Netzwerk-Scanning mit Nmap: Ein praktischer Leitfaden

Was ist Nmap und warum ist es wichtig?

Nmap (Network Mapper) ist ein kostenloses Open-Source-Tool, das seit 1997 der Eckpfeiler der Netzwerk-Aufklärung ist. Es sendet präzise Pakete an Zielhosts und analysiert die Antworten, um zu bestimmen, welche Hosts online sind, welche Ports offen sind, welche Dienste laufen und oft welches Betriebssystem verwendet wird. Sicherheitsfachleute nutzen es für Schwachstellenbewertungen, Penetrationstests und Netzwerkinventarisierung. Angreifer nutzen es, um Einstiegspunkte zu finden, bevor sie einen Angriff starten. Zu verstehen, was Nmap über Ihre Systeme enthüllt, ist der erste Schritt zu deren Verteidigung.

Holen Sie immer eine schriftliche Genehmigung ein, bevor Sie ein Netzwerk scannen, das Ihnen nicht gehört. Unbefugtes Scannen ist in den meisten Rechtsgebieten illegal.

Host-Erkennung

Bevor Sie Ports scannen, müssen Sie wissen, welche Hosts aktiv sind. Das Standardverhalten von Nmap pingt Hosts, bevor es sie untersucht:

# Ping-Sweep – aktive Hosts in einem Subnetz entdecken
nmap -sn 192.168.1.0/24

Das -sn-Flag (kein Port-Scan) sendet ICMP-Echo-Anfragen, TCP SYN an Port 443, TCP ACK an Port 80 und ICMP-Zeitstempelanfragen. In einem lokalen Netzwerk ist dies normalerweise ausreichend. Bei gehärteten Hosts oder Firewalls, die ICMP blockieren, müssen Sie die Host-Erkennung möglicherweise ganz überspringen:

# Alle Hosts als online behandeln – nützlich wenn ICMP blockiert wird
nmap -Pn 10.0.0.5

Port-Scanning-Techniken

Nmap unterstützt viele Scan-Typen. Die wichtigsten sind:

TCP SYN-Scan (Stealth-Scan)

nmap -sS 192.168.1.10

Dies ist der Standard-Scan, wenn er als Root ausgeführt wird. Er sendet ein SYN-Paket; wenn der Port offen ist, antwortet das Ziel mit SYN/ACK, und Nmap sendet sofort RST, anstatt den Handshake abzuschließen. Da keine vollständige Verbindung hergestellt wird, zeichnen viele ältere IDS-Systeme und Anwendungsprotokolle ihn nicht auf – daher der Name "Stealth-Scan". Er ist schnell und präzise.

TCP-Connect-Scan

nmap -sT 192.168.1.10

Wird verwendet, wenn Sie keine Raw-Socket-Privilegien haben. Nmap schließt den vollständigen TCP-Handshake ab. Dies ist lauter und langsamer, funktioniert aber ohne Root. Anwendungsprotokolle werden diese Verbindungen aufzeichnen.

UDP-Scan

nmap -sU 192.168.1.10

UDP-Scanning ist langsam, weil geschlossene UDP-Ports typischerweise ICMP-Port-Unreachable-Nachrichten zurückgeben, während offene Ports oft überhaupt nichts zurückgeben. Rate-Limiting durch das OS macht diesen Scan minuten pro Host dauern. Verwenden Sie ihn nur für bestimmte UDP-Ports wenn möglich:

nmap -sU -p 53,161,500 192.168.1.10

Dienst- und Versionserkennung

Zu wissen, dass ein Port offen ist, ist nützlich; zu wissen, was auf ihm läuft, ist unerlässlich:

nmap -sV 192.168.1.10

Nmap sendet eine Reihe von Probes und vergleicht Antworten mit einer Datenbank mit über 11.000 Dienst-Signaturen. Sie erhalten eine Ausgabe wie 80/tcp open http Apache httpd 2.4.51. Das Flag --version-intensity (0–9) steuert, wie aggressiv Nmap prüft – höhere Werte erkennen obskurere Dienste, dauern aber länger.

OS-Erkennung

nmap -O 192.168.1.10

Nmap analysiert das Verhalten des TCP/IP-Stacks (TTL-Werte, Fenstergrößen, IP-Flags usw.), um das Betriebssystem zu identifizieren. Kombinieren Sie es mit -sV für ein umfassendes Bild:

nmap -A 192.168.1.10

Das -A-Flag aktiviert OS-Erkennung, Versionserkennung, Script-Scanning und Traceroute auf einmal.

Nmap Scripting Engine (NSE)

Nmaps leistungsstärkstes Feature ist seine Scripting Engine, die automatisierte Interaktion mit Diensten mithilfe von Lua-Skripten ermöglicht:

# Standardmäßige sichere Skripte ausführen
nmap -sC 192.168.1.10

# Nach spezifischen Schwachstellen suchen
nmap --script vuln 192.168.1.10

# HTTP-Header enumerieren
nmap --script http-headers 192.168.1.10

Skripte sind in safe, intrusive, exploit, brute und mehr kategorisiert. Seien Sie vorsichtig mit den Kategorien intrusive und exploit – sie können Dienste stören oder Benachrichtigungen auslösen.

Ausgabeformate

Für professionelle Einsätze speichern Sie Ergebnisse in maschinenlesbaren Formaten:

# Normale Ausgabe
nmap -oN scan.txt 192.168.1.0/24

# XML-Ausgabe (importierbar in Metasploit, Schwachstellenscanner)
nmap -oX scan.xml 192.168.1.0/24

# Alle Formate auf einmal
nmap -oA scan_results 192.168.1.0/24

Tools wie Zenmap bieten eine grafische Benutzeroberfläche für die Ergebnisvisualisierung, und Metasploit kann Nmap XML direkt importieren, um seine Host-Datenbank zu befüllen.

Erkennung umgehen

Angreifer verwenden verschiedene Techniken, um IDS/IPS-Benachrichtigungen zu vermeiden:

• Langsamer Scan: -T0 oder -T1 reduziert die Paketrate drastisch
• Decoys: -D RND:10 sendet Pakete von 10 zufälligen Decoy-IPs zusammen mit der echten Quelle
• Fragmentierung: -f teilt Pakete in 8-Byte-Fragmente auf
• Quellport-Spoofing: --source-port 53 imitiert DNS-Datenverkehr

Das Verständnis dieser Techniken hilft Ihnen, Ihre Erkennungssysteme darauf abzustimmen, sie zu erkennen.

Eine Baseline für Ihr Netzwerk erstellen

Führen Sie Nmap regelmäßig gegen Ihre eigene Infrastruktur aus und vergleichen Sie die Ergebnisse. Unerwartete offene Ports, neue Dienste oder unbekannte Hosts sind Warnsignale. Ein einfacher Arbeitsablauf:

1. Führen Sie einen autorisierten Vollport-Scan durch: nmap -p- -sV -oX baseline.xml 192.168.1.0/24
2. Planen Sie wöchentliche Scans und vergleichen Sie die XML-Ausgabe mit ndiff
3. Untersuchen Sie jede Abweichung – ein neuer offener Port könnte eine Fehlkonfiguration oder einen kompromittierten Host bedeuten

Nmap ist kein Schwachstellenscanner, aber er zeigt Ihnen, was exponiert ist. Kombinieren Sie es mit Tools wie OpenVAS oder Nessus für ein vollständiges Bild Ihrer Angriffsfläche.