Comment fonctionne Nmap ? Guide complet

Qu'est-ce que Nmap ?

À la base, Nmap (Network Mapper) est un logiciel de cartographie de réseaux qui utilise les paquets IP pour identifier tous les périphériques connectés à ce réseau. Il s'agit également d'un des outils de découverte qui permet de fournir des informations sur les services et les systèmes d'exploitation qu'ils exécutent.

Utilisé par les administrateurs réseau, Nmap peut être utilisé pour effectuer un balayage de ports ou encore trouver des hôtes actifs sur un réseau. Ce scan de ports libre peut aussi détecter les systèmes d'exploitation d'une machine et la version logiciel, trouver des balayages ping…

Compatible avec de nombreux systèmes d'exploitation tels que Free BSD, Linux et Gentoo, ce programme est en général utilisé grâce à une interface en ligne de commande. Initialement développé pour des réseaux d'entreprise, Nmap est capable d'analyser des milliers d'appareils connectés.

Il existe également de nombreuses formations qui permettent de maitriser le fonctionnement et l'utilisation de cet outil. C'est notamment le cas de la formation d'analyste en cybersécurité proposée par Jedha. En dehors de la formation en cybersécurité Nmap, Jedha propose également des formations en Data Analysis, Date Engineering, Business Analytics, Data Science et en Pentesting.

Qu'est-ce qu'un serveur ?

En informatique, le terme « serveur » a deux significations. Un serveur désigne l'ordinateur qui fournit les ressources d'un réseau informatique, mais il s'agit également du programme fonctionnant sur cette machine.

Le serveur matériel ou hardware est en effet un réseau d'ordinateurs reliés par un équipement physique, sur lequel un ou plusieurs logiciels (software) fonctionnent. Dans l'univers informatique, un autre terme est parfois employé pour désigner un serveur matériel. Il s'agit du terme « Hébergeur » ou « Host » en anglais.

Quant au logiciel serveur ou software, il s'agit d'un programme qui effectue des interactions en réseau avec d'autres programmes également appelés « logiciels clients ». Le logiciel serveur permet de fournir un accès à un site internet en passant par un navigateur web. Le software permet également de collecter et d'envoyer des mails, de gérer les sites d'e-commerce, de stocker et de consulter les bases de données, de créer un réseau de partage d'imprimantes…

Pourquoi scanner un serveur ?

Le scanning d'un serveur fait référence au processus de vérification des réseaux ouverts dans un système informatique à l'aide d'outils spécifiques. Le network scanning permet de tester l'envoi de paquets de données spécifiques à des ports individuels. Il offre aussi la possibilité de recevoir des messages d'erreur ou des réponses que l'outil évalue et analyse.

Le scanning d'un serveur permet de fournir des informations sur les ports fermés et ouverts, mais aussi sur le système d'exploitation utilisé par l'ordinateur ciblé. Il aide également à disposer d'informations sur la durée de mise sous tension de l'ordinateur ainsi que sur les applications ou services qui utilisent le réseau.

Installation de Network Mapper

Bien que particulièrement simple et facile, le processus d'installation de Nmap varie en fonction du système d'exploitation utilisé. Lorsqu'il s'agit du système d'exploitation Windows, Nmap est livré avec un installateur personnalisé (nmapsetup.exe). Il suffit de télécharger et d'exécuter cet installateur et la configuration de Nmap se fait de manière automatique sur le système.

Pour une installation sur le système d'exploitation Mac, Nmap est également livré avec un installateur spécialement dédié. Pour lancer cet installateur, il faut exécuter le fichier Nmap-mpkg. Sur certaines versions récentes de macOS, il est possible de voir un avertissement indiquant que Nmap est un « développeur non identifié ». Il suffit d'ignorer cet avertissement pour continuer l'installation.

Les utilisateurs de Linux peuvent enfin soit utiliser le gestionnaire de paquets de leur choix, soit compiler Nmap à partir des sources. Pour utiliser apt par exemple, il suffit d'exécuter Nmap-version pour vérifier si le logiciel est installé. Pour installer le programme, il faut exécuter « sudo apt-get install Nmap ».

Comment fonctionne-t-il ?

Les scanners de réseau font partie intégrante de la première ligne de défense des administrateurs informatiques pour lutter contre les failles de sécurité. En ce qui concerne l'outil Nmap, son fonctionnement est assez simple. Ce logiciel est en effet utilisé pour effectuer une reconnaissance et un diagnostic efficaces qui permettent à l'administrateur réseau de repérer les problèmes susceptibles de causer des problèmes de sécurité informatique.

Le scanner de réseau Nmap permet d'analyser une gamme d'adresses IP de manière séquentielle et d'afficher les périphériques actifs dans ce bloc d'adresses. À cet effet, Nmap est également capable d'afficher des détails sur les ports réseau et les services de port d'une part, mais il permet aussi d'identifier les agents malveillants d'autre part.

Les bases du scan de ports

Le nombre de fonctionnalités de Nmap a certes considérablement augmenté au fil des années, mais cet outil reste un scan de ports particulièrement efficace. Ceci reste d'ailleurs sa principale fonction. La commande de base Nmap est capable de scanner plus de 1660 ports TCP de l'hôte.

Même si de nombreux autres scanners de ports ont partitionné les états des ports en ouverts ou fermés, Nmap a une granularité beaucoup plus fine. Il divise les ports selon six états qui ne font pas partie des propriétés intrinsèques des ports eux-mêmes. En revanche, ces ports décrivent comment le logiciel les perçoit.

Les six états de port reconnus par Nmap

Nmap reconnait six états de port. Il s'agit de :

• ouvert (open) : une application accepte des paquets UDP ou des connexions TCP sur ce port. Trouver des ports ouverts est d'ailleurs le principal objectif du scan de port,
• fermé (close) : le port fermé reçoit et répond aux paquets émis par Nmap. Un port fermé est accessible, mais il n'y a pas d'application en écoute,
• filtré (filtered) : le dispositif de filtrage des paquets peut être des règles de routeurs filtrants, un pare-feu dédié ou un pare-feu logiciel,
• non-filtré (unfiltered) : cet état signifie simplement qu'un port est accessible, mais que l'outil est incapable de déterminer s'il s'agit d'un port ouvert ou fermé,
• ouvert/filtré (open/filtered) : les ports dont Nmap est incapable de déterminer s'ils sont des états ouverts et filtrés sont mis dans l'état open/filtered,
• fermé/filtré (closed/filtered) : lorsque Nmap est incapable de déterminer si un port est filtré ou fermé, il utilise l'état closed/filtered.

L'état fermé/filtré est seulement utilisé par le scan Idle qui est basé sur les identifiants de paquets IP.

Les options usuelles de Nmap

Les options de Nmap peuvent être parfois combinées et sont très caractéristiques à certaines opérations. Il peut cependant arriver que certaines options ne parviennent pas à cohabiter. Les options usuelles de Nmap sont les suivantes :

• sT : cette option analyse le port TCP connect (). Il s'agit du mode le plus usuel et l'issue du scan peut être facilement interprétée,
• sF : elle correspond aux scans d'arbre Xmas, de FIN furtif et de NULL,
• sP : cette méthode permet d'effectuer un ping pour vérifier si l'hôte est toujours en ligne,
• s0 : elle analyse le protocole IP. Elle permet en effet de déterminer le protocole IP qui est supporté par la plateforme distante.

Parmi les autres options usuelles de Nmap, on peut également ajouter sA qui analyse l'ACK, ou encore sW qui permet d'effectuer une analyse avancée identique à celle de l'ACK.

Les versions du scan

Il existe différentes versions du scan de port avec Nmap en fonction des besoins des utilisateurs. Parmi celles-ci, on peut notamment citer le scan SYN (-sS) qui permet d'identifier un port qui doit être ouvert en envoyant un « SYN » à la cible. Un autre type de scan Nmap le plus courant est le scan TCP (-sT). Ce scan identifie un port comme étant ouvert en attendant la fin du three-way handshake. Le scan UDP (-sU) est enfin utile pour identifier les ports UDP.

Quelle formation choisir ?

L'utilisation des outils d'analyse réseau comme Nmap nécessite une parfaite compréhension des grands enjeux de la cybersécurité. Jedha propose une formation qui permet de maitriser les techniques d'Ethical Hacker et de SOC Analysts dans un programme de 40 heures à temps complet ou à temps partiel.

Cette formation est le meilleur moyen de comprendre la cybersécurité et de découvrir les failles potentielles contre lesquelles l'on peut protéger son infrastructure. Au cours de cette formation, il est possible d'apprendre à évaluer les risques des failles humaines et techniques pour prendre des décisions éclairées sur les mesures de protection à implémenter.

La formation d'analyste en cybersécurité s'adresse à toute personne, même celles qui n'ont aucune notion initiale dans le domaine. La formation Cybersécurité Essentials est divisée en plusieurs modules, répartis comme suit :

• Cybersécurité et networking,
• Gestion du risque,
• Exploitation et vulnérabilité,
• Pénétration de site internet,
• Monitoring de risque et projet.

La formation est spécialement adaptée pour monter progressivement en compétences sans avoir l'impression d'être submergée sous des notions techniques. Suivre une formation sur l'utilisation de Nmap est sans doute le meilleur moyen d'augmenter la sécurité des réseaux. Ce programme offre en effet un moyen rapide et efficace d'auditer les systèmes informatiques de l'entreprise.

Outil très pratique pour analyser la cartographie de réseaux et une gamme d'adresses IP, Nmap se présente comme un logiciel essentiel pour la cybersécurité. Pour mieux en appréhender les rouages, il est important de passer par une formation. Jedha est le mieux placé pour aider les futurs administrateurs réseau à détecter les problèmes grâce notamment à sa formation Cybersécurité Essentials.