ステルススキャン (ステルススキャン) とは | 意味や読み方など丁寧でわかりやすい用語解説

ステルススキャン (ステルススキャン) の読み方

日本語表記

ステルススキャン (ステルススキャン)

英語表記

stealth scan (ステルススキャン)

ステルススキャン (ステルススキャン) の意味や用語解説

ステルススキャンとは、ネットワーク上のホストがどのポートを開いているか、または閉じているかを特定するための手法の一つである。通常のポートスキャンがターゲットシステムに検出されやすい完全なTCP接続を試みるのに対し、ステルススキャンはその接続プロセスを意図的に中断させることで、ターゲットシステムのログやファイアウォール、侵入検知システム（IDS/IPS）に痕跡を残しにくく、あるいは検出されにくくすることを目的としている。これにより、攻撃者やペネトレーションテスターは、ターゲットのシステム管理者やセキュリティ監視者に気づかれずに、開放されているサービスや脆弱性を探ることが可能となる。代表的なステルススキャンには、SYNスキャン（ハーフオープン・スキャンとも呼ばれる）、FINスキャン、Xmasスキャン、NULLスキャンなどがある。これらの手法は、TCPプロトコルの動作の特性を悪用し、不完全な接続要求を送信することで、ポートの状態を推測する。 ステルススキャンを理解するためには、まずTCP接続の基本的な確立プロセスである「スリーウェイハンドシェイク」を把握する必要がある。これは、クライアントがサーバーに対してSYN（同期）パケットを送信し、サーバーがそれに応答してSYN-ACK（同期・確認応答）パケットを返し、最後にクライアントがACK（確認応答）パケットを送信することで、信頼性の高い通信経路を確立する手順である。 SYNスキャンは、このスリーウェイハンドシェイクを完了させないことでステルス性を実現する。スキャナーはターゲットのポートに対してSYNパケットを送信する。ターゲットのポートが開いている場合、サーバーはSYN-ACKパケットを返信する。ここでスキャナーはACKパケットを返さず、代わりにRST（リセット）パケットを送信して接続を強制的に切断する。これにより、ターゲットシステム側では完全なTCP接続が確立されず、アプリケーション層でのログが生成されにくい。ポートが閉じている場合、ターゲットシステムはSYNパケットに対して直接RSTパケットを返す。この手法は、完全な接続を確立するよりも高速であり、OSのTCPスタックによっては接続ログを残さない場合があるため、半開きの接続として検出を回避しやすい。しかし、ステートフルファイアウォールや高度なIDS/IPSは、この半開きの接続状態を監視することでSYNスキャンを検出する可能性がある。 FINスキャン、Xmasスキャン、NULLスキャンは、さらに異なるTCPフラグの組み合わせを利用して検出を回避しようとする。TCPプロトコルのRFC（Request for Comments）には、閉じているポートに対して不審なTCPフラグ（例えば、FINフラグのみがセットされたパケット）が送られた場合、RSTパケットを返すべきだと規定されている。一方、開いているポートに対しては、そのような不審なパケットが送られても応答しないか、または破棄すべきだとされている。これらのスキャンは、この特性を利用する。 FINスキャンでは、FINフラグのみがセットされたパケットを送信する。ターゲットのポートが閉じている場合、RSTパケットが返される。ポートが開いている場合、RFCの規定に従って応答がないか、パケットが破棄される。Xmasスキャンでは、FIN、URG、PSHといった複数のフラグを同時にセットしたパケットを送信する。これは、まるでクリスマスツリーの電飾がすべて点灯しているように見えることからこの名がついた。この場合も、閉じているポートからはRSTが返され、開いているポートからは応答がない。NULLスキャンでは、TCPヘッダーのどのフラグもセットされていない、つまりフラグがすべて0の状態のパケットを送信する。これも同様に、閉じているポートからはRSTが返され、開いているポートからは応答がないことを利用する。 これらのFIN、Xmas、NULLスキャンは、SYNスキャンよりもさらに痕跡を残しにくい場合がある。しかし、現代のIDS/IPSやファイアウォールは、これらの非標準的なTCPフラグの組み合わせを異常な通信として検知し、ブロックまたはアラートを生成するよう進化している。また、ターゲットシステムがMicrosoft Windows OSの場合、これらのスキャンに対して、開いているポートからもRSTパケットを返すという非標準的な応答を示すことが多いため、ポートの状態を正確に判断できない場合もある。 ステルススキャンは、攻撃者にとっては初期偵察フェーズでターゲットに関する情報を収集するための強力なツールであり、システムエンジニアやセキュリティ担当者にとっては、自社システムのセキュリティ脆弱性を評価するためのペネトレーションテストにおいて不可欠な手法である。これらのスキャン手法を理解し、それらに対する適切な防御策を講じることは、現代のサイバーセキュリティ対策において極めて重要である。対策としては、ステートフルファイアウォールの導入、IDS/IPSによる異常通信の検知と遮断、ポートへのアクセス制御の厳格化、定期的な脆弱性診断などが挙げられる。