3. Обнаружение доступных сетевых служб

Аналогичная технология используется также как и технология выявления сетевых узлов путем установки ТСР-соединения, когда заранее известно, что узел в сети присутствует, но необходимо получить информацию о доступных сетевых службах, т. е. выполнить сканирование портов сетевого узла. В этом случае последовательно осуществляются попытки подключения к сетевым портам в определенном диапазоне.

Чаще всего применяются не подряд все номера портов, а только те из них, которые наиболее интересны злоумышленникам с целью дальнейшего проникновения. В ряде случаев перечень номеров портов может быть сформирован злоумышленниками на основе полученной ранее по коду ICMPответа информации о типе операционной системы.

Одиночный запрос установки TCP-соединенияпо одному из портов может считаться атакой лишь в случае, когда защищаемая сеть является «клиентской». Однако если мы защищаем «клиентскую» сеть, которая не должна предоставлять вовне каких-либосетевых услуг, то и одиночные попытки установки соединения должны интерпретироваться как атака. Последовательные же попытки установить соединение с несколькими портами явно свидетельствует о начавшейся сетевой атаке.

Таким образом, в случае TCP-пакетоватакой будем считать все попытки установкиTCP-соединения,инициируемые извне.