Scan SYN furtif

Définition

Le scan SYN furtif, aussi appelé scan à moitié ouvert ou half-open scan, désigne une technique de découverte de ports TCP consistant à envoyer un paquet SYN d'ouverture de connexion vers un port cible et à analyser la réponse sans jamais compléter la poignée de main en trois temps du protocole TCP. Un port ouvert répond par un paquet SYN-ACK, que le scanner interrompt immédiatement par un paquet RST au lieu de finaliser la connexion par un ACK, tandis qu'un port fermé répond directement par un RST. Cette technique est qualifiée de furtive car elle n'établit jamais de connexion TCP complète, ce qui la rendait historiquement moins susceptible d'être journalisée par les applications de niveau supérieur qui ne voient jamais passer la connexion. Elle reste toutefois parfaitement détectable au niveau réseau par tout système de détection d'intrusion analysant le trafic brut, les pare-feux avec état et les capteurs de type NetFlow, qui observent le volume anormal de paquets SYN sans connexion complétée caractéristique de ce type de scan. Pour les équipes défensives, la détection repose sur la corrélation d'un grand nombre de paquets SYN envoyés vers des ports séquentiels ou aléatoires depuis une même source, associée à une politique de limitation de débit et de blocage temporaire des adresses IP sources identifiées, ainsi qu'une segmentation réseau limitant la portée d'un scan réussi.