Application
- Единица данных
- Data (данные)
- Адресация
- Имя / URL
- Оборудование
- Серверы, приложения, прокси
- Примеры
- HTTP, HTTPS, DNS, DHCP, SMTP, LDAP, SMB, RDP
- Что проверять при сбое
- Отвечает ли сама служба? nslookup, curl, вход в приложение
Быстрые таблицы — OSI, порты и протоколы
Быстрый взгляд вместо чтения: открывается выезжающим окном сбоку.
Модель OSI / ISO
7 уровней: единица данных, оборудование, адресация и что проверять
Presentation
- Единица данных
- Data (данные)
- Адресация
- —
- Оборудование
- Библиотеки шифрования, TLS
- Примеры
- TLS/SSL, JPEG, ASCII, JSON
- Что проверять при сбое
- Истёк сертификат? Не совпадает имя? Поддерживается ли шифрование?
Session
- Единица данных
- Data (данные)
- Адресация
- Session ID
- Оборудование
- ОС, службы аутентификации
- Примеры
- NetBIOS, RPC, Kerberos ticket session
- Что проверять при сбое
- Сессия рвётся? Таймаут? Просрочен билет Kerberos?
Transport
- Единица данных
- Segment (сегмент)
- Адресация
- Порт
- Оборудование
- Межсетевой экран, балансировщик
- Примеры
- TCP, UDP
- Что проверять при сбое
- Открыт ли порт? Test-NetConnection, telnet host port
Network
- Единица данных
- Packet (пакет)
- Адресация
- IP-адрес
- Оборудование
- Маршрутизатор, L3-коммутатор
- Примеры
- IPv4, IPv6, ICMP, OSPF, NAT
- Что проверять при сбое
- ping до шлюза, tracert, проверка маршрута
Data Link
- Единица данных
- Frame (кадр)
- Адресация
- MAC-адрес
- Оборудование
- Коммутатор, сетевая карта
- Примеры
- Ethernet, ARP, VLAN 802.1Q, STP, PPP
- Что проверять при сбое
- arp -a, верный ли VLAN на порту? show mac address-table
Physical
- Единица данных
- Bits (биты)
- Адресация
- —
- Оборудование
- Кабель, хаб, SFP, антенна
- Примеры
- Ethernet cable, Fiber, Wi-Fi radio
- Что проверять при сбое
- Горит ли линк? Вставлен ли кабель? show interface status
Таблица портов и протоколов
Название, порт, уровень, что делает и кому нужно
| Протокол | Порт | OSI | Что делает | Роль |
|---|---|---|---|---|
| CAPWAP (WLC + AP) | 5246, 5247 / UDP | L7 | Беспроводной контроллер (WLC) управляет всеми точками доступа централизованно; CAPWAP — туннель между AP и WLC. | Helpdesk, NOC |
| DHCP | 67, 68 / UDP | L7 | Автоматически раздаёт IP-адреса компьютерам в сети (процесс DORA: Discover, Offer, Request, Ack). | Helpdesk, NOC |
| DNS | 53 / UDP,TCP | L7 | Служба имён: превращает имя (dc01.corp.local) в IP-адрес. Без исправного DNS Active Directory просто не работает. | Helpdesk, NOC, SOC |
| FTP / SFTP | 21 / 22 | L7 | Передача файлов. FTP шлёт логин и пароль открытым текстом — всегда предпочитайте SFTP поверх SSH. | Helpdesk, SOC |
| Global Catalog | 3268 / 3269 (TLS) | L7 | Частичная копия всех объектов леса — обеспечивает быстрый поиск между доменами. | Helpdesk, SOC |
| HTTP / HTTPS | 80 / 443 / TCP | L7 | Протокол браузера. HTTPS добавляет шифрование TLS, чтобы никто посередине не читал содержимое. | Helpdesk, NOC, SOC |
| IMAP / POP3 | 143/993, 110/995 | L7 | Получение почты: IMAP хранит письма на сервере и синхронизирует устройства, POP3 скачивает и удаляет. | Helpdesk |
| LDAP / LDAPS | 389 / 636 (TLS) | L7 | Язык запросов к корпоративному «телефонному справочнику»: так спрашивают у AD, кто есть кто и в каких группах. LDAPS — то же самое, но по шифрованному каналу. | Helpdesk, SOC |
| LLMNR / NBT-NS | 5355 / 137 | L7 | Старые протоколы разрешения имён, когда DNS не ответил. Злоумышленник отвечает вместо настоящего сервера и крадёт хеш — отключайте. | SOC |
| NTP | 123 / UDP | L7 | Синхронизация времени. В AD расхождение больше 5 минут между компьютером и DC полностью ломает Kerberos. | NOC, SOC |
| RADIUS | 1812, 1813 / UDP | L7 | Центральный сервер аутентификации для доступа к сети (Wi-Fi, VPN, 802.1X). В мире Microsoft это NPS, проверяющий учётку в AD. | Helpdesk, SOC |
| RDP | 3389 / TCP | L7 | Удалённый рабочий стол: графическое управление другим компьютером. Любимая цель атак — не выставляйте наружу. | Helpdesk, SOC |
| SAML / OAuth 2.0 / OIDC | מעל HTTPS | L7 | Современные протоколы идентификации для облака: один вход (SSO) — и доступ ко множеству приложений без повторных паролей. | SOC |
| SMB / CIFS | 445 / TCP | L7 | Протокол общего доступа к файлам и принтерам в Windows. Через SMB (папка SYSVOL) до компьютеров доезжают и групповые политики. | Helpdesk, SOC |
| SMTP | 25 / 587 / TCP | L7 | Протокол отправки электронной почты между серверами и от клиента к серверу. | Helpdesk, SOC |
| SNMP | 161, 162 / UDP | L7 | Мониторинг сетевого оборудования: опрашиваешь коммутатор или роутер о состоянии либо получаешь от него уведомление (Trap). | NOC |
| SSH | 22 / TCP | L7 | Зашифрованное подключение к командной строке серверов и сетевого оборудования (Linux, коммутаторы, роутеры). | NOC, SOC |
| Syslog | 514 / UDP | L7 | Стандарт отправки логов с устройств на центральный сервер / SIEM. | NOC, SOC |
| Telnet | 23 / TCP | L7 | Древний незашифрованный аналог SSH. Всё, включая пароль, идёт открытым текстом — отключайте. | NOC, SOC |
| WinRM / PowerShell Remoting | 5985 / 5986 (HTTPS) | L7 | Удалённое управление командной строкой: выполняешь PowerShell-команды на другом компьютере без графики. | Helpdesk, SOC |
| TLS / SSL | נלווה לפרוטוקולים אחרים | L6 | Слой шифрования, оборачивающий другие протоколы (HTTPS, LDAPS, SMTPS) и подтверждающий подлинность сервера сертификатом. | Helpdesk, SOC |
| Kerberos | 88 / UDP,TCP | L5 | Аутентификация по билетам: вошёл один раз, получил билет (TGT) и с ним ходишь к сервисам без повторного ввода пароля. | Helpdesk, SOC |
| MSRPC / DCERPC | 135 + פורטים דינמיים | L5 | Механизм удалённых вызовов процедур Windows. Через него идут репликация между DC, инструменты управления и DCSync. | SOC |
| NTLM | עובד מעל SMB/445 | L5 | Старый протокол аутентификации Microsoft. Оставлен для совместимости, но уязвим к Pass-the-Hash — лучше Kerberos. | SOC |
| TCP | שכבה 4 | L4 | Надёжное соединение: рукопожатие (3-way handshake), проверка, что все пакеты дошли и в нужном порядке. Медленнее, но надёжно. | Helpdesk, NOC, SOC |
| UDP | שכבה 4 | L4 | Быстрая отправка без подтверждений. Быстро, но пакеты могут теряться. | Helpdesk, NOC, SOC |
| ACL | — | L3 | Список правил фильтрации: кому можно, кому нельзя — по адресу, протоколу и порту. Читается сверху вниз, в конце неявный deny. | NOC, SOC |
| DHCP Relay (ip helper-address) | 67 / UDP | L3 | Превращает широковещательный DHCP-запрос в unicast к серверу в другой сети. Без него клиенты не получат адрес. | Helpdesk, NOC |
| HSRP / VRRP | — | L3 | Два роутера делят один виртуальный адрес шлюза: один Active, второй Standby. Упал активный — второй мгновенно берёт роль. | NOC |
| ICMP | שכבה 3 | L3 | Служебный протокол сети — на нём основаны ping и traceroute. | Helpdesk, NOC |
| NAT / PAT | — | L3 | NAT переводит частный адрес в публичный. PAT (NAT Overload) выпускает всю сеть через один адрес, различая сессии по портам. | NOC |
| OSPF | AD 110 | L3 | Динамический протокол маршрутизации: роутеры обмениваются данными и сами строят таблицу по метрике Cost. У каждого есть Router-ID и Area. | NOC |
| Static NAT | — | L3 | Постоянное соответствие 1:1 между внутренним и публичным адресом — нужно для серверов, доступных снаружи. | NOC |
| Static Route | AD 1 | L3 | Маршрут, прописанный вручную: «в сеть X — через соседа Y». Просто и стабильно, но сам не обновляется. 0.0.0.0/0 — маршрут по умолчанию. | NOC |
| SVI / Inter-VLAN Routing | — | L3 | Виртуальный интерфейс VLAN на L3-коммутаторе (interface vlan 10), который служит шлюзом. Без него VLAN'ы не общаются. | NOC |
| Traceroute / Ping | ICMP | L3 | Первые инструменты диагностики: ping проверяет, отвечает ли узел, traceroute показывает путь пакета и место обрыва. | Helpdesk, NOC |
| 802.1X | שכבה 2 / NAC | L2 | Охранник у сетевой розетки: устройство обязано пройти аутентификацию, прежде чем получит доступ к сети. | Helpdesk, SOC |
| ARP | שכבה 2 | L2 | Находит MAC-адрес, соответствующий IP-адресу в той же локальной сети. | Helpdesk, NOC, SOC |
| EtherChannel (LACP / PAgP) | — | L2 | Объединение нескольких физических кабелей в один логический канал: больше полосы и авторезерв. LACP — стандарт, PAgP — Cisco. | NOC |
| Port Security | — | L2 | Ограничивает, какие и сколько MAC-адресов разрешены на порту коммутатора. В режиме restrict нарушение блокируется и логируется. | SOC, NOC |
| STP | שכבה 2 | L2 | Предотвращает петли между коммутаторами, временно блокируя лишние линки. | NOC |
| VLAN (802.1Q) | שכבה 2 | L2 | Логическое разделение одного физического коммутатора на несколько изолированных сетей. | Helpdesk, NOC |