KALI/SANA — NMAP-01 · Network Mapper Workbench

01Command Builder

Susun Perintah, Baca Konsekuensinya

Setiap pilihan di bawah mengubah perintah, meter risiko, dan chip penjelasan. Builder mengecek scope target terhadap lab — perintah siap-copy tetap tanggung jawabmu.

Teknik Scan

Spesifikasi Port

Timing

Output

Target

ENUMERASI — menambah data, menambah jejak

HOST DISCOVERY — cara nmap memutuskan "hidup"

NSE ENGINE — mesin skrip Lua

EVASION — untuk menguji sensor MILIKMU; baca bagian 06

nmap

Risiko / Kebisingan 0

SCOPE ADALAH GARIS MERAH

Builder hanya menyusun string. Jalankan ke unit yang ditugaskan (172.16.20.20X milik kelompokmu) atau target web indeks yang sama. Skema port-scan ke unit lain = pelanggaran, di lab maupun di dunia nyata.

02Packet Anatomy Lab

Apa yang Sebenarnya Terjadi di Kabel

Pilih tipe scan, lalu balik kondisi port target: TERBUKA / TERTUTUP / TERFILTER. Urutan paket berubah — dan di situlah letak semua logika deteksi SOC. Perhatikan kasus FIN-scan: open dan filtered sama-sama hening, itulah asal status open|filtered.

Scan:

Port target:

KALI — ATTACKER TARGET :PORT

03Status Port & Timing

Membaca Output: Tiga Status, Enam Kecepatan

Status	Makna Teknis	Arti bagi Penyerang	Catatan Blue
open	Aplikasi menerima koneksi; balasan sesuai protokol	Layanan hidup — lanjut fingerprint versi	Hanya buka yang benar-benar dipakai; sisanya tutup atau filter
closed	Host hidup, tak ada layanan di port itu (RST)	Mengukur perimeter — host ditemukan	Tak bisa dihilangkan; bagian normal TCP
filtered	Paket tak sampai ke aplikasi — firewall menyaring	Perangkat keamanan terdeteksi di jalur	Filtered ≠ aman; hanya tak terlihat dari posisi sumber
open\|filtered	UDP/FIN-family: hening bisa berarti dua hal	Ambiguitas — perlu probe lain untuk memastikan	Drop tanpa RST justru memberi sinyal "ada firewall"

Template	Perilaku	Gunakan Untuk	Jejak bagi Sensor
-T0 paranoid	5 menit / probe — serial penuh	Nyaris tidak praktis	Nyaris tak terdeteksi rate — kalah oleh NetFlow
-T1 sneaky	15 detik / probe	Slow-and-low eksperimen	Korelasi jendela 24 jam tetap melihatnya
-T2 polite	0,4 detik / probe	Host produksi rapuh	Di bawah ambang umum, di atas baseline
-T3 normal	Paralel, default	Default aman	Terlihat oleh rule rate standar
-T4 aggressive	Timeout pendek, paralel agresif	LAN andal — pilihan lab	Melewati detection_filter dengan mudah
-T5 insane	Brutal — mengorbankan akurasi	Darurat saja	Lonjakan mencolok + hasil sering salah baca

PERILAKU HOST DISCOVERY

Default nmap (root): ICMP echo + TCP SYN 80 + ACK 443 + ICMP timestamp. Host yang drop semuanya dilaporkan down — padahal hidup. -Pn melewati tahap ini dan memindai port semua alamat; -PS22,80 bergantung pada TCP saja. Kegagalan discovery adalah kesalahan konfigurasi terbanyak pemula.

04NSE — Nmap Scripting Engine

Mesin Skrip: Dari Banner ke Vulnerability Check

600+ skrip Lua bawaan, dikelompokkan per kategori. -sC menjalankan kategori default (aman & informatif). Skrip intrusive bisa mempengaruhi layanan — jalankan hanya pada target milikmu, sadar dampaknya. Filter dan klik COPY di bawah:

05Output & Grep Arsenal

Tiga Format, Arsip yang Bisa Dihindari

-oA menghasilkan tiga berkas sekaligus: .nmap (manusiawi), .gnmap (greppable), .xml (mesin). Berikut satu-satunya output nmap yang benar-benar bernilai laporan — dan cara memanennya:

hasil -oA + pemanenan

nmap -sV -T4 --open 172.16.20.201 -oA recon/nmap/unit01

# struktur hasil:
recon/nmap/unit01.nmap    # tabel manusiawi — dibaca mata
recon/nmap/unit01.gnmap   # satu baris per host — dibaca grep
recon/nmap/unit01.xml     # terstruktur — dibaca tool/SIEM

# 1) semua host dengan port 80 open (gnmap):
grep '80/open/tcp' recon/nmap/*.gnmap

# 2) ekstrak IP yang punya SSH open:
grep '22/open' recon/nmap/*.gnmap | awk '{print $2}'

# 3) versi layanan saja dari .nmap:
grep 'open ' unit01.nmap | grep -v 'filtered'

# 4) XML → HTML ringkas untuk lampiran laporan:
xsltproc unit01.xml -o unit01.html

ATURAN ARSIP

Scan tanpa -oA adalah scan yang tidak pernah terjadi begitu terminal ditutup. Buat folder recon/nmap/ sebelum perintah pertama — pola tee & arsip dari RECON-01 berlaku penuh di sini.

06Evasion & Counter-Detection

Evasion vs Deteksi: Permainan yang Sama, Dua Kursi

Kiri: teknik menyamar penyerang. Kanan: mengapa setiap teknik tetap meninggalkan bentuk jejak lain — plus aturan Suricata siap-uji. Di lab, uji keduanya hanya pada unit milikmu sendiri.

Teknik	Flag	Cara Kerja	Padanan Jejak (Blue)
Fragmentasi	-f / --mtu 24	Header TCP dipecah antar fragmen — IDS lawas gagal membaca flag	IDS modern melakukan stream reassembly — malah jadi sinyal anomali
Decoy	-D RND:5	Paket spoofed dari 5 IP palsu ikut membanjir	IP palsu tak pernah menerima SYN-ACK — korelasi flow menyingkap sumber asli
Spoof Source	-S IP -e eth0	Alamat sumber dipalsukan manual	Balasan tak kembali ke penyerang — hasil butuh zombie/proxy
Source Port	-g 53	Paket berpura-pura dari port 53 (DNS)	Firewall stateless lawas lempar; stateful tetap mengecek koneksi
Padding	--data-length 24	Ukuran paket tidak khas nmap	Fingerprint ukuran hanyalah satu sinyal — pola volume tetap
Randomize	--randomize-hosts	Urutan target diacak	Urutan tak relevan bagi agregasi per-sumber
MAC Spoof	--spoof-mac 0	Vendor MAC dipalsukan (lokal)	arpwatch mencatat keanehan pasangan MAC↔IP
Slow	-T1 + --scan-delay	Di bawah ambang rate	NetFlow: rasio 1→banyak dalam jendela panjang tetap meledak

BLUE — ATURAN SURICATA SIAP-UJI

BLUE — LAPISAN TAMBAHAN

PSAD — analisis log iptables per-host; skornya naik otomatis untuk scan beruntun. apt install psad + pastikan iptables mencatat LOG untuk drop.
Endlessh di port 22 palsu — scanner terseret di pre-banner selama menit-menit; SSH asli dipindah. Waktu penyerang terbakar, log-mu terisi alert.
NetFlow/IPFIX — satu-satunya sensor yang imun terhadap slow scan: bentuk rasio tak berubah meski rate diturunkan.
Baseline & kecualian — daftarkan IP scanner internal & jadwal vuln-scan; tanpa itu, 80% alert adalah FP dan rule-mu akan dimatikan orang.
Canary port — 1–2 port palsu yang tak pernah disentuh trafik sah: alert di sana = pasti scanning, FP ≈ 0.

PRINSIP INTI

Rate bisa disembunyikan, rasio tidak. Semua deteksi scan berdiri di atas: satu sumber → banyak tujuan/port/kegagalan, dalam jendela waktu yang bisa disetel.

07Workflow Lab

Empat Langkah: Senyap → Cepat → Dalam → Skrip

Rangkuman kerja nmap pada unit yang ditugaskan. Tiap langkah naik kebisingan — jangan lompati urutannya.

Discovery — konfirmasi host hidup (senyap)
nmap -sn -PE -PS22,80 172.16.20.20X

Tanpa port scan. Bila sepi, tambahkan -Pn — host yang blok ICMP tetap harus dipindai.
Quick sweep — peta port cepat (T4)
nmap -sS -T4 --open 172.16.20.20X -oA recon/nmap/quick0X

Top-1000 port. --open merapikan output; -oA mengunci bukti.
Deep — versi & skrip default hanya pada port yang terbuka
nmap -sV -sC -T4 -p 22,80,443 172.16.20.20X -oA recon/nmap/deep0X

Ganti daftar port sesuai hasil langkah 2. Interogasi mendalam tak perlu ke 65k port.
NSE vuln — kategori kerentanan (paling berisik)
nmap -sV --script vuln -p 80 172.16.20.20X -oA recon/nmap/vuln0X

Langkah terakhir, paling sedikit target. Keluaran: kandidat CVE untuk fase vulnerability analysis — bukan izin eksploitasi.

08Cheat Sheet & Ujian

Referensi Kilat & Kuis Akhir

Flag	Arti	Flag	Arti
-sn	host discovery saja	-sS	SYN half-open (root)
-sT	connect penuh (tanpa root)	-sU	UDP scan (root)
-sF / -sX / -sN	FIN / Xmas / Null	-sA / -sW	ACK / Window — peta firewall
-sV	deteksi versi layanan	-O	deteksi OS (root)
-sC	skrip kategori default	--script	skrip / kategori spesifik
-p / -p- / -F	port / semua / top-100	--top-ports N	N port terpopuler
-Pn / -PE / -PS	skip ping / echo / SYN ping	-T0..-T5	timing template
--open	hanya port terbuka	-oA / -oN / -oG	semua / teks / greppable
-f / --mtu	fragmentasi paket	-D RND:n	decoy scan
-g PORT	paksa source port	--data-length	pad ukuran paket
-v / -vv	verbose	--reason	tampilkan alasan status
-iL file	target dari berkas	--excludefile	kecualikan target

Kuis — 6 Soal

0/6TERJAWAB 0/6