Ja, NMAP kan worden gedetecteerd en geblokkeerd. NMAP is een krachtige open-source tool voor netwerkwetenschap en beveiliging bedacht door Gordon Lyon. Het maakt het mogelijk om netwerken te verkennen en beveiligingsaudits uit te voeren door verschillende soorten scans uit te voeren, zoals portscans, service detectie, OS detectie en nog veel meer (NMAP, n.d.).
Volgens een rapport gepubliceerd door SANS Institute, een wereldwijd vertrouwd en bekend centrum voor cyberbeveiligingstraining en certificering, zijn er verschillende methoden om NMAP-scans te detecteren (Lyon, 2009). Firewall- en IDS (Intrusion Detection System) –systemen zijn zeer effectief in het detecteren van NMAP aanvallen. Deze beveiligingssystemen kunnen ongewoon verkeer, zoals veelvuldige connectie-aanvragen naar verschillende poorten, opmerken en zo NMAP-scans detecteren. Beveiligingsoplossingen zoals Snort hebben zelfs specifieke regels om NMAP scan pogingen te detecteren.
Niet alleen kan NMAP worden gedetecteerd, maar ook kunnen er tegenmaatregelen worden genomen om NMAP-scans te blokkeren. Firewalls kunnen worden geconfigureerd om verdachte IP-adressen te blokkeren die naar te veel poorten scannen, wat een veelgebruikte tactiek van NMAP is (Lyon, 2009). Er zijn ook meer complexe methoden, zoals het gebruik van “honey pots” – aantrekkelijke doelwitten die bedoeld zijn om aanvallers af te leiden en hun activiteiten op te sporen (Spitzner, 2003). Steeds meer systemen maken ook gebruik van anomaly-based intrusion detection, dat ongewone netwerkactiviteiten identificeert en blokkeert.
Een voorbeeld van een beveiligingssysteem dat NMAP scan pogingen effectief kan detecteren en blokkeren is Snort. Snort is een open-source intrusion prevention system dat in real-time netwerkverkeer kan analyseren en potentiële dreigingen kan identificeren (Roesch, 1999). Het heeft specifieke regels die worden geactiveerd door de unieke kenmerken van NMAP-scans, en kan deze informatie gebruiken om toekomstige verkeer van de bron van de scan te blokkeren.
In dit antwoord zijn de volgende bronnen gebruikt: de officiële NMAP website (nmap.org), een rapport gepubliceerd door de SANS-Institute (Lyon, 2009), een whitepaper over het gebruik van honey pots (Spitzner, 2003), en een paper over Snort (Roesch, 1999).
Bronnen:
- NMAP. (n.d.). NMAP: the Network Mapper – Free Security Scanner. Retrieved from https://nmap.org/
- Lyon, G.F. (2009). Detecting Nmap Scans with Snort. SANS Institute. Retrieved from https://www.sans.org/reading-room/whitepapers/detection/detecting-nmap-scans-snort-32959
- Spitzner, L. (2003). Honeypots: Catching the insider threat. Proceedings of the 19th Annual Computer Security Applications Conference, 170-179.
- Roesch, M. (1999). Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX conference on System administration, 229-238.
