Aprende a usar NMap, un escáner de puertos libre

1- Instalar Nmap

El software Nmap es un escáner de puertos que incluye múltiples opciones y que es compatible con Windows, Mac y Linux. Para instalar Nmap para Windows, hay que descargar desde la siguiente dirección el archivo de configuración ejecutable para NMapWin: http://download.insecure.org/nmap/dist/nmapwin_1.3.1.exe.

A continuación, hay que instalar el ejecutable WinPcap, a no ser que ya lo tuviésemos instalado con anterioridad, algo poco probable ya que no se trata de un elemento estándar incluido con cualquier versión de Windows.

Las bibliotecas WinPcap permiten a Nmap tener un acceso de nivel inferior a nuestra tarjeta de red para poder capturar paquetes inalterados de manera estándar entre plataformas cruzadas. El paquete de instalación de NmapWin incluye el archivo de instalación de WinPcap, disponible en files/nmapwin/winpcap.

Existen diferentes versiones de WinPcap. En caso de que no conozcamos cuál es la más reciente, o no nos funcione la descargada a través de WnapWin, podemos obtener la versión compatible con nuestro sistema en el sitio de WinPcap: http://winpcap.polito.it.

Una vez instalado Winpcap, tendremos que reiniciar el sistema operativo para que todos los controlados funcionen. Después, tendremos que abrir NMapWin, que ya estará preparado para iniciar el escaneado de nuestro ordenador.

2- Escanear redes

Cuando se inicia Nmap, el cliente gráfico presenta una interfaz bastante sencilla. En la parte superior tendremos que escribir nuestra dirección IP o rango de direcciones IP y pulsar Scan para iniciar el escaneado.

Las direcciones IP se pueden introducir en sus diferentes formatos (dirección IP única, direcciones IP separadas por comas o rangos IP separados por guiones). También se puede traer dicha dirección desde un archivo seleccionando el elemento Input en File, dentro del menú principal, y seleccionando un archivo de texto con datos en el formato Nmap apropiado.

Existen muchos tipos de escaneado que se pueden ejecutar con Nmap. Uno de los que se usan con más frecuencia es SYN, ya que se trata del escaneado predeterminado y es bueno para la mayoría de objetivos.

Este escaneado funciona enviando un solo paquete TCP SYN a cada puerto posible. Si obtenemos un paquete de respuesta SYN ACK, Nmap sabrá que existe un servicio ejecutándose en ese lugar; si no obtenemos respuesta, el programa supondrá que el puerto está cerrado.

SYN no completa la comunicación TCP, labor que sí realiza el escaneado TCP Connect, que, sin embargo, es más ruidoso que el anterior y además carga más las máquinas y la red que está examinando. No obstante, un escaneado Connect es a veces más preciso que un escaneado SYN.

Por último, conviene destacar el escaneado Ping Weep, que se encarga de comprobar qué direcciones responden a ICMP Si no nos preocupa qué servicios se están ejecutando y sólo deseamos saber qué direcciones IP están activas, éste es un escaneado de puertos mucho más rápido que un escaneado total. Sin embargo, para algunos ordenadores puede no ser tan preciso como un escaneado total.

3- El programa, como un servicio

De forma predeterminada, Nmap se ejecuta como un servicio en la versión de Windows, lo que significa que está ejecutándose en el fondo todo el tiempo y que otros programas pueden llamarlo o se puede ejecutar mediante una secuencia de comandos.

En Windows, el servicio Nmap se puede administrar y configurar. Para ello, desde el menú Panel de control seleccionaremos Herramientas administrativas y, a continuación, pulsaremos Servicios. Podremos ver Nmap en una lista de servicios y pulsar sobre él para configurar sus propiedades.

Esta opción es muy útil si deseamos que Nmap ejecute escaneados sobre una base regular. De esta forma, podemos establecer que Nmap examine nuestra red una vez a la semana o una vez al mes y nos informe de los resultados, o dejar que examine sus servidores para comprobar si ha cambiado algo importante.

Si no vamos a utilizar esa opción, resulta preferible desactivar el servicio en Windows para conservar recursos y para una mayor seguridad. Para ello, debemos pulsar el Nmap en el visualizador de servicios y cambiar el tipo de inicio a manual, en lugar de dejarlo automático. También podemos interrumpir manualmente el servicio pulsando el botón Detener.

4- Salida de NMap

Nmap produce un informe que muestra cada dirección IP encontrada, los puertos descubiertos escuchando dicha IP y el nombre conocido del servicio (si lo tiene). También muestra si el puerto se ha abierto, filtrado o cerrado.

Podremos verificar cualquier puerto sospechoso abierto consultando con dicha IP sobre el número de puerto especificado y observando la respuesta obtenida. Si existe un servidor web ejecutándose ahí, obtendremos una respuesta introduciendo el comando GET/HTTP.

Esta salida nos permite examinar un informe y determinar rápidamente si hay servicios o puertos con los que debemos tener cuidado. Los troyanos y el software de conversación suelen mostrarse como servicios desconocidos, pero podemos buscar un puerto misterioso en una lista de puertos malignos conocidos para determinar si el puerto abierto es algo de lo que debemos preocuparnos.

Evidentemente, si no encontramos estos elementos malhechores en dicha lista, tendremos que plantearnos qué servicio extraño se está ejecutando en nuestro ordenador y que no usa un número de puerto conocido.