Nmap é um mapeador de rede que surgiu como uma das mais populares e gratuitas ferramentas de descoberta de rede do mercado. O Nmap é agora uma das ferramentas principais usadas pelos administradores de rede para mapear suas redes. O programa pode ser usado para encontrar hosts ao vivo em uma rede, realizar varredura de portas, ping sweeps, detecção de SO e detecção de versão.
Um número de ciberataques recentes tem re-focado a atenção no tipo de auditoria de rede que o Nmap fornece. Analistas apontaram que o recente hack do Capital One, por exemplo, poderia ter sido detectado mais cedo se os administradores de sistema estivessem monitorando dispositivos conectados. Neste guia, vamos olhar o que o Nmap é, o que ele pode fazer, e explicar como usar os comandos mais comuns.
Get the Free Pen Testing Active Directory Environments EBook
Idealmente, o Nmap deve ser usado como parte de uma Plataforma de Segurança de Dados integrada. Uma vez que o Nmap tenha sido usado para mapear uma rede, uma plataforma como a Varonis Datadvantage pode então ser usada para implementar controle de acesso avançado.
- >
- Como usar o Nmap
- Nmap Tutorial e Exemplos
- Comandos do Nmap
- Nmap FAQ
O que é Nmap?
No seu núcleo, o Nmap é uma ferramenta de digitalização de rede que usa pacotes IP para identificar todos os dispositivos conectados a uma rede e para fornecer informações sobre os serviços e sistemas operacionais que estão rodando.
O programa é mais comumente usado através de uma interface de linha de comando (embora front-ends GUI também estejam disponíveis) e está disponível para muitos sistemas operacionais diferentes, como Linux, BSD Livre e Gentoo. Sua popularidade também foi reforçada por uma comunidade ativa e entusiasmada de suporte ao usuário.
Nmap foi desenvolvido para redes de escala empresarial e pode varrer através de milhares de dispositivos conectados. No entanto, nos últimos anos, o Nmap está sendo cada vez mais utilizado por empresas menores. O crescimento do IoT, em particular, significa agora que as redes usadas por essas empresas se tornaram mais complexas e, portanto, mais difíceis de proteger.
Isso significa que o Nmap é agora usado em muitas ferramentas de monitoramento de sites para auditar o tráfego entre servidores web e dispositivos IoT. O recente surgimento de botnets IoT, como o Mirai, também estimulou o interesse no Nmap, não menos por causa de sua capacidade de interrogar dispositivos conectados através do protocolo UPnP e destacar quaisquer dispositivos que possam ser maliciosos.
O que o Nmap faz?
A um nível prático, o Nmap é usado para fornecer informações detalhadas e em tempo real sobre suas redes e sobre os dispositivos conectados a elas.
Os usos primários do Nmap podem ser divididos em três processos principais. Primeiro, o programa lhe dá informações detalhadas sobre cada IP ativo em suas redes, e cada IP pode então ser escaneado. Isto permite aos administradores verificar se um IP está sendo usado por um serviço legítimo, ou por um atacante externo.
Segundamente, o Nmap fornece informações sobre a sua rede como um todo. Ele pode ser usado para fornecer uma lista de hosts ao vivo e portas abertas, bem como para identificar o SO de cada dispositivo conectado. Isto o torna uma ferramenta valiosa no monitoramento contínuo do sistema, assim como uma parte crítica do pentesting. O Nmap pode ser usado junto com o Metasploit framework, por exemplo, para sondar e então reparar vulnerabilidades da rede.
Em terceiro lugar, o Nmap também se tornou uma ferramenta valiosa para usuários que buscam proteger sites pessoais e empresariais. Usar o Nmap para sondar seu próprio servidor web, particularmente se você estiver hospedando seu site a partir de casa, é essencialmente simular o processo que um hacker usaria para atacar seu site. “Atacar” o seu próprio site desta forma é uma forma poderosa de identificar vulnerabilidades de segurança.
Como usar o Nmap
Nmap é simples de usar, e a maioria das ferramentas que ele fornece são familiares aos administradores de sistema de outros programas. A vantagem do Nmap é que ele traz uma grande variedade dessas ferramentas em um único programa, ao invés de forçá-lo a pular entre ferramentas de monitoramento de rede separadas e discretas.
Para usar o Nmap, você precisa estar familiarizado com interfaces de linha de comando. A maioria dos usuários avançados são capazes de escrever scripts para automatizar tarefas comuns, mas isto não é necessário para o monitoramento básico da rede.
Como instalar o Nmap
O processo de instalação do Nmap é fácil, mas varia de acordo com o seu sistema operacional. As versões Windows, Mac e Linux do programa podem ser baixadas aqui.
- Para Windows, o Nmap vem com um instalador personalizado (namp<version>setup.exe). Baixe e execute este instalador, e ele configura automaticamente o Nmap no seu sistema.
- No Mac, o Nmap também vem com um instalador dedicado. Execute o arquivo Nmap-<version>mpkg para iniciar este instalador. Em algumas versões recentes do MacOS, você pode ver um aviso de que o Nmap é um “desenvolvedor não identificado”, mas você pode ignorar este aviso.
- Linux usuários podem compilar o Nmap a partir do código fonte ou usar seu gerenciador de pacotes escolhido. Para usar o apt, por exemplo, você pode executar o Nmap -version para verificar se o Nmap está instalado e sudo apt-get install Nmap para instalá-lo.
Nmap Tutorial e Exemplos
Após ter instalado o Nmap, a melhor maneira de aprender como usá-lo é executando algumas varreduras básicas de rede.
Como executar um Ping Scan
Uma das funções mais básicas do Nmap é identificar hosts ativos na sua rede. O Nmap faz isso usando uma varredura de ping. Isso identifica todos os endereços IP que estão atualmente online sem enviar nenhum empacotador para esses hosts.
Para executar um scan ping, execute o seguinte comando:
# nmap -sp 192.100.1.1/24
Este comando então retorna uma lista de hosts em sua rede e o número total de endereços IP atribuídos. Se você detectar quaisquer hosts ou endereços IP nesta lista que você não possa contabilizar, você pode então executar outros comandos (veja abaixo) para investigá-los melhor.
Como executar um scan de host
Uma maneira mais poderosa de executar um scan de host nas suas redes é usar o Nmap para executar um scan de host. Ao contrário de um ping scan, um host scan envia ativamente pacotes de requisição ARP para todos os hosts conectados à sua rede. Cada host então responde a este pacote com outro pacote ARP contendo seu status e endereço MAC.
Para executar um host scan, use o seguinte comando:
# nmap -sp <target IP range>
Isto retorna informações sobre cada host, sua latência, seu endereço MAC, e também qualquer descrição associada a este endereço. Esta pode ser uma maneira poderosa de detectar hosts suspeitos conectados à sua rede.
Se você vir algo incomum nesta lista, você pode então executar uma consulta DNS em uma máquina específica, usando:
# namp -sL <IP address>
Isto retorna uma lista de nomes associados com o IP escaneado. Esta descrição fornece informações sobre para que serve o IP.
Como usar o Nmap no Kali Linux
Usar o Nmap no Kali Linux pode ser feito de forma idêntica a executar o programa em qualquer outra variante do Linux.
Dito isto, há vantagens em usar o Kali ao executar os scans do Nmap. A maioria das distros modernas do Kali agora vem com uma suíte Nmap completa, que inclui uma GUI avançada e um visualizador de resultados (Zenmap), uma ferramenta flexível de transferência de dados, redirecionamento e depuração (Ncat), um utilitário para comparar resultados de scan (Ndiff), e uma ferramenta de geração de pacotes e análise de respostas (Nping).
Comandos Nmap
A maioria das funções comuns do Nmap pode ser executada usando um único comando, e o programa também usa um número de comandos de ‘atalho’ que podem ser usados para automatizar tarefas comuns.
Aqui está uma execução rápida:
Ping Scanning
Como mencionado acima, um ping scan retorna informações sobre cada IP ativo em sua rede. Você pode executar um ping scan usando este comando:
#
Ping Scanning
>141414>
Existem várias maneiras de executar um scan de portas usando o Nmap. As mais comuns são estas:
# sS TCP SYN scan# sT TCP connect scan# sU UDP scans# sY SCTP INIT scan# sN TCP NULL
As principais diferenças entre estes tipos de scans são se eles cobrem portas TCP ou UDP e se eles executam uma conexão TCP. Aqui estão as diferenças básicas:
- O mais básico desses scans é o sS TCP SYN scan, e isso dá à maioria dos usuários todas as informações que eles precisam. Ele varre milhares de portas por segundo, e por não completar uma conexão TCP não levanta suspeitas.
- A principal alternativa para este tipo de varredura é a varredura TCP Connect, que consulta ativamente cada host, e solicita uma resposta. Este tipo de scan leva mais tempo que um scan SYN, mas pode retornar informações mais confiáveis.
- O scan UDP funciona de forma similar ao scan TCP connect mas usa pacotes UDP para scan de portas DNS, SNMP, e DHCP. Estas são as portas mais frequentemente visadas pelos hackers, e por isso este tipo de scan é uma ferramenta útil para verificar vulnerabilidades.
- O scan SCTP INIT cobre um conjunto diferente de serviços: SS7 e SIGTRAN. Este tipo de scan também pode ser usado para evitar suspeitas quando se faz um scan a uma rede externa porque não completa todo o processo SCTP.
- O TOP NULL scan também é uma técnica de scan muito astuciosa. Ele usa uma falha no sistema TCP que pode revelar o status das portas sem consulta direta, o que significa que você pode ver seu status mesmo onde elas estão protegidas por um firewall.
Host Scanning
Host scan retorna informações mais detalhadas sobre um host em particular ou uma gama de endereços IP. Como mencionado acima, você pode executar um host scan usando o seguinte comando:
# nmap -sp <target IP range>
OS Scanning
OS scan é uma das características mais poderosas do Nmap. Ao usar este tipo de scan, o Nmap envia pacotes TCP e UDP para uma determinada porta, e então analisa sua resposta. Ele compara essa resposta com um banco de dados de 2600 sistemas operacionais e retorna informações sobre o SO (e versão) de um host.
Para executar um scan de SO, use o seguinte comando:
nmap -O <target IP>
Scan The Most Popular Ports
Se você estiver executando o Nmap em um servidor home, esse comando é muito útil. Ele escaneia automaticamente várias das portas mais ‘populares’ para um host. Você pode executar este comando usando:
nmap --top-ports 20 192.168.1.106
Substitua o “20” pelo número de portas a serem escaneadas, e o Nmap escaneia rapidamente muitas portas. Ele retorna uma saída concisa que detalha o status das portas mais comuns, e isso permite que você veja rapidamente se tem alguma porta desnecessariamente aberta.
Saída para um arquivo
Se você quiser emitir os resultados das varreduras do Nmap para um arquivo, você pode adicionar uma extensão aos seus comandos para fazer isso. Simplesmente adicione:
-oN output.txt
Ao seu comando de saída dos resultados para um arquivo de texto, ou:
-oX output.xml
Para sair para um XML.
Disable DNS Name Resolution
Finalmente, você pode acelerar suas varreduras de Nmap usando o parâmetro -n para desativar a resolução DNS inversa. Isto pode ser extremamente útil se você quiser varrer uma grande rede. Por exemplo, para desativar a resolução DNS para o ping scan básico mencionado acima, adicione -n:
# nmap -sp -n 192.100.1.1/24
Nmap FAQ
Os comandos acima cobrem a maior parte da funcionalidade básica do Nmap. Você ainda pode ter algumas perguntas, então vamos correr através das mais comuns.
Q: Quais são algumas alternativas ao Nmap?
Existem algumas alternativas ao Nmap, mas a maioria delas está focada em fornecer funcionalidades específicas de nicho que o administrador de sistemas médio precisa frequentemente. O MASSCAN, por exemplo, é muito mais rápido do que o Nmap, mas fornece menos detalhes. O Umit, ao contrário, permite executar várias varreduras ao mesmo tempo.
Na realidade, porém, o Nmap fornece toda a funcionalidade e velocidade que o usuário médio requer, especialmente quando utilizado em conjunto com outras ferramentas igualmente populares como o NetCat (que pode ser utilizado para gerenciar e controlar o tráfego de rede) e ZenMap (que fornece uma GUI para o Nmap)
Q: Como o Nmap funciona?
Nmap baseia-se em ferramentas de auditoria de rede anteriores para fornecer varreduras rápidas e detalhadas do tráfego de rede. Ele funciona usando pacotes IP para identificar os hosts e IPs ativos em uma rede e então analisar esses pacotes para fornecer informações sobre cada host e IP, assim como os sistemas operacionais que eles estão rodando.
>
Q: O Nmap é legal?
Sim. Se usado corretamente, o Nmap ajuda a proteger sua rede contra hackers, pois permite que você identifique rapidamente qualquer vulnerabilidade de segurança em seus sistemas.
Se a varredura de portas em servidores externos é legal é outro problema. A legislação nesta área é complexa e varia de acordo com o território. Usar o Nmap para escanear portas externas pode levar você a ser banido pelo seu provedor, então certifique-se de pesquisar as implicações legais de usar o programa antes de começar a usá-lo mais amplamente.
O resultado final
Tirar o tempo para aprender o Nmap pode aumentar drasticamente a segurança de suas redes porque o programa oferece uma maneira rápida e eficiente de auditar seus sistemas. Mesmo as características básicas oferecidas pelo programa – como a capacidade de realizar varredura de portas – rapidamente revelam quaisquer dispositivos suspeitos que estejam ativos em sua rede.
Utilizar o Nmap para realizar auditorias freqüentes de rede pode ajudá-lo a evitar tornar-se presa fácil para hackers, enquanto também melhora seu conhecimento de sua própria rede. Além disso, o Nmap fornece funcionalidades que complementam plataformas de segurança de dados mais completas, como a oferecida pelo Varonis, e quando usado junto com essas ferramentas pode melhorar drasticamente sua segurança cibernética.