El escaneo de puertos es la técnica de enviar sondas a los puertos de red de un equipo para averiguar cuáles están abiertos y qué servicios y versiones escuchan en ellos.
Cómo funciona el escaneo de puertos
Los servicios de red escuchan en puertos TCP y UDP, como el 22 (SSH), el 443 (HTTPS) o el 3389 (RDP). Un escáner envía paquetes a un rango de puertos y los clasifica como abiertos, cerrados o filtrados (sin respuesta, normalmente por un cortafuegos). Tipos de escaneo habituales:
- Escaneo TCP connect: completa el saludo de tres vías; sencillo, pero fácil de registrar.
- Escaneo SYN («semiabierto»): envía un SYN y analiza la respuesta sin completar la conexión.
- Escaneo UDP: más lento y menos fiable, ya que los puertos UDP cerrados pueden no responder.
- Detección de versiones: captura de banners para identificar el software.
Nmap, publicado por Gordon Lyon en 1997, es la herramienta clásica; masscan y ZMap pueden escanear todo el espacio IPv4 de internet en minutos. Shodan y Censys publican resultados de escaneos continuos de internet.
Por qué es importante
Para los atacantes, el escaneo de puertos es reconocimiento: revela interfaces RDP, VPN, de bases de datos o de administración expuestas con vulnerabilidades conocidas. MITRE ATT&CK lo incluye en Active Scanning (T1595) y en Network Service Discovery (T1046) para los escaneos dentro de una red comprometida. Tras publicarse una vulnerabilidad, el escaneo masivo suele empezar en horas. Los defensores usan la misma técnica para mapear su superficie de ataque y en las pruebas de penetración.
Cómo defenderse
- Cerrar los puertos que no se usen y exponer los servicios de administración solo a través de VPN o acceso de confianza cero.
- Filtrar el tráfico entrante con cortafuegos y segmentar las redes internas.
- Detectar escaneos con un sistema de detección de intrusiones e investigar los escaneos internos, señal de movimiento lateral.
- Escanear con regularidad los rangos IP externos propios para encontrar servicios olvidados antes que los atacantes.
