En las redes informáticas , un análisis de servicios identifica los servicios de red disponibles intentando iniciar muchas sesiones para diferentes aplicaciones con cada dispositivo en un grupo de dispositivos de destino. Esto se hace enviando paquetes de inicio de sesión para muchas aplicaciones diferentes para abrir puertos en todos los dispositivos especificados en el grupo de dispositivos de destino. Este análisis se realiza a través de una amplia gama de protocolos TCP , UDP (y otros protocolos de capa de transporte si se desea, como SCTP ). Un escáner de servicios identificará cada dispositivo que encuentre junto con los servicios que encuentre en los puertos que analice. [1] [2]
La mayoría de los servicios de red basados en el usuario están destinados a ser encontrados por los usuarios. [3] Como ejemplo, un servicio web puede estar disponible en el puerto TCP 80 en un dispositivo. TCP/80 es el puerto estándar para HTTP y los usuarios podrían acceder al contenido de ese servidor web, el sitio web , dirigiendo sus navegadores web a ese dispositivo donde el usuario podría ver la página de inicio del sitio web. Sin embargo, un servicio web puede abrirse en un puerto diferente, donde se puede compartir contenido diferente. Esto puede ser en un intento de ocultar algún contenido a los usuarios comunes y solo proporcionarlo a los usuarios que saben cómo acceder al servicio web en el puerto no estándar. Un escaneo de puerto podrá identificar que un puerto está abierto en el dispositivo, pero puede no ser capaz de determinar qué servicio se ofrece en ese puerto. Un escaneo de servicio de ese dispositivo podrá determinar que el puerto está abierto y que es un servicio web.
Los escáneres de servicios se pueden configurar para que apunten a un solo dispositivo, pero lo más frecuente es que se configuren para que apunten a una gran cantidad de dispositivos. Por ejemplo, un escáner de servicios se puede configurar para que escanee una subred . Un escáner de servicios también se puede configurar para que escanee puertos estandarizados, conocidos y no utilizados , e intentará iniciar sesiones en muchos servicios conocidos para cada puerto. Esto es diferente de un barrido de puertos que solo identificará los puertos abiertos, que se supone que están asociados con el servicio predeterminado para ese puerto. La diferencia es que un escaneo de puertos y un barrido de puertos detectarán que un dispositivo tiene un puerto abierto y supondrán que el puerto está asociado con el servicio normalmente asociado con ese puerto. Sin embargo, un escáner de servicios verificaría que el servicio esté realmente asociado con ese puerto, o intentaría encontrar e informar la aplicación realmente asociada con ese puerto en el dispositivo.
El personal de seguridad de la información puede realizar exploraciones de servicios para reducir el riesgo. Por ejemplo, un escáner de servicios puede configurarse para buscar únicamente servidores Microsoft SQL Server en los puertos TCP del 1 al 50 000 en todos los dispositivos de una red privada empresarial . Si el escáner de servicios solo encuentra el servicio MSSQL que se ejecuta en servidores conocidos y autorizados en TCP/1433 (el puerto asignado), entonces pueden estar razonablemente seguros de que no hay servidores SQL no autorizados en su red. [4] [5] [6] [7] Se pueden utilizar herramientas como nmap y nessus para este propósito.
Por otro lado, un atacante de red puede utilizar un tipo especial de escáner de servicios, conocido como escáner de vulnerabilidades , para encontrar dispositivos que no hayan sido parcheados para encontrar una vulnerabilidad conocida . [8] Un atacante también puede utilizar un escáner de servicios para encontrar puertos administrativos abiertos como Telnet en TCP/21 y SSH en TCP/22. Una vez que un atacante encuentra esos puertos, puede intentar obtener acceso a esos dispositivos adivinando nombres de usuario y contraseñas. [9]