الخلاصة

  • يضع LightScope مستشعراً على منافذ TCP غير المستخدمة في خوادم الإنتاج. وفي نمط المصيدة يحوّل اتصالات مختارة إلى جهاز منفصل.
  • عرض Kapitanski في RIPE 93 ماسحات تختار بين مضيفين عاملين بطرق مختلفة. ويسجل المرجع الرسمي للدراسة شهرين من البيانات و235 عملية نشر.

التحليل

المسح نحو عنوان خامل يجيب عن سؤال واحد: من طرق باباً لا يعمل خلفه أيّ خدمة؟ أما الخادم الذي يقدم خدمة فعلية فيطرح سؤالاً آخر: أي جهاز يختاره الماسح، وما الذي يحاول فعله بعد الحزمة الأولى؟ صُمم LightScope ليرى هذه الخطوة.

لطالما عملت عناوين IP غير المستخدمة كتلسكوب لرصد المسح، لكن المساحة الخالية من IPv4 تتقلص. وقد يتعامل الماسح مع نطاق خامل على نحو مختلف عن خادم يخدم مستخدمين. ينقل LightScope نقطة الرصد إلى ذلك الخادم من دون فحص حركة الخدمات التي تعمل عليه.

يعتمد النظام على منافذ TCP الخالية. في النمط السلبي يسجل حزمة SYN تصل إلى منفذ غير مستخدم. وفي نمط المصيدة الاختياري يحدد المشغل مجموعة من المنافذ — قال Kapitanski إن العدد المعتاد يتراوح بين 10 و26 — ثم يحوّل البرنامج الاتصالات إلى مصيدة بعيدة. يصبح خادم الإنتاج مدخلاً ومرّحلاً؛ أما خدمة المصيدة فتعمل على جهاز آخر.

هذا الفصل يبقي حركة المستخدمين إلى الخدمات الحقيقية خارج مسار الجمع. وإذا تابع الماسح الاتصال عبر منفذ مختار، تسجل المصيدة البعيدة ما يليه: محاولات الدخول أو الأوامر الموجهة إلى بيئة الطُعم. هكذا يقترب القياس من مضيف عامل من دون تحويل خدمته الأساسية إلى هدف اختبار.

يصف سجل النشر الرسمي لورقة مؤتمر قياس الإنترنت لعام 2026 شهرين من البيانات عبر 235 عملية نشر لـLightScope. وفي RIPE 93 عرض Kapitanski ماسحات غيّرت سلوكها بين مضيفين منفردين، حتى داخل الشبكة نفسها. قد تكشف النظرة الواسعة وجود ماسح، لكنها لا تبين بالضرورة أي خادم حي اختاره بعد ذلك.

موقع المستشعر جزء من الدليل. فالعنوان الخامل يكشف محيط المسح، والمنفذ الشاغر على خادم حي يكشف اختيار جهاز فعلي، والمصيدة البعيدة تسجل ما يحدث بعد الاتصال. كل مرحلة تجيب عن سؤال مختلف؛ لذلك لا يجوز وضع عدد حزم SYN وعدد محاولات الدخول في خانة واحدة.

قال Kapitanski إن عمليات النشر كانت تتركز إلى حد كبير في شبكات تعليمية أميركية؛ وتنوع أكبر في المشغلين والمناطق سيغير مدى تعميم النمط. كما حدد العرض نقطتي عتمة: لا يجمع LightScope حركة UDP ولا حركة الردود العكسية. الرصد المعتمد على TCP لا يغطي كل أساليب المسح.

اختيار المشغل محدد: ما المنافذ الخالية التي ستتحول إلى مستشعرات؟ أيها يسمح بتمرير اتصال؟ من يطالع سجلات المصيدة، وكم تبقى فيها بيانات الاعتماد والأوامر التي جُرّبت؟ بمجرد تفعيل القياس، يصبح للمنفذ الخامل غرض جديد ومسؤول عن بياناته.

المصادر