/0 : Pourquoi des pirates et entreprises de cybersécurité scannent tout Internet (en IPv4)

Les briques chargées de ce genre de protection, chez ceux qui ont les moyens et la motivation pour les mettre en œuvre, sont rarement les serveurs eux-mêmes. D'ailleurs, chez ce type de client, la notion/définition même de "serveur" est... Compliquée.

Cela dit, à supposer que la dite brique de sécu possède une seul IP et donc ~65k ports à scanner pour simplifier, il faut qu'elle soit capable de reconnaître un scan quand elle en voit un. Si tu as les moyens pour scanner d'utiliser des milliers d'IP sources différentes, éloignées les unes des autres dans un maximum de préfixes géographiquement les plus éloignés possibles tout en restant dans le "plausible" pour le serveur visé, et que tu mets de l'aléa partout (ordre de scan des ports, ordre des IP utilisées, timing des requêtes, etc.) tu deviens indiscernable du bruit de fond. Ce n'est pas forcément facile pour un script kiddy, mais c'est tout à fait à la portée d'une entreprise en cybersécurité avec quelques moyens je pense.

En plus, quand je lis "tous les ports", je pense que ce n'est pas tout à fait vrai: c'est un gaspillage de ressources. En général, quand tu scannes, tu sais ce que tu cherches, et tu te limites aux quelques ports probables. Même si tu agrèges tous les ports potentiellement intéressants (ports de production légitimes enregistrés et port "exotiques" connus) pour ratisser très large, tu es loin d'arriver aux 65k théoriques. Et même si tu voulais aller jusque là tu as tout intérêt à les trier dans un ordre d'intérêt ou de probabilité décroissant, de sorte à ramener le plus vite possible le plus grand nombre de cibles dans tes filets.