Nmap là gì?
Nmap (Network Mapper) là công cụ quét mạng mã nguồn mở, miễn phí, do Gordon Lyon (Fyodor) phát triển. Dùng để khám phá host, dịch vụ, hệ điều hành, firewall, lỗ hổng trên mạng máy tính bằng cách gửi gói tin đặc chế và phân tích phản hồi.
Tác dụng hợp pháp (Defensive / Admin)
- Kiểm kê tài sản mạng (Asset Discovery): IP nào đang up, chạy dịch vụ gì, port nào mở.
- Kiểm tra cấu hình firewall: quy tắc allow/deny có đúng ý định không.
- Phát hiện thiết bị lạ (Shadow IT, rogue device).
- Quét lỗ hổng tích hợp NSE (Nmap Scripting Engine):
--script vuln,--script auth. - Giám sát thay đổi mạng (baseline so sánh định kỳ).
- Hỗ trợ Penetration Test (trong scope được ủy quyền).
Rủi ro nếu bị lạm dụng (Offensive)
- Kẻ tấn công dùng Nmap làm reconnaissance (thám thính) bước đầu: tìm target, port mở, phiên bản dịch vụ → tra CVE → khai thác.
- Quét mạnh (aggressive scan
-A -T4) có thể gây Denial of Service trên thiết bị yếu, hệ thống legacy. - Việc quét port trái phép có thể vi phạm pháp luật (UK Computer Misuse Act, US CFAA, Luật An ninh mạng VN) và chính sách ISP.
Các kỹ thuật quét chính (Scan Techniques)
| Kỹ thuật | Flag | Đặc điểm |
|---|---|---|
| TCP SYN Scan (Stealth) | -sS | Nửa kết nối (half-open), nhanh, ít log, cần root/admin. |
| TCP Connect Scan | -sT | Kết nối đầy đủ (3-way handshake), chậm hơn, không cần root. |
| UDP Scan | -sU | Quét dịch vụ UDP (DNS, SNMP, DHCP), chậm, khó phân biệt open/filtered. |
| OS Fingerprinting | -O | Phân tích TCP/IP stack đặc trưng để đoán OS. |
| Service Version Detection | -sV | Giao tiếp với dịch vụ mở để lấy banner/version. |
| NSE (Scripting Engine) | --script | 600+ script: vuln, auth, brute, discovery, exploit. |
Phòng thủ chống Nmap / Quét mạng trái phép
- Firewall / IPS Drop/Reject: Chặn gói tin quét tại biên giới (rate-limit SYN, ICMP, UDP).
- Port Knocking / Single Packet Authorization (SPA): Ẩn port dịch vụ cho đến khi nhận chuỗi knock đúng (fwknop).
- Honeypot / Deception: Triển khai honeypot (Cowrie, Dionaea) để phát hiện vàDelay kẻ quét.
- Network Segmentation & Zero Trust: Giảm bề mặt tấn công, chặn lateral movement.
- SIEM Correlation: Quy tắc phát hiện quét: nhiều port từ 1 IP trong thời gian ngắn, pattern Nmap fingerprint.
- Fail2ban / CrowdSec: Tự động block IP quét SSH, RDP, web login.
- Cập nhật & Hardening: Tắt dịch vụ không dùng, patch lỗ hổng, đổi port mặc định (security by obscurity - lớp thêm).
Lưu ý pháp lý & Đạo đức
- Chỉ quét mạng bạn sở hữu hoặc có sự cho phép bằng văn bản (Rules of Engagement).
- Trong pentest: xác định scope, thời gian, IP range, loại scan cho phép, emergency contact.
- Quét Google, AWS, Azure, v.v. بدون cho phép → bị ban, khóa tài khoản, kiện tụng.
Kết luận
Nmap là "dao quân" của quản trị mạng và pentester. Dùng đúng chỗ, đúng cách → tăng cường an ninh. Dùng sai → rủi ro pháp lý, gây hại dịch vụ. Mọi tổ chức nên baseline quét Nmap định kỳ và triển khai các biện pháp phát hiện/chặn quét trái phép.