|
Les analyses TCP FIN sont un type d'analyse réseau utilisé dans les audits de sécurité et les tests d'intrusion pour identifier les ports ouverts et fermés sur un système cible. Contrairement à d'autres analyses qui tentent activement d'établir une connexion (comme les analyses TCP SYN), une analyse FIN envoie un paquet TCP avec l'indicateur FIN défini au port cible.
Voici comment cela fonctionne et ce qu'indiquent les réponses :
* Port ouvert : Si le port est ouvert, le système cible ignorera généralement le paquet FIN. En effet, un paquet FIN fait partie du processus normal de terminaison de connexion TCP et un port ouvert n'attend pas ou ne traite pas un tel paquet à l'improviste. L'analyse expirera probablement ou ne recevra aucune réponse.
* Port fermé : Si le port est fermé, le système cible répondra avec un paquet TCP RST (réinitialisation). Cela indique que le port n'écoute pas les connexions.
* Port filtré : Si un pare-feu ou un autre périphérique réseau bloque l'analyse, le système cible ne répondra pas du tout. Cela entraîne un délai d'attente ou une absence de réponse, similaire à un port ouvert. C'est l'ambiguïté des scans FIN.
Pourquoi utiliser les analyses FIN ?
Les analyses FIN présentent un avantage potentiel par rapport aux autres analyses TCP, car elles sont moins susceptibles d'être détectées par les systèmes de détection d'intrusion (IDS). En effet, ils ne tentent pas activement d'établir une connexion, ce qui constitue souvent une signature déclenchant une alerte. Cependant, cet avantage furtif diminue à mesure que des systèmes IDS plus sophistiqués sont développés.
Limitations des analyses FIN :
* Ambiguïté : L'inconvénient majeur des analyses FIN est l'incapacité de faire la distinction entre les ports ouverts et filtrés. Les deux entraînent une absence de réponse ou un délai d'attente.
* L'évasion du pare-feu n'est pas garantie : Bien qu’ils puissent échapper à certains IDS plus simples, des systèmes plus avancés peuvent les détecter.
* Pas fiable sur tous les systèmes : Certains systèmes peuvent réagir différemment que prévu, conduisant à des résultats inexacts.
En résumé, les analyses FIN offrent une approche plus furtive de l'analyse des ports que les autres méthodes, mais cette furtivité se fait au détriment de la précision. Il est préférable de les utiliser conjointement avec d'autres techniques d'analyse pour obtenir une image plus complète des ports ouverts et de l'état de sécurité du système cible.
|
