Portskanning (kolloquialt "port poking") är det systematiska avspanandet av en målvärds TCP/UDP-portar för att avgöra vilka som är öppna (lyssnande), stängda (reset), eller filtrerade (brandväggade). Det är ett grundläggande rekonnaissance-steg i både offensiv och defensiv cybersäkerhet.
Vanliga skanningstyper (Nmap-syntax)
| Skanning | Paketflaggor | Svarstolkning | Stealth |
|---|
| TCP Connect (-sT) | Full 3-vägs handskakning (SYN, SYN-ACK, ACK) | Öppen = ACK; Stängd = RST | Låg (loggas) |
| SYN Skanning (-sS) | ENDA SYN; kärnan slutför handskakning om öppen | Öppen = SYN-ACK; Stängd = RST | Hög (halv-öppen) |
| UDP Skanning (-sU) | UDP-paket till port | Öppen = svar; Öppen|Filtrerad = inget svar; Stängd = ICMP Port Unreachable | Medium |
| FIN/NULL/Xmas (-sF/-sN/-sX) | Aberranta flaggkombinationer | Stängd = RST; Öppen|Filtrerad = inget svar | Hög (går runt vissa stateful firewalls) |
| ACK Skanning (-sA) | ACK endast | Ofiltrerad = RST; Filtrerad = inget svar / ICMP-fel | Brandväggskartläggning |
Angriparens användning
- Tjänsteenummerering (banner grabbing, versionsdetektering).
- Sårbarhetskartläggning (matcha öppna portar mot CVE:er).
- Attackytminskning (identifiera onödigt exponerade tjänster).
- Lateralt Rörelseplanering (pivotpunkter).
Försvarsstrategier
- Minimera attackyta: Inaktivera oanvända tjänster; binda nödvändiga tjänster till specifika gränssnitt (inte 0.0.0.0).
- Värdbaserad brandvägg: `iptables`/`nftables` (Linux), Windows Brandvägg, `pf` (BSD) — default neka inkommande.
- Nätverkssegmentering: VLAN:er, zero-trust mikrosegmentering; begränsa Öst-Väst trafik.
- Intrusion Detection/Prevention (IDS/IPS): Detektera skanningsmönster (tröskelvärden, decoy-portar).
- Port Knocking / SPA: Dölj tjänster tills autentiserad knock-sekvens.
- Honeypots / Canary tokens: Detektera och varna vid skanningar.
- Regelbunden extern skanning: Kör egna skanningar (Nmap, Nessus, OpenVAS) för att verifiera ställning.
Juridiskt & Etiskt
- Skanning av system du inte äger eller har explicit behörighet för är olagalt i de flesta jurisdiktioner (CFAA i USA, Computer Misuse Act UK, etc.).
- Verksamma alltid under en signerad Rules of Engagement (RoE) för penetrationstestning.
Portskanning är neutral teknologi – avsikt och auktorisering definierar dess legitimitet.
