Der TCP Half Open Scan, auch bekannt als SYN-Scan, ist eine Technik, die verwendet wird, um offene Ports auf einem entfernten System zu entdecken, ohne die vollständige TCP-Verbindung herzustellen. Diese Technik basiert auf der Ausführung der ersten Hälfte des Drei-Wege-Handschlags (Three-Way Handshake) des TCP-Protokolls, um festzustellen, ob ein Port offen ist.

Funktionsweise

Im TCP-Protokoll wird eine Verbindung zwischen zwei Hosts über einen Prozess hergestellt, der als Drei-Wege-Handschlag bekannt ist und drei Schritte umfasst:

1. SYN: Der Host, der die Verbindung initiiert, sendet ein SYN-Paket (synchronize) an den Zielserver.
2. SYN-ACK: Wenn der Port auf dem Zielserver offen ist, antwortet der Server mit einem SYN-ACK-Paket (synchronize-acknowledge).
3. ACK: Der Host, der die Verbindung initiiert hat, sendet ein ACK-Paket (acknowledge), um die Verbindung abzuschließen.

Beim TCP Half Open Scan sendet der scannende Host nur das anfängliche SYN-Paket und wartet auf die SYN-ACK-Antwort. Wenn er ein SYN-ACK-Paket empfängt, bedeutet dies, dass der Port offen ist. Der Host sendet jedoch niemals das abschließende ACK-Paket, wodurch der Verbindungsprozess abgebrochen wird, bevor er vollständig ist. Dies lässt die Verbindung “halb offen” (half open), daher der Name der Technik.

Vorteile des TCP Half Open Scans

• Diskretion: Da die Verbindung nie vollständig aufgebaut wird, ist diese Technik in Systemprotokollen weniger auffällig als eine vollständige TCP-Verbindung. Dies kann den TCP Half Open Scan zu einer bevorzugten Methode für unauffällige Scans machen.
• Geschwindigkeit: Da der Drei-Wege-Handschlag nicht abgeschlossen werden muss, ist diese Technik schneller als andere Scan-Methoden.
• Effizienz: Diese Technik ermöglicht das Erkennen offener Ports bei minimaler Nutzung von Netzwerk- und Systemressourcen.

Nachteile und Risiken

• Erkennbarkeit: Trotz seiner diskreteren Natur im Vergleich zu anderen Techniken kann der TCP Half Open Scan dennoch von modernen Intrusion Detection Systemen (IDS) erkannt werden.
• Einschränkungen: Einige Firewalls und Sicherheitssysteme können so konfiguriert sein, dass sie unvollständige SYN-Pakete blockieren oder einschränken, was die Wirksamkeit dieser Technik verringert.

Häufige Anwendungsbereiche

Der TCP Half Open Scan wird häufig verwendet bei:

• Sicherheitstests: IT-Sicherheitsexperten nutzen diese Technik, um die Sicherheit von Netzwerken zu bewerten und offene Ports zu identifizieren, die von Angreifern ausgenutzt werden könnten.
• Schwachstellenanalysen: Sicherheitsanalysten setzen diese Technik ein, um potenzielle Schwachstellen in Systemen und Netzwerken zu identifizieren.
• Reconnaissance durch Angreifer: Hacker können diese Technik nutzen, um Informationen über Zielnetzwerke zu sammeln, ohne zu viel Aufmerksamkeit zu erregen.

Fazit

Der TCP Half Open Scan stellt eine effektive und diskrete Methode zur Identifizierung offener Ports auf einem entfernten System dar, indem er die erste Hälfte des Drei-Wege-Handschlags des TCP-Protokolls ausnutzt. Trotz seiner Vorteile in Bezug auf Geschwindigkeit und Diskretion sollte er aufgrund potenzieller Gegenmaßnahmen moderner Sicherheitssysteme mit Vorsicht eingesetzt werden.