Combien de portes votre réseau laisse-t-il ouvertes ?
La surface d'attaque d'un réseau est l'ensemble des endroits par lesquels quelqu'un peut essayer d'y entrer. La lister est la première étape pour la réduire.
Une mairie a quarante postes, un serveur de fichiers et une imprimante. Chaque service qui attend des connexions est une porte. Cette leçon apprend à compter ces portes.
À la fin de cette leçon
Remarque
Je peux lister les ports ouverts et les services qu'un réseau expose.
Mots clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Surface d'attaque | l'ensemble des points d'entrée possibles dans un système | |
| Port | un numéro qui désigne un service sur une machine | 443 |
| Service | un programme qui attend des connexions sur un port | |
| Port ouvert | un port où un service répond | |
| Analyse de ports | des demandes envoyées à des ports pour voir lesquels répondent |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Un port ouvert est une porte
Une machine reçoit des connexions par des ports, numérotés de 0 à 65535. Un service écoute sur un port. Le navigateur d'un étudiant parle au port 443 d'un site, le port du web chiffré.
Tant qu'aucun service n'écoute, personne ne peut s'y connecter. Chaque port ouvert ajoute donc une raison de s'inquiéter.
Exemple : des ports courants et leur risque
| Port | Service | Ce qu'un inconnu peut tenter |
|---|---|---|
| 22 | Connexion à distance (SSH) | Deviner un mot de passe |
| 80 | Site web non chiffré | Lire le trafic, chercher une faille du site |
| 443 | Site web chiffré | Chercher une faille du site |
| 445 | Partage de fichiers | Atteindre des dossiers mal protégés |
| 3306 | Base de données | Lire ou casser les données |
| 3389 | Bureau à distance | Deviner un mot de passe, prendre la main |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Compter les services qui écoutent sur lan
sudo ip netns exec lan ss -ltn | grep -c LISTENAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Ce que compte cette commande
La machine lan sert deux pages web, sur les ports 80 et 8081. La commande ss -ltn liste les services qui écoutent, et grep -c compte les lignes marquées LISTEN.
Elle affiche donc 2 : deux portes, deux services. C'est le début d'un inventaire de la surface d'attaque.
Une analyse de ports interroge chaque porte
Pour savoir ce qu'un réseau expose, on envoie une demande à chaque port d'une machine et on note la réponse. C'est une analyse de ports.
Les outils du métier le font pour des milliers de ports en quelques secondes. Un attaquant s'en sert pour repérer les portes. Un administrateur s'en sert pour les compter avant lui.
Seulement votre laboratoire
Important
N'analysez jamais un réseau qui n'est pas le vôtre, même pour voir. Ici, tout se passe dans la copie privée de votre laboratoire.
Tester à la main un port ouvert
sudo ip netns exec gw nc -z -v -w 2 10.0.0.2 80Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Tester à la main un port fermé
sudo ip netns exec gw nc -z -v -w 2 10.0.0.2 81Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Exemple : les trois états qu'une analyse note
| État | Ce que voit l'analyseur | Ce que cela veut dire |
|---|---|---|
| Ouvert | Une réponse positive | Un service écoute : c'est une porte |
| Fermé | Un refus immédiat | La machine est là, aucun service n'écoute |
| Filtré | Aucune réponse du tout | Un pare-feu jette la demande |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Ce qu'affichent les deux essais à la main
Le premier essai, vers le port 80, affiche que la connexion a réussi : un service écoute. Le second, vers le port 81, affiche que la connexion est refusée : la machine répond, mais aucun service n'écoute.
Un refus est un renseignement. Il prouve qu'une machine existe à cette adresse.
Réduire la surface : fermer l'inutile
Le travail d'un administrateur suit trois gestes. D'abord, lister les ports ouverts. Ensuite, demander à chaque service s'il est utile et pour qui. Enfin, fermer ou filtrer ce qui ne l'est pas.
Un service oublié depuis des années est la porte que personne ne surveille.
Une erreur fréquente
Attention
On croit souvent qu'un petit réseau n'intéresse personne. Les analyses automatiques essaient toutes les adresses d'Internet, sans regarder qui les possède. Seuls les services ouverts comptent, pas la taille de l'entreprise.