https://www.ap-siken.com/kakomon/28_haru/pm01.html

設問3(1)で質問です。
答えと直接関係ないのですが、ポートスキャンによって、サーバOSの種類とバージョンがわかる理由がわかりません。

ポートスキャンによって、ポートにアクセスし、空いているか確認することで使っているプロトコルがわかることは理解できましたが、なぜ種類とバージョンがわかるのでしょうか？

>ポートスキャンによって、ポートにアクセスし、空いているか確認することで使っているプロトコルがわかることは理解できましたが、なぜ種類とバージョンがわかるのでしょうか？ 

仰る通りです。ポートの開閉のみであれば、L4レベルの通信で確認できますが、アプリケーション層で通信が行われなければサーバ情報などは表示されません。

ポートスキャンのツール(PortQry,nmapなど)は、動作に幅があります。MicrosoftのPortQryは、純粋にポートの開閉のみ確認するのに対し、nmapは、オプション(-A)でアプリケーション層の通信を試みますので、サーバ名の取得は可能です。

純粋にTCPやUDPの層(レイヤ4）のみであれば、サーバ名は取得できません。解説のポートスキャンは上述のとおり、アプリケーション層のプロトコルを含む、もしくは、下線①は、サーバ名を取得するためにプロトコルを使用していると考えて良いと思います。

> ポートにアクセスし、空いているか確認する

という単純なものではないから。

「Nmap OS検出」でGoogle検索してください。

あくまでも一例ですが、

例えば、標的サーバ（xx.yy.zz.195）にポートスキャンを実施したら
、とあるポートが開いていることが判明
ここでは、WebサーバでTCP12345番が開いていたと仮定します
Telnet xx.yy.zz.195:12345
Telnet上からコマンドでHEADメソッドだけを要求する

Webサーバからの応答が
HTTP/1.1 200 OK
Server Apache/1.*.*.・・・・・・・
のように回答があったら、
このWebサーバで使用しているWebアプリの種類はApacheサーバで
バージョンが/1.*.*.・・・と判明します。
これをバナーチェックと言うそうです

お返事が遅れてすみません。
ポートスキャンは開閉を調べるだけの単純なものではなく、アプリケーション層の通信を試みて、サーバの情報を取得できるんですね。
ありがとうございました！