Как защитится от магического сканирования

Важно! Под «магическим сканированием» (magic scanning) мы понимаем любое скрытое или полуавтоматизированное исследование ваших ресурсов — от хакерского Nmap до «олицетворённых» ИИ-ботов, умеющих «подглядывать» в экраны, «считывать» QR-коды на мониторах, «ощупывать» открытые порты и «снимать» книги цифровым фото. Ниже приведён системный чек-лист защиты: от классических порт-сканов до самых экзотических «магических» угроз.

Понимание угрозы: что именно сканируют злоумышленники

1. Сетевое сканирование: массовое «опрос» IP-диапазонов в поисках открытых портов и уязвимых сервисов (Shodan, Censys, Nmap, Masscan).
2. «Сканирование экрана»: фото/видео мониторов, смартфонами, скрытыми камерами, ИИ-ботами, способными распознавать текст и QR-коды в реальном времени.
3. «Скан-воровство» контента: съём книг, документов, билетов на длиннофокусные камеры или при помощи мобильных сканеров.
4. Программное сканирование: поиск уязвимостей (Vulnerability Management) в веб-приложениях и API.

Защита от сетевого сканирования

Фильтрация на границе

• MikroTik: включите PSD (Port Scan Detection) в Firewall → Detect & Drop port scanners.
  Добавьте список «белых» адресов в address-list=trusted, чтобы не блокировать легитимные мониторинговые сервисы.
• Linux/iptables:

  
  iptables -A INPUT -p tcp --syn -m limit --limit 20/s --limit-burst 40 -j ACCEPT
  iptables -A INPUT -p tcp --syn -j DROP
   

• fail2ban: правило [sshd-ddos] или собственный фильтр под Nmap-пробы.

  [Definition]
  failregex = ^.port scan.SRC=.*
  ignoreregex =
   

Маскировка «серых» слухов (OS-fingerprint spoofing)

Используйте OSPP (Open Source Passive Patches) или прокси-решения вроде Portspoof, которые выдают ложные сигнатуры операционных систем.

Защита от «сканирования экранов» и «цифрового фото»

Физический уровень

• Полиэдральная плёнка (3M Privacy Filter) или электрохромные стёкла (SPD-SmartGlass) — экран виден только под прямым углом.
• Анти-фото дисплеи: применяют субпиксельное мерцание (temporal dithering) и флуоресцентные микролинзы, которые «съедают» резкость на фото/видео.
• Контроллеры яркости: встроенные микросхемы автоматически снижают яркость при обнаружении внешней съёмки (инфракрасный датчик).

Программный уровень

• Муар-защита: расчёт «самочувствия» растра так, чтобы при любом наклоне камеры возникал сильный муар.
  Подобная техника применяется при оформлении водяных знаков для билетов и купонов.
• Динамический QR: токенизированные QR-коды, обновляющиеся каждые 30 секунд, бессмысленны при фото.
• Защита от OCR: используйте кривые шрифты (например, Fonts with Camouflage) или анти-OCR паттерны (background-noise 8 %).

Защита от «цифрового скан-воровства» книг и документов

1. Микротекстовые водяные знаки: на каждой странице вставляются уникальные идентификаторы размером 0,1 мм; при фото они становятся читаемыми и позволяют отследить источник утечки.
2. Глянцевая ламинация с дифракционной решёткой: при вспышке фото ламинация даёт радужную засветку, ухудшая качество скана.
3. «Бумага, которая горит в камере»: специальные полимерные покрытия, при нагреве от вспышки (>90 °C) затемняют текст.

Сканеры уязвимостей и Vulnerability Management

«Сканируй себя до того, как это сделают другие»

• MaxPatrol 10, RedCheck, XSpider 7 — российские решения, сертифицированные ФСТЭК/ФСБ.
• ScanOVAL — бесплатный движок для Linux-дистрибутивов, поддерживает SCAP 1.3.
• Облачные сканеры: Defender for Cloud (Azure), Security Command Center (GCP) — позволяют отключить индекс BLOB-тегов через REST API:

  PUT https://management.azure.com/.../blobServices/default?api-version=2025-01-01
  {
   "properties": {
   "disableBlobIndexing": true
   }
  }
   

Сниффинг попыток сканирования

• NGINX + ModSecurity: правило SecRule REQUEST_HEADERS:User-Agent "@contains nmap" "id:900001,drop".
• Suricata: сигнатура alert tcp any any -> any 80 (msg:"SCAN Nmap Script"; sid:1;).

Чек-лист «магической брони» за 5 минут

Контакты для консультаций и помощи

• Федеральная служба по техническому и экспортному контролю (ФСТЭК России)
  Телефон горячей линии: +7 -95 987-44-44
  E-mail: fstec@fstec.ru
  Официальный сайт: https://fstec.ru
• Центр реагирования на компьютерные инциденты в кредитно-финансовой сфере (FinCERT)
  Тел.: +7 -95 771-91-11 (доб. 1)
  E-mail: cert@cbr.ru
• Национальный координационный центр по компьютерным инцидентам (ГосСОПКА)
  Тел.: ###-###-#### (круглосуточно)
  E-mail: cert@gosopka;ru
• Российский центр безопасности интернета (РЦБИ)
  Тел.: +7 -95 926-00-00
  E-mail: info@rcbi.ru
• Коммерческие поставщики (по запросу пилотных проектов)
  • MaxPatrol (Positive Technologies): https://pt.ru/products/maxpatrol
  • Group-IB: https://www.group-ib.ru
  • Информационные технологии Рутек (RedCheck): https://infotecs.ru

Напоминание: даже лучшая «магическая» защита не заменяет регулярных обновлений, аудитов и обучения персонала. Проводите внешние пентесты минимум раз в полгода и храните логи не менее 12 месяцев для расследований.