine): Chạy script vuln check, brute-force, enum (smb-enum-shares, http-title, ssl-cert...).

3. Vulnerability Scanning (Quét lỗ hổng)

Mục tiêu: Xác định **lỗ hổng bảo mật (CVE, misconfiguration, missing patch, weak creds)** trên hệ thống/mạng/ứng dụng.

• Network-based Vulnerability Scanner: Nessus, OpenVAS/GVM, Qualys VM, Rapid7 InsightVM, Tenable.io, Greenbone. Quét từ xa, cần credential (authenticated scan) để chính xác.
• Web Application Scanner (DAST): Burp Suite Pro, OWASP ZAP, Acunetix, Invicti, Qualys WAS. Quét OWASP Top 10 (SQLi, XSS, SSRF, IDOR...).
• Container/Image Scanner: Trivy, Grype, Syft, Clair, Anchore, Snyk, Aqua – quét base image, dependency, config (Dockerfile, Kubernetes manifest).
• SAST/SCA (Static/Software Composition Analysis): SonarQube, Checkmarx, Veracode, GitHub CodeQL, Dependabot, Snyk – quét source code / dependency.
• Cloud Security Posture Management (CSPM): Wiz, Orca, Lacework, Prisma Cloud, Defender for Cloud – quét misconfig cloud (S3 public, SG open, IAM overprivileged).

Phân loại theo góc độ xác thực (Authentication)

Quy trình Quét an toàn & Hiệu quả (Blue Team)

1. Quy hoạch (Scope & Rules of Engagement): IP range, thời gian, tool, rate limit, exclusion list (fragile system), contact person.
2. Thông báo (Notification): IT/Ops, SOC, WAF/Firewall team (whitelist scanner IP tránh block).
3. Credential Management: Dùng Vault/Key Vault, service account đọc chỉ, rotate sau quét.
4. Thực thi (Execution): Chạy scanner, monitor performance/impact.
5. Phân tích & Ưu tiên (Triage & Prioritization): CVSS + Exploitability (EPSS) + Asset Criticality + Compensating Controls → Risk Score.
6. Báo cáo & Remediation Tracking: Report cho management, ticket cho team sửa (Jira/ServiceNow), SLA patch.
7. Re-scan (Verification): Quét lại sau patch để verify.
8. Continuous Scanning: Lịch quét định kỳ (hàng ngày/tuần/tháng) + trigger-based (CI/CD pipeline, new asset).

Cạm bẫy & Lưu ý

• **Quét không phải bảo vệ.** Chỉ phát hiện. Phải có quy trình vá/khắc phục.
• **False Positive/Negative** luôn có. Cần validation thủ công cho critical findings.
• **Rate limiting** tránh DoS không chủ đích (đặc biệt Masscan, UDP scan).
• **Pháp lý:** Chỉ quét hệ thống **có sự cho phép bằng văn bản** (Authorization letter, Contract, Bug Bounty scope). Quét trái phép = tội phạm (Computer Fraud and Abuse Act - US, Luật An ninh mạng VN).
• **Scanner bản thân phải bảo mật:** Cập nhật, isolate network, MFA, audit log.

Tóm tắt so sánh 3 loại chính