Rechtslage bei Portscans Was ist ein Port Scanner?

Ein Port Scanner ist ein Computerprogramm zur Prüfung des Status von Netzwerkports eines über ein IP-Netz erreichbaren Systems. So lassen sich mögliche Zugangspunkte erkennen. Port Scanner werden für Sicherheits­prüfungen, aber auch für bösartige Zwecke eingesetzt.

Ein Port Scanner ist ein Software-Tool beziehungsweise ein Computerprogramm, das den Status von TCP- oder UDP-Ports eines mit einem IP-Netz verbundenen Rechners oder Systems prüft. Es kann gezielt einzelne Netzwerkports eines Rechners oder automatisiert ganze Portbereiche der aktuell in einem Netzsegment erreichbaren Hosts prüfen. Als Rückmeldung liefert der Scanner für jeden geprüften Port und Host die aktuellen Portzustände wie offen, geschlossen oder gefiltert. Diese Rückmeldungen lassen Rückschlüsse darüber zu, welche Dienste oder Anwendungen auf dem geprüften System installiert sind oder ausgeführt werden.

Netzwerkzugriffe mit Open Source überwachen

Wie man Netzwerke mit Port-Monitoring schützen kann

Was macht ein Port Scanner?

Im TCP/IP-Umfeld sind Ports eine logische Abstraktionsschicht, die die Schnittstelle zwischen einer Kommunikationsverbindung und einem auf einem System verfügbaren Service oder einer Anwendung darstellt. Einem Service oder einer Anwendung ist ein bestimmter Port zugeordnet, über den das Betriebssystem der entsprechenden Anwendung oder dem entsprechenden Service Datenpakete zustellen kann. Die Ports adressieren quasi die verschiedenen Anwendungen und Services eines über eine IP-Adresse erreichbaren Systems. Ports werden vom verbindungs­orientierten TCP (Transmission Control Protocol) und vom verbindungslosen UDP (User Datagram Protocol) genutzt. Beide Protokolle kennen jeweils 65.536 verschiedene Ports. Einige Ports sind fest für bestimmte Anwendungen reserviert:

Darüber hinaus gibt es Ports, die sich dynamisch beliebigen Anwendungen und Services zuordnen lassen. Grundsätzlich können Ports die drei Zustände offen, geschlossen und gefiltert annehmen. Für die Kommunikation mit einer Anwendung oder einem Service ist es erforderlich, dass ein Port geöffnet wird.

Port Scanner prüfen den Status eines bestimmten Ports auf einem System, indem sie etwas vereinfacht dargestellt ein Datenpaket mit einer Anfrage an diesen Ports senden und die entsprechende Antwort auswerten. Bestätigt das System die Anfrage, wird der Port als offen bewertet. Wird die Anfrage abgelehnt, ist der Port geschlossen. Erhält der Scanner keine Antwort, handelt es sich wahrscheinlich um einen gefilterten beziehungsweise geblockten Port.

Video-Tipp #53: Mit der PowerShell die Windows-Sicherheit erhöhen

Mit der PowerShell nach offenen Ports suchen

Der genaue Ablauf des Port Scannings ist etwas komplexer. Es können verschiedene Scanning-Methoden zum Einsatz kommen. Zu den am häufigsten genutzten Methoden zählen:

• TCP-SYN-Scan: Es werden SYN-Pakete für den Verbindungsaufbau per 3-Wege-Handshake an die Ports gesendet. Bei einem empfangenen SYN/ACK-Paket ist der Port offen, bei einem RST-Paket geschlossen. Keine Antwort bedeutet, der Port ist gefiltert.

• XMAS-Scan: Der Scanner sendet TCP-Datenpakete mit mehreren gesetzten Flags wie FIN-, PUSH- und URGENT-Flag und wertet die Antworten darauf aus. Keine Antwort deutet auf einen offenen Port hin, eine RST-Antwort auf einen geschlossenen.

• UDP-Scans: Der Scanner versendet leere Datenpakete mit UDP-Header an den Zielport. Bestätigte UDP-Pakete deuten auf einen offenen UDP-Port hin und erhaltene Fehlermeldung wie "Port unreachable" (Typ 3, Code 3) auf einen geschlossenen Port. Andere Fehlermeldungen oder ausbleibende Rückmeldungen lassen auf einen gefilterten Port schließen.

Schnelle System- und Netzwerkanalyse mit kostenfreier Software

Open-Source- und Freeware-Tools zur Netzwerk-Analyse

Häufig beherrschen Port Scanner auch sogenannte Ping-Scans. Streng genommen handelt es sich dabei nicht um eine Port-Scanning-Methode. Bei Ping-Scans versendet der Scanner ICMP-Requests und erwartet Antworten darauf. So lässt sich herausfinden, welche IP-Hosts im Netz erreichbar sind.

Port Scanner erlauben in der Regel das automatische Scannen sämtlicher Portnummern oder bestimmter Portnummern­bereiche eines oder mehrerer IP-Hosts. Ein vollständiger Scan eines kompletten Subnetzes kann längere Zeit dauern und das Netzwerk sowie die angeschlossenen Systeme belasten. Oft sind weitere Zusatzfunktionen wie das Erkennen von Diensten oder Betriebssystemen verfügbar.

Offene Ports und Schwachstellen in Netzwerk identifizieren

Masscan: Netzwerke in kurzer Zeit effektiv scannen

Einsatzmöglichkeiten von Port Scannern

Ein häufiger Anwendungsbereich von Port Scannern ist das Aufspüren von Schwachstellen, Sicherheitslücken oder potenziellen Angriffspunkten im Rahmen von Penetrationstests oder Security-Audits. Mit Port Scannern lassen sich aber auch Aufgaben wie das Inventarisieren von IP-Hosts und ihrer angebotenen Dienste und Anwendungen ausführen. Weitere Anwendungsbereiche sind die Fehlersuche, die Netzwerküberwachung oder Verfügbarkeits­messungen. Cyberkriminelle nutzen Port Scanner für das Aufspüren von Schwachstellen und von schlecht abgesicherten Systemen, um Angriffe vorzubereiten, in Systeme einzudringen, Systeme zu kompromittieren, Malware einzuschleusen oder über Netzwerke weiterzuverbreiten, Denial-of-Service-Attacken auszuführen und für einiges mehr.

Tool-Tipp 35 Nessus

Mit Nessus Schwachstellen im Netzwerk finden

Ist ein Port Scan strafbar?

Der Port Scanner ist ein wichtiges Tool zur Untersuchung des Antwortverhaltens von Systemen und zur Identifizierung möglicher Zugangspunkte zu diesen Systemen. Port Scanner können sowohl für Netzwerkanalysen, Troubleshootings und Sicherheitsprüfungen als auch für bösartige Zwecke wie die Vorbereitung von Cyberangriffen zum Einsatz kommen. Die Verwendung von Port Scannern in eigenen Netzwerkumgebungen und auf eigenen Systemen ist rechtlich unbedenklich. Beim Einsatz gegenüber fremden Systemen, kann die Nutzung eines Port Scanners rechtlich als erster Schritt oder als Vorbereitung eines Eindringversuches gewertet werden, selbst wenn das Scannen von Ports noch keine Sicherheitsmechanismen aushebelt, Daten abfängt oder Systeme kompromittiert. Zudem könnten Scans auch als Angriff auf die Verfügbarkeit eines Systems betrachtet werden, da die Scan-Anfragen unter Umständen das Verhalten und den Betrieb eines Rechners beeinträchtigen. Dementsprechend hat ein Einsatz gegenüber fremden Systemen unter Umständen juristische Folgen.

Das SANS Institute hat sich in einem White Paper mit der Rechtslage des Port Scannings beschäftigt und eine ethische Bewertung vorgenommen. Zwar würden keine expliziten Gesetze existieren, die das Scannen der Ports verbieten – Gerichte haben solche Scans wie im Fall „Moulton v. VC3“ als legal bewertet, solange sie kein System beschädigen. Außerdem sei ein Port Scan nicht destruktiv, da er keinen Schaden verursache. Dennoch kann er den Autoren des White Papers zufolge sehr invasiv sein, da er Informationen preisgebe, die zur Kompromittierung des Systems führen würden. Deshalb sei die Absicht des Scans ab. Ein Scan nach bekannten Trojaner-Ports sei zum Beispiel eindeutig bösartig. Der Appell des Instituts an Unternehmen: Regeln Sie in Ihren Richtlinien präzise, wer unter welchen Bedingungen Port Scans durchführen darf. Solche klaren, unternehmensspezifischen Regelungen seien in der Praxis oft wirkungsvoller als allgemeine gesetzliche Bestimmungen.

Netzwerksicherheit

Was macht diese Netzwerk-Ports so riskant?

Welche Open Source Port Scanner gibt es?

Es existieren zahlreiche Open-Source-basierte oder kostenpflichtige Port Scanner für verschiedene Betriebssysteme mit teils recht unterschiedlichem Funktionsumfang. Auch direkt in Betriebssysteme integrierte Port-Scanning-Funktionen sind verfügbar. Einige Tools werden über die Kommandozeile bedient, andere bieten grafische Benutzeroberflächen. Häufig verwendete freie Port Scanner sind beispielsweise Nmap, netcat, iNet Network Scanner, Scanmetender, Angry IP Scanner und viele mehr. Port Scanner werden zudem als online über das Internet nutzbarer Service angeboten. Da bei solchen Online-Scannern die Prüfung aber aus einem externen Netzwerk erfolgt und NAT- oder Firewall-Grenzen überwunden werden müssen, sind sie in ihrer Funktionalität und Aussagekraft der Ergebnisse eingeschränkt. Sie liefern den Status eines bestimmten Systems und seiner Ports aus Sicht der Erreichbarkeit aus dem Internet.

Tool-Tipp: Nmap & Zenmap

Netzwerke mit Nmap und Zenmap untersuchen

(ID:50038524)