用 Nmap 搵出網絡入面啲影子裝置：一次 asset 盤點實戰

用 Nmap 揾出網絡入面啲「影子裝置」：一次 asset 盤點實戰做 IT 嘅朋友，好多時都會遇到一個好尷嘅場面：老細問你「公司而家有幾多部機、幾多個 IP 喺度行緊？」你望住個 CMDB（configuration management database，組態管理資料庫），發現入面啲資料係三個月前手動入嘅，好多機都已經退役咗，新買嗰批伺服器又冇人記得登記。呢個時候，你就需要 Nmap 幫你喺...

用 Nmap 揾出網絡入面啲「影子裝置」：一次 asset 盤點實戰

做 IT 嘅朋友，好多時都會遇到一個好尷嘅場面：老細問你「公司而家有幾多部機、幾多個 IP 喺度行緊？」你望住個 CMDB（configuration management database，組態管理資料庫），發現入面啲資料係三個月前手動入嘅，好多機都已經退役咗，新買嗰批伺服器又冇人記得登記。呢個時候，你就需要 Nmap 幫你喺網絡層面做一次「實體盤點」，揾返啲「影子裝置」出嚟。

今日呢篇，我哋就一步一步，用 Nmap 掃一次內網，睇下點樣揾出啲「冇人記得、但其實仲喺度行緊」嘅裝置。

點解要揾「影子裝置」？

所謂影子裝置（shadow device），就係嗰啲連咗入你個網絡、但冇記錄喺資產清單入面嘅機。可能係：

– 舊同事留低、冇人接手嘅測試機
– 供應商偷偷駁咗入嚟嘅 IoT 裝置
– 已經「退役」但其實仲未熄機嘅舊伺服器
– 員工私底下帶返公司嘅路由器或者 NAS

呢啲裝置係資安嘅計時炸彈——冇人更新、冇人打 patch、冇人監控，就係攻擊者最鍾意嘅落腳點。所以第一步，係要先知道佢哋存在。

Step 1：先揾出成個 subnet 有幾多個 IP

假設你公司內網係 192.168.1.0/24。我哋先做一個「ping sweep」，睇下有邊啲 IP 係 alive（存活）：

nmap -sn 192.168.1.0/24

`-sn` 係「ping scan」嘅意思，即係唔掃 port，淨係睇下邊個 IP 有反應。跑完之後，你會見到類似咁嘅 output：

Nmap scan report for 192.168.1.1
Host is up (0.0015s latency).
Nmap scan report for 192.168.1.20
Host is up (0.0031s latency).
Nmap scan report for 192.168.1.105
Host is up (0.0022s latency).

呢度就係你成個網段「活躍」嘅 IP 清單。記低佢哋，同你份 CMDB 對一對——對唔上嗰啲，就係嫌疑影子裝置。

Step 2：深入掃每個 IP，睇佢係咩嚟

揾到 alive 嘅 IP 之後，就要知佢哋到底係咩裝置。用 OS 偵測加版本偵測：

nmap -O -sV 192.168.1.105

`-O` 係 OS detection（作業系統偵測），`-sV` 係 service version detection（服務版本偵測）。呢個會比較慢，但可以幫你分得出：

– 部機係 Windows 定 Linux
– 開咗邊啲 service（例如 SSH、HTTP、SMB）
– service 係咩版本

一個典型 output 會話你知：「呢部 192.168.1.105 係一部 Linux 機，開咗 port 22（SSH）同 port 80（HTTP），Web server 係 Apache 2.4.58」。咁你就大概知道佢係邊類型裝置。

Step 3：MAC address + vendor 對一對

想知部機係咩牌子，可以睇 MAC address 嘅 OUI（前三個 byte 代表廠商）：

nmap -sn -PR 192.168.1.0/24 | grep -B 2 "MAC Address"

或者用 `arp-scan`（如果裝咗）：

sudo arp-scan --localnet

睇到 MAC address 之後，頭 6 個 hex 字（例如 `00:1A:2B`）可以喺 OUI 資料庫查到係邊間廠。呢個好有用——如果你發現有部機嘅 MAC 係「Shenzhen 某山寨廠」而唔係你公司採購開嘅牌子，就要特別留意。

Step 4：揾到影子裝置之後點做？

揾到就唔好衝動即刻熄機（可能係 production 嘢）。正確流程係：

1. 記錄——IP、MAC、掃到嘅 service、掃描時間，全部落低
2. 比對——同 CMDB、DHCP lease、AD 記錄對一對
3. 判斷——係咪真係「冇人認領」嘅裝置
4. 隔離——喺 switch 層面 VLAN 隔離，或者 firewall rule block
5. 處置——揾到負責人先，揾唔到就喺安全 window 內 decommission

小提醒：掃描前要知會

內網掃描有機會觸發到入侵偵測系統（IDS）或者整到一啲舊設備。正式做之前，記得：

– 揀非繁忙時段
– 通知返相關同事
– 由細範圍開始試（先掃一個 /27 睇下效果）

總結

用 Nmap 做 asset 盤點，係一套低成本、高回報嘅基本功。唔使買貴價嘅 asset management 平台，一個 `nmap -sn` 加一個 `nmap -sV`，已經可以幫你揾返大量「影子裝置」，補返 CMDB 嘅漏洞。而當裝置多到 Nmap 都管唔掂嘅時候，先再去考慮上 CAASM 呢類自動化資產管理平台都未遲。

🔗 參考資料：NVD NIST 漏洞資料庫

搞掂呢一步，至少下次老細問「我哋有幾多部機」，你可以答得有底氣。

#技術分享 #IT教學 #Windows #監控 #SSH