Nmap aplicado al reconocimiento de redes durante un pentesting

Nmap es una herramienta de reconocimiento utilizada para descubrir hosts, analizar puertos, identificar servicios y obtener información técnica sobre la superficie expuesta de una red. Durante un pentesting o una auditoría autorizada, Network Mapper permite construir una primera visión de la infraestructura antes de avanzar hacia comprobaciones más específicas.

A partir de sus resultados, el profesional interpreta qué sistemas responden, qué puertos presentan exposición, qué servicios están accesibles y qué información adicional ofrecen las respuestas obtenidas. Esa lectura inicial condiciona las siguientes fases del análisis y ayuda a decidir qué técnicas o herramientas tienen sentido en cada activo.

Cómo funciona Nmap durante el reconocimiento de una red

Nmap funciona enviando diferentes tipos de sondas hacia los sistemas definidos como objetivo y analizando las respuestas que recibe para identificar su estado y nivel de exposición. Según las opciones utilizadas, el análisis permite descubrir hosts activos, comprobar puertos TCP o UDP, reconocer servicios, estimar versiones de software y obtener información adicional sobre determinados sistemas.

El proceso no consiste en ejecutar un único escaneo sobre toda la infraestructura. Un reconocimiento técnico con Nmap parte de una pregunta concreta y selecciona después el tipo de sondeo adecuado para obtener esa información. Por ejemplo, un analista puede comenzar identificando qué hosts responden dentro de un segmento de red y continuar únicamente sobre los activos relevantes con un análisis de puertos o servicios.

La respuesta de cada objetivo también condiciona la interpretación. Un puerto aparece como open, closed o filtered, mientras que determinadas técnicas ofrecen información adicional sobre el servicio que escucha detrás de ese puerto. Nmap organiza esas respuestas para que el profesional construya progresivamente un mapa técnico de la superficie expuesta, evitando interpretar un puerto abierto, una versión detectada o un host accesible como una vulnerabilidad por sí mismos.

A partir de esta base, el siguiente paso consiste en analizar qué información concreta obtiene Nmap durante el reconocimiento de una red.

Dominar herramientas como Nmap marca la diferencia entre una defensa reactiva y una estrategia de ciberseguridad proactiva y eficaz

Qué información obtiene Nmap durante el reconocimiento de una red

Nmap obtiene información sobre los activos accesibles desde el punto donde se ejecuta el escaneo y permite construir una primera representación técnica de la superficie expuesta. El resultado depende del tipo de sondeo, los puertos analizados, las respuestas del objetivo y los mecanismos de filtrado existentes entre el sistema de origen y el destino.

Durante un reconocimiento, Nmap aporta principalmente información sobre:

• Hosts activos: Permite identificar qué direcciones IP responden dentro de un segmento antes de iniciar análisis más específicos. Esta fase ayuda a reducir el alcance técnico hacia los sistemas realmente accesibles.
• Puertos TCP y UDP: Nmap comprueba qué puertos presentan estados como open, closed o filtered. Un puerto abierto indica que existe una aplicación aceptando conexiones o paquetes, pero no demuestra por sí solo la existencia de una vulnerabilidad.
• Servicios accesibles: El análisis permite asociar determinados puertos con servicios como SSH, HTTP, DNS o SMTP. Esta información ayuda al profesional a comprender qué funciones expone cada activo.
• Versiones de software: Mediante técnicas de detección de versiones, Nmap envía sondas adicionales e interpreta las respuestas para intentar identificar la aplicación y su versión. El resultado debe tratarse como información técnica que requiere validación, no como una certeza absoluta en todos los escenarios.
• Sistema operativo: Determinados escaneos analizan características de la pila TCP/IP para estimar la familia o versión del sistema operativo utilizado por el objetivo.
• Información obtenida mediante NSE: El Nmap Scripting Engine amplía el reconocimiento mediante scripts orientados a enumeración, descubrimiento, autenticación, configuración o comprobaciones específicas de seguridad.

La utilidad real aparece al relacionar estos datos entre sí. Un host activo, varios puertos expuestos y una versión identificada forman un contexto técnico mucho más útil que cualquiera de esos elementos analizado de manera aislada.

Qué tipos de escaneo utiliza Nmap

Nmap no aplica una única técnica de escaneo, sino que permite seleccionar distintos tipos de sondeo según la información que necesita obtener el profesional. La elección depende del protocolo analizado, los privilegios disponibles, el objetivo del reconocimiento y la profundidad requerida. La documentación oficial de Nmap recomienda precisamente seleccionar la técnica adecuada para cada tarea en lugar de utilizar siempre el mismo tipo de escaneo.

En un reconocimiento técnico, estas son algunas de las opciones más relevantes:

El TCP SYN scan (-sS) constituye una de las técnicas más utilizadas. Nmap envía un paquete SYN y analiza la respuesta sin completar normalmente el three-way handshake de TCP. Un SYN/ACK indica que existe un servicio escuchando, mientras que un RST suele asociarse con un puerto cerrado. Si las respuestas quedan bloqueadas o no permiten establecer el estado, Nmap clasifica el puerto como filtered.

En cambio, -sT completa la conexión mediante la función connect() del sistema operativo. Nmap recurre a esta técnica cuando no dispone de los privilegios necesarios para trabajar con paquetes en crudo. El escaneo UDP (-sU) aborda otra superficie distinta, ya que servicios como DNS, SNMP o determinadas aplicaciones de infraestructura utilizan UDP y quedarían fuera de un análisis centrado exclusivamente en TCP.

Opciones como -sV y -O no sustituyen al tipo de escaneo de puertos, sino que amplían la información obtenida. -sV intenta identificar el servicio y su versión, mientras que -O añade técnicas de fingerprinting orientadas a estimar el sistema operativo. Por tanto, un profesional combina opciones según la pregunta técnica que necesita responder, en lugar de ejecutar el máximo número de pruebas sobre cada objetivo.

Cómo interpretar los resultados de un escaneo con Nmap

Interpretar un escaneo con Nmap exige analizar cómo responde cada puerto desde el punto donde se ejecuta la prueba, no limitarse a leer si aparece como abierto o cerrado. Los estados que muestra Nmap describen la respuesta observada durante ese análisis concreto y no una propiedad permanente del puerto. Un mismo servicio aparece de manera diferente si cambia el origen del escaneo, el filtrado intermedio o la configuración del sistema.

Por eso, cada estado debe leerse como una evidencia distinta dentro del reconocimiento, ya que condiciona tanto la interpretación del resultado como la siguiente comprobación técnica que realiza el analista.

• open: Existe una aplicación aceptando conexiones TCP o paquetes UDP en ese puerto. Para el analista, esto indica exposición de un servicio, pero no demuestra por sí solo la existencia de una vulnerabilidad. El siguiente paso consiste en identificar qué servicio responde, qué versión utiliza y si esa exposición tiene sentido dentro del alcance analizado.
• closed: El puerto responde a las sondas, pero no existe una aplicación escuchando en ese momento. Este estado confirma que el host es accesible desde el punto de análisis, aunque ese puerto concreto no exponga un servicio.
• filtered: Nmap no logra determinar si el puerto está abierto porque un firewall, una regla de filtrado u otro obstáculo impide obtener una respuesta concluyente. El error habitual consiste en interpretar filtered como sinónimo de cerrado. El analista solo sabe que el filtrado impide conocer con precisión el estado real del puerto.
• open|filtered: Nmap no consigue diferenciar entre un puerto abierto y uno filtrado. Este estado aparece en determinados tipos de escaneo cuando la ausencia de respuesta admite ambas interpretaciones. Es frecuente, por ejemplo, en ciertos análisis UDP, FIN, NULL o Xmas.

Por tanto, la salida de Nmap debe interpretarse como evidencia obtenida durante un reconocimiento, no como una conclusión definitiva sobre la seguridad del activo. El estado del puerto orienta el siguiente paso del análisis, pero necesita relacionarse con el servicio identificado, la versión detectada, el contexto de red y las medidas de filtrado existentes.

Caso práctico de reconocimiento de una red con Nmap

Un reconocimiento con Nmap sigue una secuencia técnica en la que cada resultado determina la siguiente comprobación. Para mostrar ese proceso, utilizaremos una red de laboratorio autorizada con el segmento 192.168.56.0/24. El objetivo no consiste en lanzar múltiples comandos sin criterio, sino en obtener información progresivamente y utilizarla para decidir cómo continuar el análisis.

Descubrimiento de hosts activos

El primer paso consiste en identificar qué hosts responden dentro del segmento de red. En lugar de comenzar directamente con un escaneo de puertos sobre todas las direcciones, el analista realiza

nmap -sn 192.168.56.0/24

Una salida simplificada del escaneo podría mostrar:

Nmap scan report for 192.168.56.10
Host is up.

Nmap scan report for 192.168.56.20
Host is up.

Nmap done: 256 IP addresses
2 hosts up

Con -sn, Nmap realiza el descubrimiento de hosts sin continuar posteriormente con un escaneo convencional de puertos. En este ejemplo, el análisis identifica dos sistemas accesibles dentro del segmento, por lo que las siguientes comprobaciones se centran en esos activos en lugar de tratar las 256 direcciones como objetivos equivalentes.

Escaneo de puertos TCP

Una vez identificado un host activo, el siguiente paso consiste en comprobar qué puertos TCP presentan exposición. Para continuar con el ejemplo, el pentester selecciona 192.168.56.20 y ejecuta un SYN scan.

nmap -sS 192.168.56.20

Una salida simplificada podría mostrar:

PORT     STATE   SERVICE
22/tcp   open    ssh
80/tcp   open    http
443/tcp  open    https
3306/tcp closed  mysql

El resultado permite diferenciar puertos abiertos y cerrados. Los puertos 22, 80 y 443 muestran servicios accesibles desde el punto donde se ejecuta el reconocimiento, mientras que el puerto 3306 responde, pero no tiene una aplicación escuchando en ese momento.

Un puerto abierto no equivale a una vulnerabilidad. El resultado únicamente confirma que existe una superficie accesible que necesita una evaluación posterior.

Identificación de servicios y versiones

Después de localizar los puertos relevantes, el pentester necesita conocer qué servicios responden y qué información ofrece Nmap sobre sus versiones. Para evitar ampliar el análisis innecesariamente, limita la comprobación a los puertos detectados.

nmap -sV -p 22,80,443 192.168.56.20

Una salida de ejemplo podría ser:

PORT    STATE SERVICE VERSION
22/tcp  open  ssh     OpenSSH 9.x
80/tcp  open  http    Apache httpd 2.4.x
443/tcp open  https   Apache httpd

La opción -sV activa la detección de servicios y versiones. Nmap envía sondas adicionales y analiza las respuestas para intentar determinar qué aplicación está atendiendo cada puerto, aportando una base más precisa para orientar las siguientes comprobaciones.

El pentester no debe interpretar automáticamente una versión identificada como una vulnerabilidad confirmada. Primero necesita validar la información, conocer la configuración del servicio y relacionarla con el contexto técnico del activo.

Interpretación de un puerto filtrado

El reconocimiento también muestra respuestas que no permiten determinar con precisión el estado del puerto. Por ejemplo:

PORT    STATE    SERVICE
22/tcp  open     ssh
80/tcp  open     http
443/tcp filtered https

El estado filtered no indica que el puerto 443 esté cerrado. Nmap no consigue determinar si el puerto está abierto o cerrado porque algún mecanismo de filtrado impide obtener una respuesta concluyente desde el origen del escaneo.

Para el pentester, este resultado también aporta información técnica. El comportamiento indica que existe algún tipo de control sobre el tráfico dirigido a ese puerto, por lo que necesita considerar el filtrado antes de sacar conclusiones sobre la exposición real del servicio.

Decisión técnica después del reconocimiento

Tras completar estas fases, el pentester ya ha transformado un segmento inicialmente desconocido en una serie de evidencias técnicas relacionadas entre sí.

El proceso se resume así:

Descubrimiento de hosts
        ↓
Identificación de activos
        ↓
Escaneo de puertos
        ↓
Enumeración de servicios
        ↓
Detección de versiones
        ↓
Interpretación del filtrado
        ↓
Siguiente análisis técnico

La siguiente acción depende de la superficie identificada durante el reconocimiento. Un servicio HTTP o HTTPS orienta el trabajo hacia el análisis de la aplicación web, mientras que SSH, DNS, SMB u otros servicios requieren comprobaciones diferentes. Del mismo modo, la versión detectada ayuda a priorizar hipótesis, pero necesita validación antes de relacionarla con una vulnerabilidad concreta.

Por tanto, Nmap no cierra el análisis dentro de un pentesting, sino que aporta la información necesaria para seleccionar las siguientes técnicas y herramientas según la superficie expuesta por cada activo.

Cómo encaja Nmap dentro de un pentesting

Dentro de un pentesting, Nmap aporta el contexto técnico necesario para decidir qué comprobaciones tienen sentido después del reconocimiento inicial. Su función no consiste en sustituir otras herramientas, sino en orientar el análisis hacia la superficie que realmente necesita una evaluación más profunda.

A partir de los resultados obtenidos, el pentester selecciona herramientas diferentes según el tipo de activo, el servicio expuesto y la hipótesis que necesita validar:

• Nessus amplía la evaluación de vulnerabilidades y configuraciones inseguras. Cuando el reconocimiento revela servicios concretos o versiones que necesitan una revisión más profunda, Nessus aporta un análisis especializado sobre exposición, fallos conocidos y problemas de configuración.
• Burp Suite profundiza en aplicaciones web. Si Nmap identifica servicios HTTP o HTTPS, Burp Suite permite analizar peticiones, respuestas, autenticación, sesiones y otros componentes de la superficie web que Nmap no evalúa con ese nivel de detalle.
• Metasploit valida determinados riesgos dentro de un entorno autorizado. Su uso entra en fases posteriores cuando existe una hipótesis técnica concreta que necesita comprobación y el alcance del pentesting permite realizarla.

No existe una secuencia fija entre Nmap, Nessus, Burp Suite o Metasploit. La herramienta que entra después depende del activo analizado, del servicio expuesto, del objetivo de la auditoría y de las evidencias obtenidas durante el reconocimiento.

Por tanto, Nmap funciona como una fuente de contexto que ayuda al pentester a seleccionar la siguiente técnica con criterio, concentrando el análisis sobre la superficie realmente relevante.

Sabías que con el Máster en Seguridad Ofensiva no solo aprenderás a manejar Nmap con precisión, sino que lo aplicarás en escenarios reales, integrándolo en auditorías, análisis de riesgos y simulaciones de ataque

Qué errores afectan al reconocimiento con Nmap

Un reconocimiento con Nmap pierde valor cuando el analista interpreta los resultados fuera de contexto o ejecuta pruebas sin una hipótesis técnica clara. El problema no suele estar en la herramienta, sino en cómo se seleccionan las opciones, cómo se leen las respuestas y qué conclusiones se extraen después del escaneo.

Los errores más relevantes aparecen en estas situaciones:

• Interpretar un puerto abierto como una vulnerabilidad: Un estado open indica que existe un servicio accesible desde el punto de análisis, pero no demuestra que sea vulnerable. El pentester necesita identificar la aplicación, revisar su configuración y validar cualquier posible debilidad.
• Confundir un servicio detectado con una identificación definitiva: Nmap estima servicios y versiones a partir de respuestas y sondas específicas. Esa información orienta el análisis, aunque requiere validación cuando una decisión depende de conocer con precisión el software ejecutado.
• Ignorar el tráfico UDP: Centrarse únicamente en TCP deja fuera servicios relevantes como DNS, SNMP o NTP y oculta una parte de la superficie expuesta.
• Ejecutar scripts NSE sin conocer su función: Cada script realiza comprobaciones diferentes. El profesional necesita conocer qué prueba ejecuta, qué tráfico genera y qué efecto tendrá antes de incorporarlo al análisis.
• Trabajar fuera del alcance autorizado: Un pentesting define previamente sistemas, redes, técnicas y límites operativos. Nmap debe utilizarse únicamente sobre los activos incluidos en ese alcance.

La calidad del reconocimiento depende tanto del escaneo como de la interpretación posterior. El pentester utiliza los resultados de Nmap como evidencias técnicas que necesita relacionar con el contexto del activo antes de decidir qué comprobaciones realizar después.

Cómo aprender Nmap

Aprender Nmap dentro de seguridad ofensiva exige algo más que memorizar comandos. El profesional necesita comprender cómo funciona una red, qué información aporta cada tipo de escaneo y cómo transformar una salida técnica en una hipótesis de trabajo. Sin esa base, ejecutar -sS, -sV o -O aporta datos, pero no necesariamente conocimiento útil para una auditoría.

El aprendizaje debe comenzar por los fundamentos de TCP/IP, direccionamiento, puertos, protocolos y funcionamiento de servicios. A partir de ahí, Nmap sirve para practicar reconocimiento, enumeración y análisis de superficie expuesta dentro de laboratorios controlados. El objetivo consiste en entender por qué se selecciona una técnica concreta, qué respuesta genera el sistema y qué limitaciones tiene cada resultado.

También conviene trabajar con escenarios donde las respuestas no sean siempre evidentes. Un puerto filtrado, un servicio identificado de forma incompleta o una versión que necesita validación obligan al alumno a interpretar la evidencia antes de avanzar. Ese razonamiento diferencia el uso profesional de Nmap de la simple ejecución de comandos obtenidos de una lista.

El siguiente nivel consiste en integrar Nmap dentro de una metodología completa de pentesting. El reconocimiento inicial debe conectarse con enumeración específica, análisis de vulnerabilidades, revisión de aplicaciones web y validación técnica de riesgos cuando el alcance autorizado lo permita.

Esta forma de trabajar exige dominar redes, Linux, reconocimiento, enumeración y herramientas ofensivas dentro de un entorno práctico. Precisamente ese enfoque metodológico forma parte del Máster en Seguridad Ofensiva, donde Nmap se integra con otras técnicas de pentesting para aprender a analizar una infraestructura desde la fase inicial de reconocimiento hasta la validación técnica de los riesgos identificados.