Nmap 入門 — スキャン結果の読み方と公開ポートの確認

Nmapとは：結果を資産台帳と突き合わせるツール

Nmapはネットワークのホストやサービスを調べるツールです。ただし、表示されたポートや製品名だけで侵害・脆弱性の存在を確定することはできません。このレッスンでは取得済みの架空の結果を読むことで、許可された点検の判断と報告を練習します。探索・認証試行・脆弱性悪用のコマンドは扱いません。

対象は情シス、ネットワーク管理者、サーバー担当者です。公開サービスの棚卸し、不要なポートの見直し、変更後の確認に使えます。

点検前に合意するチェックリスト

• 対象の所有者、対象範囲、実施時間、担当者の許可があるか。
• 委託先・クラウド事業者の利用規約と手順に適合するか。
• 監視担当への連絡、停止条件、連絡先が決まっているか。
• 業務システム、医療・制御設備、共有基盤への影響を評価したか。
• 結果ファイルの閲覧者と保存先を限定したか。

「自社IPだから何をしてもよい」「応答がないから強い試行を続けてよい」とは判断しません。演習環境の分離も確認してください。

open・closed・filteredの違い

経路、ファイアウォール、タイムアウト、実施方法によって観測は変わります。社内から見えたポートがインターネットからも見えるとは限りません。

架空の結果を読む演習

以下は実行結果ではなく、学習用に作成した記録です。対象は文書例示用IPです。

対象: 192.0.2.10
観測地点: 社内の承認済み点検用端末
22/tcp  open      ssh
443/tcp open      https
3306/tcp filtered mysql

この結果だけなら、「社内経路で22と443が応答した」「3306の開閉は判断できない」までを報告します。「MySQLが安全」「SSHに脆弱性がある」「外部公開されている」という結論は出せません。

次に22の管理用途、接続元制限、認証方式、443の業務用途と更新状況を所有者へ確認します。3306はネットワーク設定とDB設定で許可経路を確かめます。

バージョン表示をCVEへ直結させない

バナーが古くても、ディストリビューションによる修正のバックポートが適用されている場合があります。逆にバナーを隠していても修正済みとは限りません。

ソフトウェア資産台帳、ベンダーの影響条件、導入パッケージの版、実際の機能利用を照合します。CVE初動確認で必要な項目をそろえ、結果を「影響あり・影響なし・未確認」に分けます。

修正・再確認・報告の順番

1. 所有者が不要な公開や接続経路を特定し、変更承認を取る。
2. 接続制限やサービス停止を、業務影響と復旧手順を確認して実施する。
3. 同じ観測地点・対象範囲で再確認し、業務の正常動作も確かめる。
4. 未確認箇所、例外、次回確認日を記録し、完了条件を所有者が承認する。

記録には対象、観測地点、時刻・タイムゾーン、承認番号、結果、設定確認、変更、未確認事項を残します。パスワードや秘密鍵は含めません。公開管理画面の問題なら緊急点検チェックリストへ進んでください。