Vad är en portscan-attacker mot en dator?

Inom internet‑nätverk används portar för att skilja olika program eller tjänster som körs på samma IP‑adress. En dator kan till exempel köra både en webbserver på port 80 och en FTP‑server på port 21. En portscan‑attack sker när en angripare skannar en annan dators portar för att ta reda på vilka tjänster som är aktiva och därmed kan utnyttjas.

Linjär portskanning

Linjär portskanning innebär att alla portar på ett system undersöks. En IPv4‑portnummer finns i ett 16‑bitssystem, vilket ger 65 536 möjliga portar (0‑65535). En linjär skanning analyserar varje port för att avgöra om den är öppen, stängd eller dold.

Random portskanning

Denna typ av skanning fungerar på samma princip som en linjär, men istället för att skanna alla portar väljs ett fast antal slumpmässiga portar. Syftet är att snabbare identifiera svagheter, särskilt när angriparen undersöker flera datorer samtidigt. Om en av de valda portarna visar sig vara öppen, granskas systemet mer noggrant.

Välkända tjänster portskanning

Mycket av den kritiska infrastrukturen körs på fördefinierade, välkända portar – t.ex. 25 och 110 för e‑post, 21 för FTP och 80 för HTTP. En skanning som fokuserar på dessa portar liknar en random‑skanning, men portarna är förutbestämda. Öppna portar leder till vidare analys av angriparen.

Rekognoscering

Efter att skanningen är klar analyserar angriparen resultaten. En öppen port indikerar att en tjänst körs där, vilket kan ge en möjlighet att exploatera systemet och få fjärråtkomst. Med en fungerande exploit kan angriparen potentiellt ta full kontroll över datorn.