Nmap (Network Mapper) es la herramienta más usada para descubrir qué dispositivos hay en una red y qué servicios tienen abiertos. Es el primer paso de cualquier auditoría de seguridad, y también una de las primeras herramientas que vas a tocar si vienes del mundo de redes en ASIR.
Por qué Nmap es el punto de partida de cualquier auditoría
Antes de intentar explotar cualquier vulnerabilidad, hay que saber qué existe en la red y qué está expuesto. Es la misma lógica que seguirías si tuvieras que revisar la seguridad de un edificio: antes de comprobar si una cerradura es débil, necesitas saber cuántas puertas tiene el edificio y cuáles están sin cerrar. Nmap hace exactamente eso con una red: te dice qué equipos responden y qué “puertas” (puertos) tienen abiertas en cada uno.
Sin esta fase de reconocimiento, cualquier intento posterior de análisis o explotación se hace a ciegas.
Instalación rápida
En una distribución basada en Debian/Ubuntu (o Kali, que ya lo trae instalado):
sudo apt update && sudo apt install nmap -yTu primer escaneo
Para escanear un único equipo de tu red local (con permiso, nunca sin autorización):
nmap 192.168.1.10Esto te devuelve los puertos abiertos más comunes. Para un escaneo más completo, con detección de versión de servicio:
nmap -sV 192.168.1.10Tipos de escaneo más habituales
Nmap tiene decenas de opciones, pero estas son las que de verdad se usan a diario cuando empiezas:
| Opción | Qué hace | Cuándo usarla |
|---|---|---|
nmap 192.168.1.10 | Escaneo básico de los 1000 puertos más comunes | Primer vistazo rápido |
nmap -sV 192.168.1.10 | Detecta la versión del servicio en cada puerto | Cuando ya sabes que hay algo abierto y quieres detalle |
nmap -p- 192.168.1.10 | Escanea los 65535 puertos, no solo los comunes | Cuando sospechas que hay algo escondido en un puerto raro |
nmap -sS 192.168.1.10 | Escaneo “sigiloso” (SYN scan), más difícil de detectar | Auditorías donde no quieres saturar logs |
nmap 192.168.1.0/24 | Escanea toda una subred de golpe | Descubrir todos los equipos activos en una red |
El escaneo con -p- (todos los puertos) tarda mucho más que el básico, porque en vez de mirar 1000 puertos mira 65535. Merece la pena tener paciencia cuando el objetivo lo requiere: muchas veces el servicio interesante está justo en un puerto que el escaneo rápido ni siquiera mira.
Los tres estados de un puerto
Que un puerto no salga como “open” no significa lo mismo en todos los casos, y esta diferencia es importante:
- Open (abierto): hay un servicio escuchando activamente en ese puerto.
- Closed (cerrado): el equipo responde, pero no hay ningún servicio en ese puerto concreto.
- Filtered (filtrado): ni siquiera se sabe si está abierto o cerrado, porque algo (normalmente un firewall) está bloqueando la respuesta. Este es el estado más frecuente cuando el objetivo tiene protecciones activas.
Cómo interpretar el resultado
Un resultado típico se ve así:
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 9.6
80/tcp open http nginx 1.24.0- PORT: el puerto y protocolo (tcp/udp)
- STATE: si está abierto, cerrado o filtrado
- SERVICE: qué servicio se ejecuta ahí
- VERSION: la versión detectada (importante para buscar vulnerabilidades conocidas después)
Un paso más allá: los scripts NSE
Cuando ya dominas el escaneo básico, Nmap tiene un motor de scripts propio llamado NSE (Nmap Scripting Engine), que permite automatizar tareas más avanzadas: detectar vulnerabilidades conocidas, comprobar configuraciones débiles, o incluso extraer información adicional de un servicio.
nmap -sV --script vuln 192.168.1.10Este comando combina la detección de versión con una categoría de scripts orientada a encontrar vulnerabilidades conocidas en los servicios detectados. No hace falta dominarlo desde el principio, pero conviene saber que existe: es el puente natural entre “escanear una red” y “empezar a buscar vulnerabilidades concretas” en los siguientes pasos de un pentest.
Un aviso legal antes de seguir
Escanear redes o equipos sin autorización explícita es ilegal en España (puede encajar en delitos de intrusión informática del Código Penal). Practica siempre en tu propio laboratorio (por ejemplo, una máquina virtual con Metasploitable) o en plataformas legales como TryHackMe o HackTheBox.
Pon a prueba lo que has entendido
Escaneas un equipo y un puerto aparece como "filtered". ¿Qué significa?
Siguiente paso
Con esto ya puedes identificar qué hay expuesto en una red controlada. El siguiente paso lógico es aprender a interpretar esos servicios para buscar vulnerabilidades conocidas, que veremos en el siguiente artículo de esta serie.