Nmap es un mapeador de redes que ha surgido como una de las herramientas de descubrimiento de redes más populares y gratuitas del mercado. Nmap es ahora una de las principales herramientas utilizadas por los administradores de red para mapear sus redes. El programa puede usarse para encontrar hosts vivos en una red, realizar escaneos de puertos, barridos de ping, detección de sistemas operativos y detección de versiones.
Unos cuantos ciberataques recientes han vuelto a centrar la atención en el tipo de auditoría de red que proporciona Nmap. Los analistas han señalado que el reciente hackeo de Capital One, por ejemplo, podría haberse detectado antes si los administradores de sistemas hubieran supervisado los dispositivos conectados. En esta guía, veremos qué es Nmap, qué puede hacer y explicaremos cómo utilizar los comandos más comunes.
Obtenga el EBook gratuito de Pen Testing Active Directory Environments
En realidad, Nmap debe ser utilizado como parte de una plataforma integrada de seguridad de datos. Una vez que se ha utilizado Nmap para mapear una red, se puede utilizar una plataforma como Datadvantage de Varonis para implementar un control de acceso avanzado.
- Cómo utilizar Nmap
- Tutorial y ejemplos de Nmap
- Comandos de Nmap
- Preguntas frecuentes de Nmap
¿Qué es Nmap?
En su esencia, Nmap es una herramienta de escaneo de red que utiliza paquetes IP para identificar todos los dispositivos conectados a una red y proporcionar información sobre los servicios y sistemas operativos que están ejecutando.
El programa se utiliza más comúnmente a través de una interfaz de línea de comandos (aunque también hay disponibles interfaces gráficas de usuario) y está disponible para muchos sistemas operativos diferentes, como Linux, Free BSD y Gentoo. Su popularidad también se ha visto reforzada por una activa y entusiasta comunidad de apoyo a los usuarios.
Nmap fue desarrollado para redes a escala empresarial y puede escanear miles de dispositivos conectados. Sin embargo, en los últimos años Nmap está siendo cada vez más utilizado por las empresas más pequeñas. El auge del IoT, en particular, significa ahora que las redes utilizadas por estas empresas se han vuelto más complejas y, por tanto, más difíciles de asegurar.
Esto significa que Nmap se utiliza ahora en muchas herramientas de monitorización de sitios web para auditar el tráfico entre los servidores web y los dispositivos IoT. La reciente aparición de redes de bots de IoT, como Mirai, también ha estimulado el interés por Nmap, sobre todo por su capacidad para interrogar a los dispositivos conectados a través del protocolo UPnP y destacar cualquier dispositivo que pueda ser malicioso.
¿Qué hace Nmap?
A nivel práctico, Nmap se utiliza para proporcionar información detallada y en tiempo real sobre sus redes, y sobre los dispositivos conectados a ellas.
Los usos principales de Nmap pueden dividirse en tres procesos principales. En primer lugar, el programa le proporciona información detallada sobre cada IP activa en sus redes, y cada IP puede ser escaneada. Esto permite a los administradores comprobar si una IP está siendo utilizada por un servicio legítimo o por un atacante externo.
En segundo lugar, Nmap proporciona información sobre su red en su conjunto. Puede utilizarse para proporcionar una lista de hosts vivos y puertos abiertos, así como para identificar el sistema operativo de cada dispositivo conectado. Esto lo convierte en una valiosa herramienta para la monitorización continua del sistema, así como en una parte fundamental del pentesting. Nmap puede utilizarse junto con el marco Metasploit, por ejemplo, para sondear y luego reparar las vulnerabilidades de la red.
En tercer lugar, Nmap también se ha convertido en una valiosa herramienta para los usuarios que buscan proteger los sitios web personales y empresariales. Utilizar Nmap para escanear su propio servidor web, especialmente si aloja su sitio web desde casa, es esencialmente simular el proceso que un hacker utilizaría para atacar su sitio. «Atacar» su propio sitio de esta manera es una forma poderosa de identificar las vulnerabilidades de seguridad.
Cómo usar Nmap
Nmap es sencillo de usar, y la mayoría de las herramientas que proporciona son familiares para los administradores de sistemas de otros programas. La ventaja de Nmap es que reúne una amplia gama de estas herramientas en un solo programa, en lugar de obligarle a saltar entre herramientas de monitorización de red separadas y discretas.
Para utilizar Nmap, es necesario estar familiarizado con las interfaces de línea de comandos. Los usuarios más avanzados son capaces de escribir scripts para automatizar tareas comunes, pero esto no es necesario para la monitorización básica de la red.
Cómo instalar Nmap
El proceso de instalación de Nmap es fácil pero varía según su sistema operativo. Las versiones del programa para Windows, Mac y Linux pueden descargarse aquí.
- Para Windows, Nmap viene con un instalador personalizado (namp<version>setup.exe). Descargue y ejecute este instalador, y configurará automáticamente Nmap en su sistema.
- En Mac, Nmap también viene con un instalador dedicado. Ejecute el archivo Nmap-<version>mpkg para iniciar este instalador. En algunas versiones recientes de macOS, puede ver una advertencia de que Nmap es un «desarrollador no identificado», pero puede ignorar esta advertencia.
- Los usuarios de Linux pueden compilar Nmap desde el código fuente o utilizar su gestor de paquetes elegido. Para utilizar apt, por ejemplo, puede ejecutar Nmap -version para comprobar si Nmap está instalado, y sudo apt-get install Nmap para instalarlo.
Tutorial y ejemplos de Nmap
Una vez que haya instalado Nmap, la mejor manera de aprender a utilizarlo es realizar algunos escaneos de red básicos.
Cómo ejecutar un escaneo Ping
Una de las funciones más básicas de Nmap es identificar los hosts activos en su red. Nmap hace esto utilizando un escaneo ping. Esto identifica todas las direcciones IP que están actualmente en línea sin enviar ningún paquete a estos hosts.
Para ejecutar un escaneo ping, ejecute el siguiente comando:
# nmap -sp 192.100.1.1/24
Este comando devuelve una lista de hosts en su red y el número total de direcciones IP asignadas. Si detecta algún host o dirección IP en esta lista que no puede explicar, puede ejecutar otros comandos (véase más abajo) para investigarlos más a fondo.
Cómo ejecutar un escaneo de hosts
Una forma más potente de escanear sus redes es utilizar Nmap para realizar un escaneo de hosts. A diferencia de un escaneo de ping, un escaneo de host envía activamente paquetes de solicitud ARP a todos los hosts conectados a su red. Cada host responde a este paquete con otro paquete ARP que contiene su estado y dirección MAC.
Para ejecutar un escaneo de host, utilice el siguiente comando:
# nmap -sp <target IP range>
Esto devuelve información sobre cada host, su latencia, su dirección MAC, y también cualquier descripción asociada a esta dirección. Esta puede ser una forma poderosa de detectar hosts sospechosos conectados a su red.
Si ve algo inusual en esta lista, puede ejecutar una consulta DNS en un host específico, utilizando:
# namp -sL <IP address>
Esto devuelve una lista de nombres asociados con la IP escaneada. Esta descripción proporciona información sobre lo que la IP es en realidad para.
Cómo utilizar Nmap en Kali Linux
Usar Nmap en Kali Linux se puede hacer de una manera idéntica a la ejecución del programa en cualquier otro sabor de Linux.
Eso dijo, hay ventajas para el uso de Kali cuando se ejecuta escaneos Nmap. La mayoría de las distros modernas de Kali ahora vienen con una suite de Nmap con todas las funciones, que incluye una interfaz gráfica de usuario avanzada y un visor de resultados (Zenmap), una herramienta flexible de transferencia de datos, redirección y depuración (Ncat), una utilidad para comparar los resultados del escaneo (Ndiff) y una herramienta de generación de paquetes y análisis de respuestas (Nping).
Comandos de Nmap
La mayoría de las funciones comunes de Nmap pueden ejecutarse utilizando un solo comando, y el programa también utiliza una serie de comandos de «acceso directo» que se pueden utilizar para automatizar las tareas comunes.
Aquí hay un rápido repaso:
Escaneo ping
Como se mencionó anteriormente, un escaneo ping devuelve información sobre cada IP activa en su red. Puede ejecutar un escaneo ping usando este comando:
#
Escaneo de puertos
Hay varias formas de ejecutar el escaneo de puertos usando Nmap. Las más utilizadas son estas:
# sS TCP SYN scan# sT TCP connect scan# sU UDP scans# sY SCTP INIT scan# sN TCP NULL
Las principales diferencias entre estos tipos de escaneo son si cubren puertos TCP o UDP y si ejecutan una conexión TCP. Aquí están las diferencias básicas:
- El más básico de estos escaneos es el sS TCP SYN scan, y esto da a la mayoría de los usuarios toda la información que necesitan. Escanea miles de puertos por segundo y, como no completa una conexión TCP, no levanta sospechas.
- La principal alternativa a este tipo de escaneo es el escaneo TCP Connect, que consulta activamente a cada host y solicita una respuesta. Este tipo de escaneo lleva más tiempo que un escaneo SYN, pero puede devolver información más fiable.
- El escaneo UDP funciona de forma similar al escaneo de conexión TCP, pero utiliza paquetes UDP para escanear los puertos DNS, SNMP y DHCP. Estos son los puertos más frecuentemente atacados por los hackers, por lo que este tipo de escaneo es una herramienta útil para comprobar las vulnerabilidades.
- El escaneo SCTP INIT cubre un conjunto diferente de servicios: SS7 y SIGTRAN. Este tipo de escaneo también puede usarse para evitar sospechas cuando se escanea una red externa porque no completa el proceso completo de SCTP.
- El escaneo TOP NULL es también una técnica de escaneo muy astuta. Utiliza una laguna en el sistema TCP que puede revelar el estado de los puertos sin consultarlos directamente, lo que significa que puede ver su estado incluso cuando están protegidos por un cortafuegos.
Escaneo de host
El escaneo de host devuelve información más detallada sobre un host particular o un rango de direcciones IP. Como se mencionó anteriormente, puede realizar un escaneo de hosts utilizando el siguiente comando:
# nmap -sp <target IP range>
Escaneo del SO
El escaneo del SO es una de las características más poderosas de Nmap. Cuando se utiliza este tipo de escaneo, Nmap envía paquetes TCP y UDP a un puerto en particular, y luego analiza su respuesta. Compara esta respuesta con una base de datos de 2600 sistemas operativos, y devuelve información sobre el SO (y la versión) de un host.
Para ejecutar un escaneo del SO, utilice el siguiente comando:
nmap -O <target IP>
Escanear los puertos más populares
Si está ejecutando Nmap en un servidor doméstico, este comando es muy útil. Escanea automáticamente un número de los puertos más «populares» de un host. Puede ejecutar este comando usando:
nmap --top-ports 20 192.168.1.106
Sustituya el «20» por el número de puertos a escanear, y Nmap rápidamente escanea esa cantidad de puertos. Devuelve una salida concisa que detalla el estado de los puertos más comunes, y esto le permite ver rápidamente si tiene algún puerto abierto innecesariamente.
Salida a un archivo
Si quiere sacar los resultados de sus escaneos de Nmap a un archivo, puede añadir una extensión a sus comandos para hacerlo. Simplemente añada:
-oN output.txt
A su comando para dar salida a los resultados en un archivo de texto, o:
-oX output.xml
Para dar salida a un XML.
Desactivar la resolución de nombres DNS
Por último, puede acelerar sus escaneos Nmap utilizando el parámetro -n para desactivar la resolución DNS inversa. Esto puede ser extremadamente útil si quiere escanear una red grande. Por ejemplo, para desactivar la resolución de DNS para el escaneo básico de ping mencionado anteriormente, añada -n:
# nmap -sp -n 192.100.1.1/24
Preguntas frecuentes de Nmap
Los comandos anteriores cubren la mayor parte de la funcionalidad básica de Nmap. Sin embargo, es posible que todavía tenga algunas preguntas, así que vamos a repasar las más comunes.
P: ¿Cuáles son algunas alternativas a Nmap?
Hay algunas alternativas a Nmap, pero la mayoría de ellas se centran en proporcionar una funcionalidad específica y de nicho que el administrador de sistemas medio necesita con frecuencia. MASSCAN, por ejemplo, es mucho más rápido que Nmap pero proporciona menos detalles. Umit, por el contrario, le permite ejecutar varios escaneos a la vez.
En realidad, sin embargo, Nmap proporciona toda la funcionalidad y velocidad que el usuario medio necesita, especialmente cuando se utiliza junto con otras herramientas igualmente populares como NetCat (que puede utilizarse para gestionar y controlar el tráfico de red) y ZenMap (que proporciona una interfaz gráfica de usuario para Nmap)
¿Cómo funciona Nmap?
Nmap se basa en herramientas de auditoría de red anteriores para proporcionar escaneos rápidos y detallados del tráfico de red. Funciona utilizando paquetes IP para identificar los hosts e IPs activos en una red y luego analiza estos paquetes para proporcionar información sobre cada host e IP, así como los sistemas operativos que están ejecutando.
P: ¿Es legal Nmap?
Sí. Si se utiliza correctamente, Nmap ayuda a proteger su red de los piratas informáticos, ya que le permite detectar rápidamente cualquier vulnerabilidad de seguridad en sus sistemas.
Si el escaneo de puertos en servidores externos es legal es otra cuestión. La legislación en este ámbito es compleja y varía según el territorio. El uso de Nmap para escanear puertos externos puede hacer que su ISP le prohíba el acceso, así que asegúrese de investigar las implicaciones legales del uso del programa antes de empezar a utilizarlo más ampliamente.
La conclusión
Tomarse el tiempo para aprender Nmap puede aumentar drásticamente la seguridad de sus redes porque el programa ofrece una forma rápida y eficiente de auditar sus sistemas. Incluso las funciones básicas que ofrece el programa -como la capacidad de realizar un escaneo de puertos- revelan rápidamente cualquier dispositivo sospechoso que esté activo en su red.
Usar Nmap para realizar auditorías de red frecuentes puede ayudarle a evitar convertirse en presa fácil para los hackers, al tiempo que mejora su conocimiento de su propia red. Además, Nmap proporciona una funcionalidad que complementa las plataformas de seguridad de datos más completas, como la que ofrece Varonis, y cuando se utiliza junto a estas herramientas puede mejorar drásticamente su ciberseguridad.