【ポートスキャン編】開いてる扉を数える偵察の作法｜CTF思考フレームワーク R02

こんにちは、アンペンです！

偵察ルートR02はポートスキャン。R01で全サブドメインを掴んだ後、次は『各ホストでどのポートが開いていて、何のサービスが動いているか』を素早く・静かに数える作法を扱います。攻撃面の入口=ポート、それを正確に把握できないとexploitは外します。

nmapが定番ですが、現代はmasscan(数百万pps)やrustscan/naabuの高速スキャナと組み合わせるのが主流。インターネット全体のスキャンもZMapを使えば45分で完了する時代です。

ポートというのは、いわば建物に並んだ“出入口”です。22番は管理人用の通用口（SSH）、80番と443番は正面玄関（Web）、3389番はリモート操作の窓口（RDP）…という具合に、番号ごとに役割が決まっています。攻撃者がまずやるのは、この“どの扉が開いているか”を数えること。開いている扉が分かれば、そこから先の攻め方が絞れるからです。今日は、その扉を『速く・正確に・できれば静かに』数える作法を見ていきましょう。

nmap以外にもポートスキャンツールあるの？

大量IPならmasscan(数百万pps)、現代ではnaabu/rustscanも人気。検知回避には-Pn -T2 + フラグメント+デコイが定石。nmap(精度)+masscan(速度)の組み合わせが現代の王道。

3段階のスキャン戦略:速度と精度の役割分担

• ①広域・高速：masscan(数百万pps可能、全65535ポートを数分)、rustscan(Rust製、masscan後にnmapを自動起動)、naabu(ProjectDiscovery製、シンプル高速)。役割は『開いてるかどうか』だけを高速確認
• ②詳細：nmap -sV -sC -p <openports> でサービス特定・バージョン特定・デフォルトNSE実行。『何のソフトのどのバージョンか』を確定
• ③特定：NSEスクリプト(--script vuln)、nucleiテンプレート、Metasploit補助モジュールで既知CVE/脆弱性の存在確認・PoC実行

なぜわざわざ3段階に分けるのか。それは“速さ”と“詳しさ”が両立しないからです。全ポートをいきなり精密スキャンすれば、時間もログも膨大になり、すぐ気づかれてしまう。だから、まず軽く全体を叩いて『開いてる扉』だけを拾い（高速）、その扉に絞って中を覗き（詳細）、気になる部屋だけ精査する（特定）。料理の“下ゆで→本調理→味付け”と同じで、順番に絞り込むのが、結局いちばん早いんです。

図解:スキャンの3段階フロー

1段階目で広く速く、2段階目で詳しく、3段階目で精密に。役割が明確になると無駄が減り、検知リスクも最小化されます。『開いてもいないポートに対して精密スキャンを掛ける』のは時間とログの無駄なので、必ず段階を踏みます。

ここから“検知されにくくする技法”に触れますが、その前に一線を引いておきます。これらは『許可されたペンテストやCTFで、相手に過剰な負荷をかけずに調べる』ための作法であって、無断で他人のネットワークに使えば、日本では不正アクセス禁止法等に触れる立派な犯罪です。技を知ることと、振るっていい場所をわきまえること——この両方がセットで“作法”なんです。

検知されにくいスキャン技法

• -T0/-T1/-T2：超低速(各プローブ間隔5分/15秒/0.4秒)でIDSの『連続スキャン』検知を回避。実用は-T2がギリギリ
• -f / –mtu：パケットフラグメント化、シグネチャベースIDS回避
• –decoy / -D RND:10：偽IPで攻撃元を分散。10個のランダム偽IPと自IPを混在させる
• –data-length 25：パケット長を変えてOS指紋・スキャナ指紋を撹乱
• –source-port 53：応答パケットの送信元を53(DNS)/80(HTTP)にしてFW通過率を上げる
• –randomize-hosts：ターゲットIPの順序をランダム化、連続性を低減
• 分散スキャン：VPS/プロキシ複数経由で並列スキャン(本格的なRedTeamで使用)

これらの“静かに調べる”技は、裏返せば守る側の教科書でもあります。攻撃者が低速・分散・偽装で忍び込もうとするなら、守る側は『やけにゆっくりした連続アクセス』や『妙な送信元ポート』といった“静けさの不自然さ”を見張ればいい。完全に隠れるスキャンは存在しないので、防御側は『何かがおかしい』という兆候を拾う方向で勝負します。攻めの手口を知ることが、そのまま検知ルールの設計図になるわけです。

CTFでやってみよう:自宅で3段階体験

では守る側の具体策へ。結論はとてもシンプルで、『開いている扉を、必要な数まで減らす』。攻撃者は開いた扉しか狙えないので、扉そのものが少なければ、攻撃面は自動的に小さくなります。次のリストは、その“扉を減らして・見張って・自分で確認する”を仕組みにしたものです。

守る側:ポート最小化と監視・自社可視化

『何のために開いてるか分からないポート』は閉じればOKだね。

次はR03、Webサーバ指紋編。技術スタックを当てて攻撃面を絞り込むよ。

まとめ:『3段階+検知回避+自社可視化』

今日の持ち帰りは『開いている扉は、必要な分だけ』。攻撃者はまずポートを数えるところから始める——だから守る側の最初の一手も、自社のポートを数えることです。攻撃者と同じ目線でShodanに自社を打ち込んでみる。そこで『え、これ開けっ放しだったの？』と気づけたら、その瞬間に攻撃面が1つ閉じます。

次はR03、Webサーバ指紋編。HTTPヘッダ・JSライブラリ・404ページから技術スタックを当てる作法を扱います。

次に読みたい記事

参考資料