ポートスキャンとは？管理目的と攻撃目的の違い【SG試験】

まず結論

ポートスキャンとは、サーバやネットワーク機器に通信を送り、どのポートが開いているかを調べる行為です。
SG試験では、管理者による点検なのか、攻撃者による事前調査なのかに加えて、TCP/UDPの応答から開閉状態を判断できるかが問われます。

ポート状態を判定する問題では、まず次の対応を押さえます。

スキャン	返ってくる応答	判定
TCP SYNを送る	SYN/ACK	ポートが開いている
TCP SYNを送る	RST/ACK	ポートが閉じている
UDPを送る	ICMP port unreachable	ポートが閉じている
UDPを送る	応答なし	開いている可能性がある、またはフィルタされている

ポートスキャン自体は、必ずしも攻撃とは限りません。自社のサーバを点検するために行う場合もあれば、攻撃者が侵入の入口を探すために行う場合もあります。

選択肢では、「許可された範囲で不要なポートを確認する」なら管理目的、「侵入先を探すために外部から調査する」なら攻撃の事前調査として考えます。

直感的な説明

ポートスキャンは、建物の扉を外から一つずつ確認するようなものです。

この扉は開いているか
何のための扉か
入る必要のない扉が開いていないか
攻撃に使えそうな入口はないか

同じ「扉を調べる行為」でも、目的によって意味が変わります。

管理者が行う場合は、開けっぱなしの扉を見つけて閉める点検です。攻撃者が行う場合は、侵入できそうな扉を探す下見です。

そのため、SG試験では「ポートスキャン＝悪い行為」と丸暗記しないことが大切です。

定義・仕組み

ポートスキャンは、検査対象のIPアドレスに対して通信を試し、返ってくる反応からポートの状態を推測します。

代表的に確認する内容は、次のとおりです。

確認すること	意味
開いているポート	外部から接続できる通信口
閉じているポート	サービスが待ち受けていない通信口
フィルタされているポート	ファイアウォールなどで遮断されている通信口
稼働サービス	Web、メール、リモート管理などのサービス

ポートスキャンに使われる代表的なツールには、Nmapがあります。Nmap公式サイトでは、Nmapはネットワーク探索やセキュリティ監査に使われるオープンソースのツールとして説明されています。 Nmap公式サイト

SG試験では、細かいスキャン方式を深追いするよりも、「開いている通信口を調べる行為」と、代表的な応答の意味を押さえるのが基本です。

TCPハーフスキャンとUDPスキャンの判定

SG試験では、ポートスキャンの方式名そのものよりも、応答から開いているか閉じているかを判断する問題が出ることがあります。

TCPハーフスキャンでは、対象ポートにSYNパケットを送り、応答を見ます。

送信	応答	判断
SYN	SYN/ACK	接続要求を受け付けたので、ポートは開いている
SYN	RST/ACK	接続を拒否・リセットしたので、ポートは閉じている

TCPでは、SYN/ACKは接続要求を受け付ける反応です。この応答が確認できるポートは、待受け状態と判断します。

一方、RST/ACKは接続拒否やリセットを意味します。この応答が返るポートは、接続を受け付けていないと判断します。

UDPスキャンでは、対象ポートにUDPパケットを送り、ICMPエラーや応答なしを見ます。

送信	応答	判断
UDP	ICMP port unreachable	ポートは閉じている
UDP	応答なし	開いている可能性がある、またはフィルタされている

UDPはTCPのように接続を確立しません。そのため、ポートが開いていて正常に受信された場合でも、必ず応答が返るとは限りません。

SG試験では、ICMP port unreachableが返ったら閉じていると判断できることが特に重要です。

どんな場面で使う？

ポートスキャンは、管理目的では次のような場面で使われます。

サーバで不要なサービスが公開されていないか確認する
ファイアウォールの設定が意図どおりか確認する
新しく公開したサーバの外部公開状態を確認する
脆弱性診断の前に、調査対象の入口を把握する

一方で、攻撃目的では次のように使われることがあります。

侵入できそうなサーバを探す
管理用サービスが外部に開いていないか調べる
古いサービスや危険な設定が残っていないか探す
攻撃対象の情報を集める

つまり、ポートスキャンは行為だけで善悪が決まるのではなく、権限・目的・対象範囲で意味が変わると考えます。

実務では、管理者であっても、無断で他者のサーバに対してポートスキャンを行うべきではありません。実施する場合は、事前に許可された対象と範囲を明確にします。

よくある誤解・混同

ポートスキャンとポートスキャナーの違い

ポートスキャンは、ポートを調べる行為です。ポートスキャナーは、その行為を行うためのツールです。

用語	意味
ポートスキャン	開いているポートを調べる行為
ポートスキャナー	ポートスキャンを行うツール

SG試験では、厳密な言い換え問題は多くありませんが、行為なのか、道具なのかを分けておくと混乱しにくくなります。

脆弱性診断との違い

ポートスキャンは、主に入口が開いているかを調べます。

脆弱性診断は、その入口の先にあるサービスやアプリケーションに、既知の弱点がないかを調べます。

用語	主な目的
ポートスキャン	開いている通信口を調べる
脆弱性診断	サービスやアプリの弱点を調べる

選択肢で「Webアプリケーションの入力欄を検査して脆弱性を見つける」とあれば、ポートスキャンではなく脆弱性診断に近い説明です。

ログ分析との違い

ログ分析は、過去のアクセス履歴や操作履歴を見て、不正利用や異常を見つける活動です。

ポートスキャンは、履歴を見るのではなく、対象に通信を送って、現在の公開状態を調べます。

用語	見るもの
ポートスキャン	現在のポート状態
ログ分析	過去のアクセス履歴

選択肢では、「アクセス履歴を分析する」と書かれていたら、ポートスキャンではありません。

攻撃と決めつけない

ポートスキャンは攻撃の準備に使われることがあります。しかし、管理者が自社環境を点検するために行うこともあります。

SG試験では、「ポートスキャン＝不正アクセス」と決めつけると誤りやすいです。

判断するときは、次の3点を見ます。

誰が行っているか
許可された範囲か
目的が点検か、侵入準備か

SG試験で選択肢を切る判断軸（ポート状態判定編）

TCPハーフスキャンでは、接続要求を受け付ける反応なら開いていると判断します。
TCPハーフスキャンで拒否・リセットの反応なら、閉じていると判断します。
UDPスキャンで到達不能を示すICMP応答が返る場合、そのUDPポートは閉じていると判断します。
UDPで応答がない場合は、開いている可能性も、フィルタされている可能性もあります。単純に「閉じている」とは決めつけません。

確認問題（SG試験対策）

管理者が許可を得て自社サーバのポート状態を確認した。TCP/443へのSYNにSYN/ACKが返り、TCP/25へのSYNにRST/ACKが返り、UDP/161への送信にICMP port unreachableが返った。この結果の読み取りとして、最も適切なものはどれか。

ア. TCP/443は接続を受け付ける状態、TCP/25とUDP/161は閉じている可能性が高い。
イ. TCP/443は閉じており、TCP/25は接続を受け付ける状態である。
ウ. UDP/161はICMP応答があったので、アプリケーションが正常に待ち受けている。
エ. TCP/25のRST/ACKは接続確立完了を示すので、ポートは開いている。

▶ クリックして答えと解説を見る（ここを開く）

正解：ア

解説

ア：適切。TCPのSYN/ACKは接続受付、RST/ACKは接続拒否を示します。UDPのICMP port unreachableは、対象ポートで受け付けていないことを示します。
イ：不適切。SYN/ACKとRST/ACKの意味が逆です。
ウ：不適切。ICMP port unreachableは、UDPポートが待ち受けていないことを示す代表的な応答です。
エ：不適切。RST/ACKは接続確立ではなく、拒否・リセットの反応です。

👉 判断ポイント TCPはSYN/ACKなら開、RST/ACKなら閉、UDPはICMP port unreachableなら閉で切り分けます。

まとめ（試験直前用）

ポートスキャンは、開いている通信ポートを調べる行為です。
TCPは、SYN/ACKなら開、RST/ACKなら閉で判断します。
UDPは、ICMP port unreachableなら閉で判断します。
管理目的では点検、攻撃目的では侵入の事前調査になります。
判断基準は、応答の意味と権限・目的・対象範囲です。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る