Audita puertos y servicios en 5 minutos: guía práctica

Si te preocupa la superficie de ataque de tu red, auditar puertos y servicios es el primer control de seguridad que deberías hacer. Con unas cuantas órdenes bien elegidas puedes saber en minutos qué expones, qué riesgos asumes y por dónde podrían entrar problemas. No hace falta ser un gurú: con una guía clara y herramientas gratuitas, este chequeo es pan comido.

Ahora bien, conviene tener dos ideas muy presentes: solo escanea sistemas que gestionas o para los que tienes permiso, y recuerda que detectar no es lo mismo que explotar. Aquí vas a aprender a ver lo que está abierto, reconocer servicios y apuntalar la seguridad, no a vulnerar equipos ajenos. Con eso claro, vamos al lío con esta guía para saber cómo auditar tus puertos y servicios expuestos.

Qué significa escanear puertos (y por qué hacerlo)

Un puerto es un punto lógico de entrada/salida sobre una dirección IP. Existen 65.535 puertos TCP/UDP por cada dirección y cada uno puede estar abierto, cerrado o filtrado por un cortafuegos. Un atacante que hace un barrido sistemático identifica en segundos qué servicios estás publicando y con qué versión.

Ese mapeo puede revelar más de lo que imaginas: metadatos de servicios, versiones con fallos conocidos o pistas del sistema operativo. Si alguien entra por un servicio olvidado o mal configurado, puede escalar y comprometer contraseñas, ficheros y dispositivos.

Para minimizar exposición, la regla de oro es sencilla: no abras más puertos de los necesarios y revisa periódicamente los que sí necesitas. Un puñado de hábitos (escaneos, cortafuegos, actualizaciones) reduce mucho el riesgo.

En esta faena ayudan herramientas como Nmap/Zenmap, TCPing o soluciones de análisis de red más potentes. Nmap es el estándar de facto por su precisión, variedad de técnicas y motor de scripting, y Zenmap aporta interfaz gráfica para quien prefiera evitar la consola.

Cómo funciona Nmap (lo esencial que necesitas saber)

Nmap descubre equipos y servicios en redes locales e Internet, y puede identificar puertos, versiones de servicios e incluso estimar el sistema operativo. Es multiplataforma (Linux, Windows, macOS) y admite IPv4 e IPv6, siendo eficaz tanto con pocos objetivos como con rangos enormes.

Los puertos aparecen con estados que conviene entender: open (hay servicio escuchando), closed (accesible pero sin servicio), y filtered (un firewall impide saberlo). Según la técnica, pueden aparecer combinados como open|filtered o closed|filtered.

En cuanto a técnicas, soporta escaneos TCP SYN (rápidos y discretos), TCP connect (conexión completa), UDP, y modalidades menos comunes como FIN, NULL, Xmas, ACK o SCTP. También realiza descubrimiento de hosts mediante pings TCP/UDP/ICMP y traza rutas de red.

Además de inventariado, Nmap incorpora NSE (Nmap Scripting Engine) para automatizar pruebas: desde enumeración básica a comprobaciones de configuración y, con mucha cautela, verificación de vulnerabilidades. Úsalo siempre de forma ética.

Instalación y puesta en marcha en minutos

En Linux, Nmap está en los repositorios principales, así que basta con un sudo apt install nmap (Debian/Ubuntu) o el comando equivalente de tu distro. Entra en el gestor de paquetes y listo, no tiene pérdida.

En Windows y macOS, descárgalo desde su web oficial y completa el asistente. La instalación es directa y, si lo prefieres, puedes añadir Zenmap para una experiencia gráfica con perfiles predefinidos de escaneo.

Escaneos rápidos y efectivos: comandos que sí necesitas

Para un vistazo exprés a un host: nmap . Este perfil revisa los puertos más comunes y te devuelve lo abierto. Ideal como primera foto antes de profundizar.

Si quieres acotar puertos: nmap -p 20-200 192.168.1.2. Puedes listar específicos (-p 22,80,443) o incluso todos (-p 1-65535), sabiendo que tardará más.

Para conocer servicios y versiones añade -sV, y para detectar el sistema operativo, -O (mejor con privilegios): nmap -sV -O 192.168.1.2. Si quieres ir “en plan completo”, el perfil -A combina -sV, -O, scripts por defecto y --traceroute.

¿Hay firewall? Prueba modalidades que ayudan a clasificar filtrado, como -sA (ACK) o técnicas de descubrimiento con -PS/-PA/-PU/-PE. Para redes muy grandes, ajusta la velocidad con -T0..-T5 y limita puertos con --top-ports.

Descubrimiento de hosts y selección de objetivos

Para averiguar qué está vivo en una subred puedes tirar de ping-scan: nmap -sn 192.168.1.0/24. Obtendrás la lista de equipos activos y podrás centrar el tiro en los que te interesen.

Si manejas grandes listados, utiliza -iL para leer objetivos desde un fichero y --exclude o --excludefile para evitar lo que no toque. Randomizar hosts con --randomize-hosts puede ser útil en ciertos diagnósticos.

Interpretar resultados como un pro

Que un puerto esté open indica servicio escuchando y superficie potencial. Closed revela que el host responde, pero no hay servicio; útil para detección de SO y para decidir si filtras con firewall. Filtered denota que un control intermedio bloquea o no contesta, por lo que Nmap no puede asegurar el estado.

Recuerda que la detección de SO no es infalible; depende de latencias, fingerprints y dispositivos intermedios. Úsala como orientación, no como verdad absoluta.

NSE: scripts útiles y uso responsable

NSE agrupa scripts por categorías: default (básicos), auth (autenticación), discovery (reconocimiento), safe (no intrusivos), intrusive (potencialmente ruidosos), vuln (comprobaciones de vulnerabilidad), malware/backdoor (indicios de compromiso) y otros. Puedes invocarlos con --script y pasarles argumentos con --script-args.

Es tentador lanzarlo todo, pero evita ruido innecesario: los scripts por defecto y los de la categoría safe ofrecen mucha visibilidad con bajo impacto. Los orientados a vulnerabilidad son valiosos, pero verifica hallazgos y actúa con prudencia para evitar falsos positivos.

Existen scripts que intentan credenciales por fuerza bruta o prueban condiciones agresivas. No ejecutes acciones intrusivas sin autorización explícita; limita sus usos a entornos de laboratorio o ejercicios controlados con permiso.

Tipos de escaneo destacados

-sS (SYN): rápido y “half-open”, no completa el handshake, muy útil para recuento de puertos. Equilibrio ideal entre velocidad y detalle.

-sT (TCP connect): usa la pila del sistema para completar conexiones; es más visible, pero no requiere privilegios elevados.

-sU (UDP): esencial para servicios como DNS, SNMP o DHCP. Es más lento por la naturaleza de UDP, así que define puertos o usa --top-ports para acelerar.

Otros menos comunes (FIN/NULL/Xmas/ACK, SCTP, IP protocol) ayudan a clasificar filtrado y a entender cómo inspecciona el firewall. Úsalos como apoyo cuando la modalidad principal no aclare estados.

Rendimiento, detalle y salida de resultados

Los perfiles de tiempo -T0..-T5 ajustan cadencia (paranoico, sigiloso, normal, agresivo, locura). Empieza por T3 y ajusta según latencia y tamaño del objetivo.

Niveles de verbosidad -v y depuración -d te ayudan a ver qué ocurre durante el escaneo. Para trazas finas, --packet-trace muestra los paquetes que salen y vuelven.

Para guardar resultados: -oN (legible), -oX (XML), -oG (grepable) o -oA (todos a la vez). Exporta siempre si vas a comparar escaneos con el tiempo.

¿Qué hay de la evasión de cortafuegos/IDS?

Nmap ofrece opciones como -f (fragmentación), señuelos (-D), falsificación de IP origen (-S), --g (puerto origen) o --spoof-mac. Son técnicas avanzadas con impacto legal y operativo. En auditorías defensivas internas rara vez son necesarias; céntrate en visibilidad y remediación.

Zenmap: Nmap con interfaz gráfica

Zenmap facilita perfiles como “Escaneo rápido”, “Intenso”, “TCP/UDP” y aporta pestañas para Salida Nmap, Puertos/Servicios, Topología, Detalles y Escaneos guardados. Es perfecto para documentar hallazgos y para quienes quieren ver la topología a golpe de clic.

Otras herramientas que suman

En sistemas locales, ss y netstat muestran sockets y puertos en escucha. Por ejemplo, ss -tulnp lista TCP/UDP en escucha con PID, y puedes filtrar por puerto o protocolo. lsof -i es también útil para ligar conexiones a procesos.

Para comprobar conectividad a un puerto remoto, telnet host puerto o clientes alternativos pueden servir (con cuidado, ya que Telnet no cifra). Wireshark ayuda a ver tráfico y entender por qué algo no responde o cómo filtra el firewall.

Entre alternativas, Masscan destaca por velocidad (escaneos masivos en poco tiempo), Fing/Fingbox para inventariado rápido y control doméstico, Angry IP Scanner por su simplicidad, y WinMTR para diagnosticar rutas y latencia. Scapy es potente para manipular paquetes y experimentar.

Si prefieres algo sencillito, TCPing permite verificar disponibilidad TCP como si fuese un ping a puertos. Para checks puntuales es muy cómodo, aunque no sustituye un escaneo completo.

Auditoría en redes WiFi

Aunque solemos pensar en cable, Nmap resulta igual de útil en inalámbrico. Identifica dispositivos conectados al router, comprueba puertos de móviles, IoT y APs, y ayuda a detectar configuraciones débiles (p. ej., servicios innecesarios expuestos).

Ten presente el rango dinámico del DHCP y el tipo de cifrado de la red. Combinado con capturas de Wireshark o suites como Aircrack-ng en laboratorios controlados, tendrás una visión completa del entorno.

Buenas prácticas de endurecimiento (hardening)

1) Mínimos imprescindibles: no abras nada que no vayas a usar. Si un servicio ya no es necesario, apágalo y cierra su puerto.

2) Cortafuegos: filtra incoming/outgoing según rol del equipo. En routers, define reglas claras y evita redirecciones innecesarias. Verifica desde Internet que lo que debe estar cerrado, lo esté de verdad.

3) Actualizaciones: aplica parches de sistema, firmware de router y servicios publicados. Gran parte de los compromisos explotan versiones antiguas con CVEs conocidos.

4) Monitorización: programa escaneos periódicos y guarda resultados en -oA para comparar. Si aparece un puerto que antes no estaba, investiga el cambio.

5) Políticas y formación: en empresas, define quién escanea, cuándo y con qué perfiles. Forma al personal en uso responsable de NSE y gestión de hallazgos, y documenta procedimientos de remediación.

Ventajas y límites de Nmap

Lo mejor: gratuito, flexible y muy capaz. Descubre puertos, versiones, SO, integra scripts y exporta bien. Es una herramienta de referencia para admins, auditores y equipos de respuesta.

Los peros: puede ser bloqueado por cortafuegos, generar ruido en logs si te pasas de agresivo y la detección de SO/servicio no es perfecta siempre. Además, hay dispositivos (p. ej., equipos industriales o médicos) que no toleran bien escaneos intrusivos.

Check rápido de 5 minutos (seguro y eficaz)

1) Descubre hosts activos con nmap -sn 192.168.1.0/24. Elige los que te interesen para el paso siguiente.

2) Puertos comunes con nmap -sS o --top-ports 1000 para centrar en lo típico. Ya tienes el mapa básico.

3) Añade -sV para saber versiones en abiertos y -O si necesitas perfil del sistema operativo. Exporta con -oA para guardar evidencia.

4) Si ves algo raro (p. ej., un 23/tcp telnet abierto), revisa el servicio y cierra/filtra si no es imprescindible. Aplica parches y políticas si la versión es antigua.

Comandos y opciones que conviene tener a mano

Descubrimiento: -PS (SYN ping), -PA (ACK), -PU (UDP), -PE (ICMP Echo), --traceroute (ruta). Útiles para clasificar alcance y detectar bloqueos intermedios.

Técnicas de puertos: -sS, -sT, -sU, -sA, -sN/-sF/-sX, -sO. Selecciona según objetivo y entorno.

Selección de puertos: -p (rango/lista), --top-ports n, -F (rápido sobre los 100 más comunes), -r (secuencial). Acota para ganar tiempo.

Servicio/SO: -sV, --version-all, --version-trace, -O, --max-os-tries, --fuzzy. Útiles para perfilar bien.

Salida: -oN, -oX, -oG, -oA, --resume. No te olvides de guardar y de poder reanudar si se corta.

Comprobar puertos desde el sistema (Windows/Linux)

En Windows, con PowerShell o CMD, netstat -ano lista conexiones y puertos en escucha con PID. Filtra por proceso y localiza quién abre qué.

En Linux/macOS, ss -tulnp agrupa lo mismo de forma moderna, y lsof -i permite cruzar procesos y sockets. Son imprescindibles para correlacionar hallazgos del escaneo con servicios reales.

Firewalls: bloquear lo que no necesitas

En equipos, define reglas de entrada/salida por servicio y perfil (p. ej., “limitar el acceso SSH a IPs de confianza”). En el router, controla redirecciones (port forwarding) y evita exponer paneles o servicios por defecto. Verifica desde Internet con Nmap que lo que crees cerrado, lo esté de verdad.

La clave de una buena auditoría de puertos es combinar visibilidad, criterio y constancia: ver qué está abierto, entender qué servicio hay detrás, decidir si debe estarlo y mantenerlo actualizado. Con Nmap/Zenmap, utilidades del sistema y buenas prácticas de firewall, puedes reducir tu exposición en pocos minutos y mantenerla a raya con escaneos regulares. Escanea con cabeza, documenta tus cambios y no dejes que un puerto olvidado sea la puerta de entrada de tu próximo quebradero de cabeza.