Nmapを用いたネットワーク探索の深化と効率化

Nmap（Network Mapper）は、ネットワークの探索とセキュリティ監査に広く利用されるオープンソースツールです。その多機能性により、アクティブなホストの発見、オープンポートの特定、稼働中のアプリケーションとそのバージョン、さらにはホストのOSタイプまで推測することが可能です。

サービスとバージョンの詳細な識別

Nmapは、特別に設計されたプローブパケットと応答のマッチングを通じて、ターゲットホスト上で動作するサービスの情報を詳細に抽出します。SSH、HTTP、Telnetといった一般的なサービスに加え、アプリケーション名、バージョン番号、ホスト名、そして特定のSSLサービスに至るまで、広範な情報が得られます。

• -sV: サービスバージョン検出を有効にします。
• --allports: バージョン検出の対象からポートを除外しません。通常、よく知られたポートのみがスキャンされますが、このオプションで全ポートを対象とします。
• --version-intensity <レベル>: バージョンスキャン強度を設定します（0-9）。高いレベルほど正確性が増しますが、時間もかかります。デフォルトは5です。
• --version-light: 高速なバージョン検出モードを有効にします。強度は低めです。
• --version-all: 最も詳細な情報のために、すべてのプローブを試行します。これは--version-intensity 9に相当します。

例: 特定ホストのオープンポートとサービスバージョンを詳細にスキャン

nmap -sV --version-intensity 9 target.example.com

オペレーティングシステム（OS）の特定

Nmapは、TCP/IPスタックのフィンガープリント技術を利用して、リモートホストのOSタイプとバージョンを特定します。様々なTCPおよびUDPパケットを送信し、その応答特性をnmap-os-dbデータベースと比較することで、高精度なOS検出を実現します。

• -O: OS検出を有効にします。
• --osscan-limit: OS検出の対象を、検出の可能性が高いホストに限定します。全てのポートがオープンまたはクローズしているなど、特定の特徴を持つホストに対してOS検出を試みないようにします。
• --max-os-tries <回数>: OS検出の最大試行回数を設定します。ネットワークの信頼性が低い場合に役立ちます。

例: OS検出とデフォルトのスクリプトを実行

nmap -O -sC target.example.com

Nmapスクリプトエンジン（NSE）の活用

Nmapスクリプトエンジン（NSE）は、Nmapの最も強力な拡張機能の一つであり、ユーザーがLuaスクリプトを記述して多様なネットワークタスクを自動化できます。ネットワーク探索、サービス・バージョン検出、脆弱性スキャンなど、幅広い用途に利用されます。

• -sC: デフォルトのNSEスクリプト群を実行します。これは--script=defaultと同義です。
• --script <スクリプトまたはカテゴリ>: 特定のスクリプトまたはスクリプトカテゴリを指定して実行します（例: --script=http-title, --script="vuln"）。
• --script-args <引数>: NSEスクリプトに引数を渡します（例: --script-args http.useragent="Mozilla"）。
• --script-trace: スクリプトの実行に関する詳細なトレース情報を表示します。デバッグに有用です。
• --script-updatedb: NSEスクリプトデータベースを更新します。新しいスクリプトや更新が適用されます。

例: 脆弱性カテゴリのスクリプトを実行

nmap --script "vuln" target.example.com

スキャンパフォーマンスの最適化

スキャン速度と結果の精度を両立させるためには、Nmapのパフォーマンス関連オプションを適切に設定することが重要です。これにより、ネットワークの状態や要件に応じた効率的なスキャンが可能になります。

• --min-hostgroup <サイズ> / --max-hostgroup <サイズ>: ホストの並列スキャングループサイズを調整します。小規模ネットワークでは小さく、大規模では大きく設定すると効率が上がります。
• --min-parallelism <数> / --max-parallelism <数>: プローブの並列実行数を調整します。多くのプローブを同時に送信することでスキャンを高速化できますが、ネットワークに負荷をかける可能性があります。
• --min-rtt-timeout <時間> / --max-rtt-timeout <時間> / --initial-rtt-timeout <時間>: プローブのタイムアウト時間をミリ秒単位で設定します。不安定なネットワークでは長めに設定すると良いでしょう。
• --max-retries <回数>: ポートスキャンプローブの最大再送回数を設定します。到達不能なホストでの無駄な再試行を減らします。
• --host-timeout <時間>: 指定された時間（ミリ秒）内に応答がないターゲットホストをスキップします。
• --scan-delay <時間> / --max-scan-delay <時間>: 各プローブ間の遅延時間を設定します（ミリ秒）。IDS/IPSの検出を回避したり、ネットワークに過負荷をかけないようにするために使用します。
• --min-rate <レート> / --max-rate <レート>: パケット送信レートを直接制御します（秒あたりのパケット数）。--min-rate 100は少なくとも毎秒100パケットを送信しようとします。

例: スキャンレートを調整し、再試行回数を制限して高速化

nmap -sS -p 80,443 --min-rate 100 --max-retries 3 target.example.com