Nmap - Enumeración de subred /24

Secuencia de trabajo para barrer una subred, quedarse con lo que importa y priorizar el análisis.

Secuencia básica

# 1. Descubrimiento de hosts (sin escanear puertos)
 
nmap -sn 10.10.10.0/24
 
# 2. Escaneo de puertos con version de servicio
 
nmap -sS -sV -sC -oA scan_results 10.10.10.0/24
 
# 3. Escaneo completo (SO, versiones, scripts, traceroute)
 
nmap -A -oA scan_full 10.10.10.0/24

Flags de referencia

Flag	Propósito
-sn	Ping scan: solo descubrir hosts vivos
-sS	TCP SYN scan (requiere privilegios)
-sT	TCP connect scan (sin privilegios, más lento)
-sV	Detección de versión de servicio
-sC	Scripts NSE por defecto
-A	SO + versión + scripts + traceroute
-oA	Salida en normal, XML y grepable
-oX	Solo XML (útil para parsear)
-F	Modo rápido (top 100 puertos)
--top-ports N	Los N puertos más comunes
-T4	Timing agresivo; -T2 para redes fragiles
--open	Mostrar solo puertos abiertos
-Pn	Tratar el host como vivo (hosts que bloquean ICMP)
-iL	Leer objetivos de un fichero

Priorizar hallazgos

# Top 50 puertos, solo abiertos, con version
 
nmap --top-ports 50 --open --version-intensity 3 10.10.10.0/24
 
# Informe de vulnerabilidades conocidas sobre los puertos mas habituales
 
nmap --script vuln --top-ports 100 -oX results.xml 10.10.10.0/24
 
# Detalle de un host concreto
 
nmap -sV -sC -p- -Pn -oA host_full 10.10.10.10

Prioridad	Criterio
P1 - Crítica	Puertos expuestos con servicios de acceso (22, 80, 443, 3389); servicios sin cifrar; autenticación por defecto
P2 - Alta	Puertos no estándar con servicio identificado; bases de datos accesibles (1433, 1521, 3306, 5432, 27017, 6379)
P3 - Media	Versiones obsoletas con CVE; servicios internos mal segmentados
P4 - Baja	Puertos cerrados, filtrados o sin servicio reconocible

Criterios para priorizar

1. Exposición: servicio en internet no pesa lo mismo que uno en red interna.
2. Criticidad del activo: dominio, base de datos y backup antes que una impresora.
3. Versión: producto y versión permiten buscar CVE concretos; un banner sin versión no sirve.
4. Autenticación: servicio con credenciales por defecto o sin MFA sube de prioridad.
5. Datos: lo que almacena o transporta el servicio decide el impacto real.

Flujo recomendado

# 1. Descubrimiento
 
nmap -sn 10.10.10.0/24 -oG hosts.txt
 
# 2. Barrido rapido de los vivos
 
nmap -sS -F -iL hosts.txt -oA fase2
 
# 3. Detalle de los hosts relevantes
 
nmap -sV -sC -T4 -p- 10.10.10.10,10.10.10.20,10.10.10.30 -oA fase3
 
# 4. Comprobaciones concretas sobre los P1
 
nmap --script vuln -p 445,3389,443 10.10.10.10

Tiempos orientativos: un -sn de /24 tarda segundos; un -p- completo por host puede ir de 10 minutos a más de una hora segun filtrado. Bajar a -T2 cuando la red es inalambrica o hay IDS en medio; subir a -T4 solo en laboratorio.

Notas prácticas

• Un host que no responde a -sn puede estar vivo: probar -Pn.
• -sS necesita raw sockets (root o administrador). En Windows sin privilegios: -sT.
• -sU (UDP) es lento y ruidoso: limitar a puertos conocidos (53, 123, 161, 500).
• -O (detección de SO) solo es fiable con al menos un puerto abierto y uno cerrado.
• Los scripts vuln generan tráfico muy detectable. En producción, mejor escanear por lotes pequeños y con ventana acordada.
• Guardar siempre -oA: el XML permite reanalizar sin volver a escanear.