47.Nmap (inventario autorizado)

Nmap (Network Mapper) es un programa libre que recorre una red y te dice qué equipos están conectados, qué puertos tienen abiertos y qué servicios ofrecen. En manos del equipo de defensa es una herramienta de inventario y verificación.

Es como pasar lista en el salón: descubres quién está, quién faltó y quién llegó sin estar inscrito.

En términos técnicos

• Funciona en Windows, Linux y macOS; tiene interfaz gráfica (Zenmap).
• Hace, entre otras cosas:

• Los resultados se pueden guardar en varios formatos para compararlos con escaneos posteriores.

¿Dónde lo vas a encontrar?

En las tareas de inventario de TI, en la verificación de reglas de firewall, en las evaluaciones de vulnerabilidades (como paso previo), en las auditorías y en los cursos de redes y seguridad.

Un caso verosímil

Con autorización de la dirección, el responsable de TI escanea la red administrativa de la escuela y compara el resultado con el inventario. Aparecen dos sorpresas: un router doméstico que alguien conectó en una oficina (creando una red Wi-Fi paralela sin contraseña) y una impresora con Telnet abierto y la contraseña de fábrica.

Qué se habría perdido

• Cualquiera cerca de esa oficina tenía acceso a la red administrativa por ese Wi-Fi abierto.

Qué se ganó

Dos huecos cerrados en una tarde. Nmap no «protege» por sí mismo: muestra lo que no sabías que tenías, que es justo lo que buscaría un atacante.

Comandos básicos (en la red de laboratorio)

# ¿Qué equipos responden en la red? (descubrimiento, sin escanear puertos)
nmap -sn 192.168.56.0/24

# Los 100 puertos más comunes de un equipo
nmap --top-ports 100 192.168.56.10

# Puertos y versiones de los servicios
nmap -sV 192.168.56.10

# Puertos concretos en varios equipos
nmap -p 22,80,443,3389 192.168.56.0/24

# Guardar el resultado en todos los formatos para comparar después
nmap -sV -oA inventario-$(date +%F) 192.168.56.0/24

Usos defensivos

Antes de escanear

1. Autorización por escrito (alcance, fecha, horario, responsable).
2. Aviso al personal de TI y a quien monitorea la red, para que no lo tomen por un ataque.
3. Empieza suave: descubrimiento y pocos puertos; evita opciones agresivas en equipos delicados (impresoras, sistemas médicos, equipos viejos).
4. Guarda y protege los resultados: son un mapa de tu red.

Por nivel

MITRE ATT&CK: los atacantes usan escaneos en T1595 — Active Scanning y T1046 — Network Service Discovery; hacerlo primero, con autorización, te permite cerrar esas puertas.

• Que un puerto aparezca «filtrado» suele significar que un firewall lo bloquea; «cerrado» que el equipo responde pero no hay servicio.
• Los resultados no son infalibles: confirma lo importante con otras fuentes.
• Escanear Internet o redes de terceros sin permiso no es «practicar»: usa tu laboratorio o plataformas de práctica autorizadas.
• Compara en el tiempo: el valor está en ver qué cambió entre un escaneo y otro.
• Documenta cada escaneo: quién, cuándo, con qué autorización y qué se encontró.

• Lyon, G. Nmap Network Scanning (guía oficial, en línea). https://nmap.org/book/
• Nmap Project. Nmap Reference Guide (también en español). https://nmap.org/man/es/
• NIST. SP 800-115 — Technical Guide to Information Security Testing and Assessment (2008). https://csrc.nist.gov/pubs/sp/800/115/final
• MITRE ATT&CK. T1046 — Network Service Discovery. https://attack.mitre.org/techniques/T1046/