NMAP es una de las herramientas más pulidas y manejables para realizar el escaneo de red y análisis de seguridad. Sin embargo, se debe tener en cuenta que NMAP no realiza análisis pasivo en un sentido estricto. El escaneo pasivo se refiere a la observación de tráfico existente en la red sin generar tráfico adicional. NMAP, en cambio, implica el envío de paquetes y la recopilación de respuestas. A pesar de eso, hay formas de hacer que NMAP actúe de una manera ‘lo más pasiva posible’.
Para empezar, se pueden utilizar técnicas de escaneo que minimizan el tráfico de red. Por ejemplo, el escaneo SYN, o escaneo de medio abierto, es una de las técnicas más populares que se utilizan para recoger información útil. En lugar de completar la conexión como lo hace una técnica de escaneo TCP normal, el escaneo SYN interrumpe la conexión una vez que ha obtenido la información que necesita. Para hacer esto con NMAP, debe utilizar la opción “-sS”.
También, uno puede usar el escaneo de ventana TCP “-sW”. Este escaneo es un poco más sigiloso que los demás ya que no abre ni cierra una conexión y determina si el puerto está abierto o cerrado basándose en el tamaño de la ventana de la respuesta.
Además, puede utilizar técnicas de evasión de firewall para evitar la detección. Por ejemplo, podría fragmentar los paquetes en piezas más pequeñas con la opción “-f”, lo que haría más difícil para los sistemas de detección detectar el análisis.
Adicionalmente, si quiere evitar completamente enviar paquetes, puede utilizar el monitoreo de red pasivo (PRM) con una herramienta como PRADS o p0f que observan el tráfico existente y recogen información sobre qué hosts y servicios están activos.
Para finalizar, recomendamos siempre realizar análisis de red de manera responsable y ética. Antes de realizar cualquier tipo de escaneo de red o análisis con NMAP, asegúrate de tener el permiso adecuado.
Fuentes utilizadas:
1. “Nmap Network Scanning” de Gordon Lyon.
2. “TCP Window Scanning” (https://nmap.org/book/man-port-scanning-techniques.html).
3. “Passive Real-time Asset Detection System (PRADS)” (https://github.com/OISF/prads).
4. “p0f: passive os fingerprinting tool” (http://lcamtuf.coredump.cx/p0f3/).
5. “Escaneo de red inofensivo” (https://nmap.org/book/harmless-scanning.html).
