如何使用Masscan、Nmap、ELK做内网资产收集

# 如何使用Masscan、Nmap、ELK做内网资产收集

## 引言  
在大型企业内网或复杂网络环境中，资产发现与安全管理是基础性工作。本文将介绍如何通过`Masscan`快速扫描、`Nmap`深度探测结合`ELK`（Elasticsearch+Logstash+Kibana）构建自动化内网资产收集与分析系统。

---

## 一、工具概述  

### 1. Masscan  
- **特点**：号称"最快互联网扫描器"，支持无状态扫描，每秒可处理百万级数据包  
- **适用场景**：快速发现存活IP和开放端口  

### 2. Nmap  
- **特点**：深度端口扫描、服务识别、操作系统检测  
- **适用场景**：精细化资产指纹采集  

### 3. ELK Stack  
- **组成**：  
  - Elasticsearch：分布式搜索分析引擎  
  - Logstash：数据收集处理管道  
  - Kibana：可视化展示平台  
- **作用**：实现资产数据的集中存储、分析和可视化  

---

## 二、实施步骤  

### 阶段1：Masscan快速扫描  
```bash
# 扫描整个内网网段（示例：10.0.0.0/24）
masscan -p1-65535 10.0.0.0/24 --rate=10000 -oJ masscan_results.json

# 参数说明：
# -p : 扫描端口范围
# --rate : 发包速率（根据网络环境调整）
# -oJ : 输出JSON格式结果

输出处理：

# 提取存活IP（Python示例）
import json
with open('masscan_results.json') as f:
    data = json.load(f)
    alive_ips = {entry['ip'] for entry in data}

阶段2：Nmap深度扫描

# 对存活IP进行精细化扫描
nmap -sV -O -T4 -p- -iL alive_ips.txt -oX nmap_results.xml

# 参数说明：
# -sV : 服务版本探测
# -O : 操作系统检测
# -iL : 从文件读取IP列表
# -oX : 输出XML格式结果

阶段3：ELK数据处理

1. Logstash配置（nmap.conf）

input {
  file {
    path => "/path/to/nmap_results.xml"
    start_position => "beginning"
    sincedb_path => "/dev/null"
  }
}

filter {
  xml {
    source => "message"
    target => "nmap_data"
    xpath => [
      "//host/address/@addr", "host_ip",
      "//port/@portid", "port_number",
      "//service/@name", "service_name",
      "//service/@product", "service_product"
    ]
  }
}

output {
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "nmap_scan-%{+YYYY.MM.dd}"
  }
}

2. 启动数据处理

logstash -f nmap.conf

阶段4：Kibana可视化

1. 创建索引模式 nmap_scan-*
   
2. 示例仪表板：
   
   • 资产地理分布图（需IP地理信息）
     
   • 端口开放热力图
     
   • 服务类型统计饼图
     
   • 操作系统版本条形图
     

三、高级技巧

1. 定时任务集成

# 每天凌晨执行扫描（crontab示例）
0 2 * * * /usr/bin/masscan -p1-65535 10.0.0.0/24 -oJ /data/masscan_$(date +\%Y\%m\%d).json
30 2 * * * /usr/bin/nmap -sV -O -iL /data/alive_ips.txt -oX /data/nmap_$(date +\%Y\%m\%d).xml

2. 安全注意事项

• 控制扫描速率避免网络拥塞
  
• 获取合法授权后再扫描
  
• 敏感数据加密存储
  

3. 扩展方案

• 结合Metasploit进行漏洞验证
  
• 集成Shodan等外部情报
  

四、总结

通过Masscan+Nmap+ELK的组合，可实现：
1. 高效发现：Masscan快速定位存活资产
2. 深度识别：Nmap获取详细指纹信息
3. 智能分析：ELK实现资产可视化与历史追踪

注：实际部署时需根据网络规模调整参数，企业级环境建议使用分布式ELK集群。 “`

该方案完整代码与配置文件可在GitHub获取：示例仓库链接（需替换为实际链接）