Scansione dei Servizi di Rete: Network Service Discovery (T1046)
La tecnica T1046 - Network Service Discovery descrive l'insieme di attività con cui un attaccante, dopo aver ottenuto un punto d'appoggio, enumera i servizi esposti sugli host raggiungibili all'interno di una rete compromessa. L'obiettivo è mappare porte aperte, versioni di servizi e potenziali vulnerabilità sfruttabili per il movimento laterale o l'escalation.
La tecnica appartiene alla tattica TA0007 (Discovery) e rappresenta un passaggio cardine nella post-exploitation: si colloca tipicamente dopo l'Initial Access e la Privilege Escalation, ma precede Lateral Movement e Collection. Nella Cyber Kill Chain di Lockheed Martin corrisponde alla fase di Actions on Objectives, mentre nel modello Unified Kill Chain occupa la fase di Pivoting.
I numeri parlano chiaro: 31 gruppi APT documentati, 35 famiglie di malware/tool, 5 campagne tracciate e solo 3 mitigazioni ufficialmente mappate testimoniano quanto la scansione dei servizi sia una tecnica trasversale, adottata sia da attori state-sponsored come Volt Typhoon, APT41 e Lazarus Group, sia da gruppi criminali come BlackByte, INC Ransom e Medusa Group. L'ecosistema tooling è dominato da utility open source (Nmap, masscan, NBTscan) e commerciali (SoftPerfect Network Scanner, Advanced Port Scanner), spesso portate on-target come binari standalone per evitare dipendenze e ridurre la telemetria.
Dal punto di vista offensivo, la scansione dei servizi si articola su più livelli di aggressività, ciascuno con trade-off tra velocità e stealth. In un assessment autorizzato conviene sempre partire da una discovery a bassa intensità per non saturare gli IDS.
Su Linux, il coltellino svizzero rimane Nmap (open source). Una scansione TCP SYN veloce sui top 1000 port si ottiene con nmap -sS -T3 --top-ports 1000 10.0.0.0/24, mentre per l'enumerazione dettagliata con banner grabbing e OS fingerprinting si passa a nmap -sV -O -sC -p- 10.0.0.5. Per range vasti, masscan (open source) è imbattibile: masscan -p1-65535 10.0.0.0/16 --rate=10000 completa in minuti ciò che Nmap fa in ore. È il tool scelto da TeamTNT per individuare API Docker esposte e cluster Kubernetes.
Su Windows post-exploitation, dove non è opportuno droppare Nmap, si sfruttano LOLBAS e binari nativi. netstat -ano rivela connessioni esistenti, mentre for /L %i in (1,1,254) do @ping -n 1 -w 100 10.0.0.%i fa sweep ICMP grezzo. Per SMB è utile NBTscan (open source, usato da Mustang Panda) o il modulo portscan di Cobalt Strike (a pagamento) e Brute Ratel C4 (a pagamento), che eseguono scan direttamente dal beacon senza toccare il disco. CrackMapExec — oggi migrato in NetExec (open source) — offre nxc smb 10.0.0.0/24 per enumerare host SMB con hostname, dominio e signing.
In ambienti macOS, la peculiarità è Bonjour/mDNS: il comando nativo dns-sd -B _ssh._tcp . elenca tutti gli host che pubblicizzano SSH via multicast, tecnica documentata proprio nella descrizione ufficiale di T1046.
Per targeting di infrastrutture ESXi, come fatto da Scattered Spider durante C0027, il tool di elezione è RustScan (open source), che combina la velocità di masscan con l'integrazione Nmap: rustscan -a 192.168.1.0/24 -- -sV -sC.
In contesti cloud e container, Peirates (open source) automatizza la discovery Kubernetes, mentre zmap/zgrab (open source) permettono scanning Internet-wide di banner applicativi. Per red team stealth, conviene distribuire la scansione nel tempo (--scan-delay 5s in Nmap) e frammentare i pacchetti (-f) per eludere signature IDS. La regola d'oro resta: adattare rate e footprint al livello di monitoring atteso, evitando pattern SYN scan aggressivi che scattano immediatamente le regole Snort/Suricata standard.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.