SYN Scan

Définition

Le scan SYN, également appelé "half-open scan" ou "stealth scan", est la technique de scanning de ports TCP la plus courante et la plus efficace. Il envoie un paquet SYN (initiation d'une connexion TCP) vers un port cible et analyse la réponse sans jamais compléter le handshake TCP à trois voies, d'où le qualificatif "half-open". Le principe du handshake TCP à trois voies est le suivant : le client envoie SYN, le serveur répond SYN-ACK (port ouvert) ou RST (port fermé), puis normalement le client complèterait avec ACK pour établir la connexion. Dans un scan SYN, l'outil (Nmap avec -sS) envoie un RST après avoir reçu le SYN-ACK, abandonnant la connexion avant qu'elle soit établie. Cela présente deux avantages : la connexion n'est jamais pleinement établie (moins de traces dans certains logs applicatifs) et le scan est plus rapide car il n'attend pas la connexion complète. Trois réponses possibles définissent l'état du port : SYN-ACK → port ouvert, RST → port fermé, aucune réponse ou ICMP unreachable → port filtré (par un pare-feu). Cette dernière catégorie est particulièrement importante : un pare-feu peut bloquer les paquets sans envoyer de réponse (DROP) ou envoyer une réponse ICMP de refus (REJECT). Le scan SYN est le type de scan par défaut de Nmap (nmap -sS) et nécessite des privilèges root/administrateur pour construire des paquets TCP bruts. Sans ces privilèges, Nmap utilise le scan TCP Connect (-sT) qui établit la connexion complète via l'API système, laissant plus de traces dans les logs. Les firewalls modernes et les IDS reconnaissent facilement les scans SYN par leurs patterns : nombreux SYN vers différents ports d'un même hôte, ratio élevé de connexions non complétées. Des techniques d'évasion incluent le fragmentation des paquets, le scan lent (timing T0/T1), et le scan depuis des sources multiples (scan distribué).