Ingresa al escritorio remoto por navegador
Si ya cuentas con acceso al laboratorio, ingresa de inmediato a tu escritorio remoto desde el navegador. No necesitas instalar Kali Linux, máquinas virtuales ni herramientas adicionales.
Escaneo de servicios con Nmap
En esta clase analizarás una captura real de Nmap, identificarás puertos abiertos, interpretarás servicios expuestos y aprenderás a convertir la evidencia técnica en riesgos, recomendaciones y controles de auditoría.
1. Evidencia del laboratorio
La siguiente evidencia muestra el resultado de un escaneo realizado con Nmap contra el objetivo
192.168.1.11. A partir de esta salida se identifican servicios expuestos,
versiones visibles y posibles riesgos de configuración.
2. Contexto del escenario
Un servidor puede entenderse como un edificio digital. Cada puerto abierto funciona como una puerta. Algunas puertas son necesarias para operar un servicio, como una página web. Otras pueden representar riesgo cuando están abiertas sin control, sin autenticación o sin monitoreo.
IP objetivo
192.168.1.11 es el servidor revisado dentro del laboratorio.
Herramienta
nmap permite descubrir puertos, servicios y versiones visibles.
Meta de la clase
Entender la salida, interpretar riesgos y documentar hallazgos de forma profesional.
3. Comando utilizado en el laboratorio
El siguiente comando permite revisar el objetivo 192.168.1.11 para identificar
servicios expuestos, versiones detectadas y posibles configuraciones que requieren análisis.
nmap -p- -sS -sV -sC -A -O --version-all --osscan-guess -T4 --min-rate 5000 --reason --open 192.168.1.11
¿Qué hace cada parte?
| Parte del comando | Explicación directa |
|---|---|
nmap |
Ejecuta la herramienta de escaneo. |
-p- |
Revisa todos los puertos TCP, no solo los más comunes. |
-sS |
Realiza un escaneo SYN para identificar puertos abiertos. |
-sV |
Intenta identificar la versión del servicio encontrado. |
-sC |
Ejecuta scripts de Nmap para obtener más información. |
-A |
Activa detección avanzada de servicios, sistema operativo y scripts. |
--reason |
Muestra por qué Nmap considera que el puerto está abierto. |
--open |
Muestra solo los puertos abiertos para facilitar la lectura. |
192.168.1.11 |
Es el objetivo revisado dentro del laboratorio. |
4. Lectura paso a paso de la salida
La salida de Nmap se organiza por columnas. Cada columna ayuda a entender qué servicio fue encontrado, en qué puerto responde y qué versión o software pudo identificar la herramienta.
Nmap scan report for 192.168.1.11 Host is up, received arp-response PORT STATE SERVICE REASON VERSION 21/tcp open ftp syn-ack ttl 64 vsftpd 3.0.3 22/tcp open ssh syn-ack ttl 64 OpenSSH 9.2p1 Debian 2+deb12u4 25/tcp open smtp syn-ack ttl 64 Postfix smtpd 53/tcp open domain syn-ack ttl 64 ISC BIND 9.18.28 80/tcp open http syn-ack ttl 64 Apache httpd 2.4.62 111/tcp open rpcbind syn-ack ttl 64 RPCBind
| Columna | Qué significa | Ejemplo |
|---|---|---|
PORT |
Puerto donde escucha un servicio. | 21/tcp |
STATE |
Estado del puerto. Si dice open, el servicio responde. |
open |
SERVICE |
Nombre del servicio detectado. | ftp, ssh, http |
VERSION |
Software o versión identificada por Nmap. | Apache httpd 2.4.62 |
open, significa que hay
un servicio escuchando. El siguiente paso es revisar si ese servicio está bien configurado,
actualizado y protegido.
5. Servicios encontrados
| Puerto | Servicio | Función | Riesgo si está mal configurado |
|---|---|---|---|
| 21/tcp | FTP | Sirve para subir o descargar archivos. | Puede exponer archivos si permite acceso anónimo. |
| 22/tcp | SSH | Permite administrar un servidor de forma remota. | Puede ser atacado si acepta contraseñas débiles o acceso sin restricción. |
| 25/tcp | SMTP | Servicio relacionado con envío de correo. | Puede revelar usuarios o permitir abuso si está mal configurado. |
| 53/tcp | DNS | Resuelve nombres de dominio o registros internos. | Puede filtrar información sobre sistemas internos. |
| 80/tcp | HTTP | Servicio web accesible desde navegador. | Puede exponer aplicaciones, rutas, paneles o datos. |
| 111/tcp | RPCBind | Ayuda a localizar servicios RPC, frecuentemente relacionados con NFS. | Puede facilitar enumeración de recursos compartidos. |
clave.txt. Para un auditor o consultor, esto debe revisarse
porque puede representar exposición de información sensible.
6. Documentación del hallazgo
Un reporte técnico debe explicar qué se encontró, por qué importa y qué debe corregirse. La redacción debe ser clara para que pueda entenderla un equipo técnico, un auditor o un responsable del sistema.
Hallazgo: El host 192.168.1.11 expone varios servicios de red: FTP, SSH, SMTP, DNS, HTTP y RPCBind. Evidencia: Nmap muestra puertos abiertos en 21, 22, 25, 53, 80 y 111. El servicio FTP permite acceso anónimo y muestra un archivo llamado clave.txt. Riesgo: Un usuario no autenticado podría acceder a archivos publicados en FTP. La exposición de varios servicios aumenta la superficie de ataque. Recomendación: Deshabilitar FTP anónimo. Retirar archivos sensibles. Restringir acceso a servicios administrativos. Revisar configuración de SSH, DNS, SMTP, HTTP y RPCBind. Aplicar hardening y monitoreo.
7. Controles potencialmente incumplidos
Un escaneo técnico también puede traducirse a lenguaje de auditoría, cumplimiento y gestión de riesgos. En este caso, la exposición de varios servicios y el acceso anónimo por FTP pueden relacionarse con fallas de control en acceso, protección de información, configuración segura, monitoreo y gobierno de activos.
7.1 Reporte ejecutivo del riesgo
El host 192.168.1.11 expone servicios como FTP, SSH,
SMTP, DNS, HTTP y RPCBind/NFS. El hallazgo más relevante
es que FTP permite acceso anónimo y muestra un archivo llamado clave.txt. Esto puede indicar
una debilidad en control de acceso, protección de información sensible, hardening, monitoreo y gestión de activos.
7.2 Top 5 estándares relacionados
| Estándar / Marco | Control relacionado | Aplicación al hallazgo | Evidencia sugerida |
|---|---|---|---|
| ISO/IEC 27001:2022 | Control de acceso, gestión de activos, protección de información y gestión de riesgos | FTP anónimo y archivo potencialmente sensible disponible sin autenticación | Inventario de activos, matriz de riesgos, política de acceso y evidencia de revisión de permisos |
| NIST Cybersecurity Framework 2.0 | Identify, Protect, Detect y Govern | El activo requiere dueño, clasificación, reducción de superficie y monitoreo | CMDB, dueño del sistema, análisis de riesgo, alertas y plan de remediación |
| CIS Controls v8 | Inventario, configuración segura, protección de datos y monitoreo continuo | Servicios expuestos sin justificación clara y posible archivo accesible por FTP anónimo | Inventario de software, baseline de hardening, reporte de vulnerabilidades y logs centralizados |
| PCI DSS v4.0.1 | Seguridad de red, configuración segura, control de acceso y monitoreo | Si el entorno procesa datos de pago, FTP anónimo y servicios expuestos elevan el riesgo | Segmentación, reglas firewall, escaneos internos, logs y diagrama de red |
| MITRE ATT&CK | Reconocimiento, descubrimiento, acceso inicial y movimiento lateral | FTP, SSH, DNS, SMTP, HTTP y RPC pueden alimentar fases de reconocimiento y abuso posterior | Mapeo ATT&CK, hipótesis de ataque, telemetría requerida y reglas de detección |
7.3 Evidencia mínima que debe solicitarse
192.168.1.11 con propietario, función y criticidad.vsftpd, incluyendo acceso anónimo y permisos.clave.txt.7.4 Redacción para informe
Durante la evaluación del host 192.168.1.11 se identificó exposición de múltiples servicios de red: FTP, SSH, SMTP, DNS, HTTP y RPCBind/NFS. El hallazgo principal corresponde al servicio FTP, el cual permite acceso anónimo y muestra un archivo llamado clave.txt. Esta condición puede representar una desviación frente a controles de acceso, protección de información, configuración segura y monitoreo. Se recomienda deshabilitar el acceso anónimo, retirar archivos no autorizados, revisar logs, validar si el archivo contiene información sensible, restringir servicios por firewall y documentar la justificación de cada puerto expuesto.
7.5 Plan de remediación
1. Deshabilitar acceso anónimo al servicio FTP. 2. Retirar el archivo clave.txt del directorio publicado. 3. Revisar si clave.txt contiene credenciales o información sensible. 4. Rotar credenciales, llaves o secretos si aplica. 5. Validar si los servicios expuestos son realmente necesarios. 6. Restringir acceso mediante firewall, VPN o bastion host. 7. Aplicar hardening a FTP, SSH, Apache, BIND, Postfix y NFS. 8. Revisar logs y configurar alertas. 9. Actualizar inventario de activos. 10. Repetir el escaneo para validar el cierre.
8. Consulta adicional y referencias
Para profundizar en los conceptos vistos en esta clase, consulta las siguientes fuentes técnicas.
- Nmap Reference Guide — guía oficial de opciones y funcionamiento general de Nmap.
- Nmap Service and Version Detection — documentación oficial sobre detección de servicios y versiones.
- Nmap Scripting Engine Documentation — índice oficial de scripts NSE.
- National Vulnerability Database — base de datos pública para consulta de CVEs.
- Apache HTTP Server Documentation — documentación oficial del servidor Apache.
- OpenSSH Security — información oficial de seguridad de OpenSSH.