ポートスキャン攻撃とは？危険性や悪用されないための対策方法を解説

ポートスキャンとは、ハッカーがネットワークやシステムにアクセスし、開いているドアを見つけ出し、そこからセキュリティの脆弱性を見つけるための手法です。

ホワイトハッカーが組織内のネットワークの脆弱性を見つけだして診断する際の手法として使われたり、反対にブラックハッカーが攻撃対象のシステムの詳細な情報を把握し、さらに高度なサイバー攻撃を仕掛ける準備を整えるために使う手法とされています。

そこで、このブログでは、ポートスキャンの仕組みから、基本的なポートの種類、ポートスキャンの種類、ポートスキャンの脆弱性を防ぐための基本的な対策方法をご紹介します。

ポートスキャンとは？

ポートスキャンとは、ハッカーがネットワークやシステムにアクセスするために使用される手法の一つです。

攻撃者は、ネットワーク上のデバイスやサーバーに存在するポートをスキャンし、開いているポートを特定します。

開いているポートは、特定の通信やサービスに利用され、アクセスが可能なポートとして脆弱性を突かれる可能性があります。

ポートスキャンの目的は、ネットワークやシステムのセキュリティホールを見つけ出し、不正にアクセスができるのか確認するために使う１歩目の手法です。

ホワイトハッカーが組織内のネットワークの脆弱性を見つけだして診断する際にも、この方法を利用します。

反対に、攻撃者は攻撃対象のシステムの詳細な情報を把握し、さらに高度なサイバー攻撃を仕掛ける準備を整えるために使われます。

ポートスキャンの仕組みとは？

ポートスキャンの仕組みは、ネットワーク内の特定のデバイスに対して複数のポートに接続を試みることで、各ポートが開いているか、閉じているか、もしくはフィルタリングされているかを確認する方法です。この操作を実行する際には、Nmapなどのポートスキャンコマンドを用いることが一般的です。こうしたコマンドを使ってポートごとの状態を確認し、スキャン結果をもとにターゲットデバイスが提供するサービスや利用可能な通信経路を把握します。

主なポートの種類のそれぞれによくある脆弱性

ここでは、主なポートの種類のそれぞれによくある脆弱性をご紹介します。

ウェルノウンポート

ウェルノウンポートは0から1023までの範囲で構成され、特定のサービスやアプリケーションに標準で割り当てられています。

• HTTP (ポート80)

ウェブサイトの標準通信に使用されます。

HTTPS (ポート443)：セキュアなウェブ通信に使用されます。ウェブ上のトラフィックが暗号化されていないと、通信内容が盗聴されやすく、中間者攻撃（MITM）に対して脆弱です。

• FTP (ポート21)

ファイル転送プロトコルに使用されます。SSL/TLSの実装に問題があると、SSLストリッピング攻撃やプロトコルの脆弱性を攻撃されるリスクが高いです。

• FTP (ポート21)

FTPは、ファイル転送プロトコルに使用されます。パスワードやデータが平文で送信されるため、情報漏洩のリスクが高いです。また、コマンドの不正利用やバッファオーバーフロー攻撃のリスクもあります。

• SSH (ポート22)

セキュアシェルアクセスに使用されます。ログイン試行回数の制限がされていなかったり、パスワード認証だけの場合、ブルートフォース攻撃や辞書攻撃などのパスワード関連の攻撃を受けるリスクがあります。

Eメール関連のポート

メールの送受信やサーバー間通信に使用されるポートです。代表的なプロトコルとそのポート番号は以下の通りです。

• SMTP (ポート25)

シンプルメール転送プロトコルに使用され、メールの送信に利用されます。オープンリレーやメールスプーフィング、スパムメール送信に利用される可能性があります。

• POP3 (ポート110)

メール受信プロトコルの一つで、サーバーからローカルデバイスにメールをダウンロードするために使われます。暗号化されていないパスワード認証などにより、パスワードの盗聴やリプレイ攻撃のリスクがあります。

• IMAP (ポート143)

メールの同期を行い、サーバー上のメールにアクセスするためのプロトコルです。POP3と同様に、平文でのデータ転送による情報漏洩のリスクが高いです。

セキュリティ関連ポート

ここでは、一部のセキュリティ関連のポートをご紹介します。

• LDAP (ポート389)

ライトウェイトディレクトリアクセスプロトコルに使用され、ディレクトリサービスへのアクセスに用いられます。

しかしながら、LDAPインジェクションや不正なアクセスによる情報漏洩のリスクがあります。

• RDP (ポート3389)

リモートデスクトッププロトコルに使用され、リモートデスクトップ接続を確立するために利用されます。

しかしながら、脆弱なパスワードを利用していたり、暗号化が適切になされていない場合、ブルートフォース攻撃や中間者攻撃などを受けるリスクがあります。

ポートスキャンの種類

それぞれ異なる手法でポートの開閉状況を確認し、システムの脆弱性を発見する目的で利用されます。ここでは、代表的なポートスキャンの種類を説明します。

Pingスキャン

Pingスキャンは、対象のネットワークに接続されているホストがアクティブかどうかを調べる手法です。ICMPリクエストを送信し、応答が返ってくることでホストの存在が確認できます。ファイアウォールやセキュリティ機能によりICMP応答がブロックされることも多いため、通常はスキャナーがネットワークの存否確認のみに利用されることが多いです。

SYNスキャン

SYNスキャンは、TCP接続を確立する最初のステップであるSYNパケットを送信する方法です。ターゲットポートが開いている場合、SYN-ACK応答が返され、ポートが閉じている場合はRSTパケットが返ります。SYNスキャンは完全に接続を確立しないため「半オープン」スキャンとも呼ばれ、検出が難しいとされています。

クリスマスツリースキャン

クリスマスツリースキャンは、TCPヘッダのすべてのフラグを設定してターゲットに送信するスキャン手法です。ターゲットが応答を返さない場合、ポートは開いていると見なされますが、RSTパケットが返る場合は閉じています。異常なフラグ設定で、ファイアウォールやIDS/IPSに検出されやすいスキャン方法です。

UDPスキャン

UDPスキャンは、TCPとは異なりコネクションレスのUDPプロトコルを使用してポートの開閉状況を確認します。UDPパケットをターゲットのポートに送信し、応答がなければポートが開いていると判断され、ICMPエラーメッセージが返されれば閉じているとみなす方法で判断します。

ポートスキャンの脆弱性を防ぐための7つの対策方法

ポートスキャンを防ぐための対策には、ネットワークやホストに対する不正なアクセス試行を検知し、脆弱性を悪用されるリスクを最小限に抑える対策をしておくことが重要です。

そこで、ポートスキャンの脆弱性を悪用されるリスクを最小限に抑える方法についてご紹介します。

1. ファイアウォールの設定強化

ファイアウォールは、ネットワークを外部の不正なアクセスから保護してくれる防護の壁です。ファイアウォールの設定を強化し、不要なポートや外部からの不要なアクセスを遮断することで、ポートスキャンによる侵入を困難にします。さらに、パケットフィルタリングを導入し、特定のIPアドレスやポートからのアクセスを制限することで、攻撃のリスクを大幅に減らすことができます。

2. ポートの閉鎖と不要なサービスの無効化

すべてのポートが常に必要というわけではなく、使われていないポートを閉じることで、スキャンの対象を減らせます。また、不要なサービスを無効にすることも効果的です。サービスが稼働するポートが少なければ、それだけ攻撃対象領域が狭くなり、ネットワーク内で必要最低限のサービスのみを実行することで、攻撃対象を絞り込むことが可能になります。

3. 侵入検知システム (IDS) / 侵入防止システム (IPS) の導入

IDSやIPSを導入すると、ポートスキャンや不正アクセスの兆候をリアルタイムで監視できます。これにより、異常なアクセスが発生した際に管理者へ自動で通知が届き、迅速な対処が可能です。また、IPSはスキャンが検出された際にアクセスを自動的にブロックする機能を備えているため、ポートスキャンによる侵入リスクを効果的に減らせます。

4. ポートランダム化

一般的なポート番号を避け、ランダムなポートを使用することで、スキャンツールによる特定を困難にします。サーバーやアプリケーションが特定のポートを使用せず、ランダムに割り当てられる場合、スキャナーに発見されるリスクが下がります。とくに、ウェルノウンポート以外のポートを選択することで、攻撃者が容易にポートを突き止められなくなります。

5. 公開鍵認証の使用

SSH接続においては、公開鍵認証を利用することでパスワードに依存せずに安全な接続を実現できます。公開鍵認証では、サーバー側に配置された公開鍵とユーザーが所有する秘密鍵が一致した場合に認証が行われ、ブルートフォース攻撃やパスワード漏えいのリスクを減らせます。

6. 強力で複雑なパスワード

強力でユニークなパスワードを設定することは、サイバーセキュリティの基本です。

大文字、小文字、数字、記号を含む16文字以上のパスワードを設定することで、パスワードの強度を大幅に高められます。このポリシーは、データベースアクセス、管理者権限が必要なシステムログイン、ファイアウォールやVPNの管理画面へのアクセスなど、重要なサービスやリソースに対するパスワードに適用することで、パスワード認証が突破されるリスクを軽減します。

7. 多要素認証の導入

多要素認証 (MFA) は、ログインに追加の認証方法を要求し、アカウントに保護レイヤーを追加します。

パスワードだけではなく、ワンタイムパスワード（TOTP）や認証アプリ、生体認証といった複数の認証要素を組み合わせることで、不正アクセスを防ぐ重要な対策です。

特に、リモートアクセスシステムやSSH接続のような外部からアクセスが行われるシステムでは、MFAの導入が効果的です。

例えば、VPNやSSH接続でMFAを使用することで、攻撃者がパスワードを取得しても、第二の認証情報がなければ接続ができず、アクセスが困難になります。また、システムやアプリケーションの管理者用ダッシュボードといった、アクセス権が大きく影響する箇所にもMFAを取り入れることで、セキュリティが強化されます。

このように、多要素認証は重要なシステムやサービスに対して強力な保護層を追加するため、パスワードが仮に漏洩してしまっても、追加の要素を証明できない限りログインができないため、被害を最小限に抑える役割を果たします。

まとめ：ポートスキャンはサイバー攻撃の予兆して常に予防しましょう

ポートスキャンは、サイバー攻撃の予兆として重要な指標です。攻撃者がネットワークやシステムの脆弱性を探る手段として広く利用されるため、早期の対応が不可欠です。企業や組織は、ポートスキャンの兆候を見逃さず、適切な防御策を講じることで、攻撃を未然に防ぐことができます。具体的には、ファイアウォールの設定強化や不要なポートの閉鎖、侵入検知システムの導入、さらにMFAや強力なパスワードポリシーなどあらゆるセキュリティ対策を組み合わせて、多角的に保護することが重要です。

その中でも、攻撃者はポートスキャンで、SSHやRDPなどの特定のサービスをターゲットにして、脆弱性を探ることもよくあります。

そのため、リモートアクセスサービスを安全に管理することが重要です。そこで、Keeperコネクションマネージャーが活躍します。

Keeperコネクションマネージャーは、安全なリモートアクセスを提供し、SSHやRDPを含むさまざまなプロトコルを安全に使用できる環境を構築します。

Keeperコネクションマネージャーが組織をどのようにアクセスを隔離して保護するか、まずはデモのお問い合わせをお待ちしております。