Nmap : Découverte des hôtes

La découverte des hôtes est l’une des toutes premières étapes lors de la reconnaissance d’un réseau. Elle consiste à réduire la plage d’adresses IP à une liste limitée de machines réellement actives ou intéressantes ce qui permet de gagner du temps et d’optimiser les ressources . Scanner tous les ports de chaque adresse IP serait très lent et souvent inutile.

Les options utiliser dans l’outil nmap dépend fortement de l’objectif du scan, par exemple un administrateur réseau cherchera principalement à repérer les machines actives ou les services spécifiques présents sur son réseau, et un simple ping ICMP peut suffire. En revanche, un auditeur de sécurité s’intéresse à tout équipement disposant d’une adresse IP, même si celui-ci est protégé par des pare-feux. Il utilisera alors différents types de paquets de test afin de contourner les restrictions et d’obtenir une réponse.

Nmap permet d’adapter totalement la méthode de découverte des hôtes selon le contexte. Il est possible de l’ignorer complètement en listant uniquement les cibles, de désactiver le scan ping, ou au contraire d’utiliser une combinaison de tests ICMP, TCP SYN/ACK et UDP. Le but reste toujours le même : provoquer une réponse qui confirme qu’une adresse IP est bien utilisée par un hôte ou un équipement réseau.

Liste simple des cibles — -sL

Cette option permet de limiter la lister des adresses IP cibles sans envoyer de paquets. Nmap effectue toutefois une résolution DNS inverse par défaut, ce qui permet d’identifier les noms de machines, souvent très utiles pour comprendre le réseau ciblé.

nmap -sL <adress-ip>

Avec ce mode, aucune fonctionnalité avancée (scan de ports, détection de l’OS, découverte d’hôtes active) ne peut être utilisée. Pour désactiver uniquement la découverte d’hôtes tout en gardant les scans avancés, il faut utiliser l’option -P0.

nmap -P0 <adress-ip>

Scan ping (Ping Sweep) — -sP

Cette option permet à Nmap d’effectuer uniquement la découverte des hôtes (scan ping) et d’afficher la liste des machines actives, sans lancer de scan de ports ni de détection du système d’exploitation. Ce mode, appelé ping sweep, il est plus utile pour connaître les machines réellement en ligne que de disposer uniquement d’une liste d’adresses.

L’option -sP envoie une requête d’echo ICMP et un paquet TCP sur le port par défaut (80). Lorsqu’exécutée par un utilisateur non-privilégié, un paquet SYN est envoyé (en utilisant l’appel système connect()) sur le port 80 de la cible. Lorsqu’un utilisateur privilégié essaie de scanner des cibles sur un réseau local Ethernet, des requêtes ARP (-PR) sont utilisées à moins que l’option --send-ipsoit spécifiée.

nmap -sP <adress-ip>

Cette option peut etre Aussi combiner avec les options de découverte d’hôtes -P* (sauf -P0) pour une plus grand flexibilité.

Désactiver la découverte des hôtes — -PN

L’option -PN permet de désactiver complètement la phase de découverte des hôtes dans Nmap. Normalement, Nmap commence par identifier les machines actives afin de ne lancer des scans approfondis (ports, versions, détection du système d’exploitation) que sur celles qui répondent. Avec -PN, cette étape est ignorée et toutes les adresses IP même si elles ne répondent pas sont considérées comme actives.

nmap -PN <adress-ip>

Ping TCP SYN — -PS

Cette option permet à Nmap d’effectuer une découverte d’hôtes via TCP SYN. Elle consiste à envoyer un paquet TCP vide avec le drapeau SYN activé, dont la destination est par défaut le port 80, mais qui peut être modifiée en précisant un ou plusieurs ports (par exemple -PS22,80,443). Les paquets de test sont alors envoyés en parallèle vers chacun des ports indiqués.

Le drapeau SYN fait croire à la cible qu’une connexion TCP est en cours d’établissement. Si le port est fermé, la machine distante répond par un paquet RST. Si le port est ouvert, elle répond par un SYN/ACK, correspondant à la deuxième étape du handshake TCP. Dans ce cas, la machine qui exécute Nmap interrompt volontairement la connexion en envoyant un paquet RST au lieu de l’ACK final. Ce RST est généré automatiquement par le système d’exploitation en réponse au SYN/ACK inattendu.

Pour la découverte d’hôtes, Nmap ne cherche pas à savoir si le port est ouvert ou fermé. La réception d’un RST ou d’un SYN/ACK indique simplement que l’hôte est actif et joignable.

nmap -PS <adress-ip>

Ping TCP ACK — -PA

Le ping TCP ACK fonctionne de manière similaire au test TCP SYN, à la différence qu’il utilise le drapeau TCP ACK au lieu du SYN. Un paquet ACK est normalement envoyé pour acquitter des données dans une connexion TCP déjà établie, ce qui n’est pas le cas ici. La connexion n’existant pas, l’hôte distant répond en principe par un paquet RST, ce qui permet de confirmer que la machine est active.

L’option -PA utilise par défaut le port 80, comme le test SYN, mais elle peut aussi cibler une liste de ports spécifiée par l’utilisateur. Lorsque cette option est utilisée par un utilisateur non privilégié ou sur une cible IPv6, Nmap emploie la méthode connect(), qui envoie en réalité un paquet SYN et non un ACK, ce qui rend la technique moins fidèle au principe du test ACK. Nmap propose à la fois les tests SYN (-PS) et ACK (-PA) afin d’augmenter les chances de contourner les pare-feux. De nombreux pare-feux sont configurés pour bloquer les paquets SYN entrants, sauf vers certains services publics, tout en autorisant les connexions sortantes. Dans ce cas, les paquets SYN envoyés vers des ports fermés sont souvent bloqués, alors que les paquets ACK peuvent passer, ce qui rend le test ACK particulièrement utile face à des règles de filtrage sans état (stateless).

Pour maximiser la détection des hôtes quel que soit le type de pare-feu rencontré, il est recommandé de combiner les deux méthodes, en utilisant simultanément les options -PS et -PA.

nmap -PS -PA <adress-ip>

Ping UDP — -PU

Lorsque le paquet UDP atteint un port fermé, la machine cible renvoie généralement un message ICMP “port unreachable”, indiquant que l’hôte est actif et joignable. En revanche, d’autres messages ICMP, comme host unreachable, network unreachable ou TTL exceeded, signalent un hôte inactif ou inaccessible. L’absence totale de réponse est interprétée de la même manière. Si le paquet atteint un port ouvert, la plupart des services UDP ne répondent pas, ce qui explique le choix d’un port peu courant pour ce type de test.

Le principal avantage du ping UDP est sa capacité à contourner les pare-feux et dispositifs de filtrage qui ne surveillent que le trafic TCP

nmap -PU <adress-ip>

Pings ICMP — -PE, -PP, -PM

Nmap peut effectuer la découverte des hôtes à l’aide de paquets ICMP, similaires à ceux utilisés par la commande ping. Il envoie principalement des requêtes ICMP EchoRequest (type 8) vers les adresses IP cibles et attend une réponse Echo Reply (type 0) pour déterminer si un hôte est actif, mais cette méthode est souvent bloquée par les pare-feux, ce qui la rend peu fiable sur Internet, bien qu’efficace sur un réseau local.

Cette méthode reste efficace et pratique pour les réseaux locaux, et peut être activée avec l’option -PE.

Pour contourner ces blocages, Nmap peut aussi utiliser d’autres types de requêtes ICMP, comme les requêtes timestamp et masque d’adresse en utilisant -PP et -PM. Une réponse à ces messages indique qu’un hôte est actif et accessible. Ces techniques sont utiles lorsque les requêtes Echo sont filtrées, mais que les autres messages ICMP ne le sont pas.

nmap -PE -PP -PM <adress-ip>

Ping ARP — -PR

Le ping ARP (-PR) est la méthode de découverte d’hôtes la plus efficace sur un réseau local Ethernet (LAN). Sur ce type de réseau, beaucoup d’adresses IP sont souvent inutilisées, et les méthodes classiques basées sur IP (ICMP, TCP, UDP) peuvent être lentes, car le système doit d’abord résoudre les adresses MAC via ARP.

Nmap intègre un scan ARP optimisé qui permet d’identifier rapidement les hôtes actifs. Lorsqu’une réponse ARP est reçue, Nmap sait immédiatement que la machine est présente, sans avoir besoin d’envoyer d’autres paquets de découverte. Cette méthode est donc plus rapide et plus fiable que les scans basés sur IP.

Pour cette raison, Nmap utilise ARP par défaut dès qu’il détecte que les cibles se trouvent sur le même réseau local que la machine de scan, même si d’autres options de ping sont spécifiées. Si l’on souhaite désactiver le scan ARP, il faut utiliser l’option --send-ip.

nmap -PR <adress-ip>

Ping par protocole IP — -PO

Le Ping IPProto est une méthode de découverte d’hôtes qui consiste à envoyer des paquets IP avec des numéros de protocoles spécifiques dans l’en-tête IP. Si aucun protocole n’est précisé, Nmap envoie par défaut des paquets ICMP (1), IGMP (2) et IP-in-IP (4), mais cette liste peut être modifiée lors de la compilation.

La réponse de l’hôte est recherchée dans le même protocole que la requête, ou via un message ICMP “Protocol Unreachable”, indiquant que le protocole n’est pas supporté mais que l’hôte est bien connecté et actif. Cette méthode permet donc de détecter les machines même si d’autres types de ping sont filtrés.

nmap -PO <adress-ip>