Com auditar la seguretat de la teva xarxa amb Nmap i Wireshark

Controlar què està passant a la teva xarxa ja no és només cosa de grans empreses o friquis de la ciberseguretat. Avui qualsevol que administri sistemes, tingui una petita infraestructura o simplement vulgui protegir millor casa seva o oficina pot i ha d' auditar la seguretat de la seva xarxa de forma periòdica per detectar errors abans que els atacants.

En aquest article veuràs, pas a pas i amb molt de detall, com combinar de forma pràctica Nmap i Wireshark per auditar la teva xarxa : des de l'escaneig de ports i serveis, fins a la captura i anàlisi de trànsit, passant per exemples reals amb Telnet, SSH, HTTP i HTTPS, diferents tipus d'escaneig Nmap i un munt de precaucions legal.

Què és Nmap i què és Wireshark (i per què es fan servir junts)?

Abans de posar-te a llançar ordres al boig, convé tenir clar què fa cada eina i per què la combinació de totes dues és tan potent per auditar la seguretat d'una xarxa.

Nmap: escàner de xarxa i ports

Nmap (Network Mapper) és una eina de codi obert que s'executa normalment en línia d'ordres i que permet descobrir hosts, ports oberts i serveis actius en una xarxa . Està disponible per a Windows, GNU/Linux, macOS i altres plataformes, i compta a més amb una interfície gràfica anomenada Zenmap.

El seu funcionament bàsic és enviar paquets especialment dissenyats a un rang d'adreces IP i analitzar les respostes. Amb això podeu esbrinar:

• Quines màquines estan enceses en un segment de xarxa (ping sweep).
• Quins ports TCP/UDP estan oberts en un host concret.
• Quins serveis i versions estan associats a aquests ports (per exemple, Apache 2.x, OpenSSH, MySQL, etc.).
• Quin sistema operatiu aproximat executa un equip, usant tècniques d'empremta de pila TCP/IP.

Aquesta informació és or pur per a un auditor perquè permet mesurar la “superfície d'atac” exposada per cada dispositiu . I per la mateixa raó, també la fan servir els atacants a la fase de reconeixement, així que més et val conèixer tu abans que ells què hi ha obert a la teva xarxa.

Wireshark: analitzador de trànsit i protocols

Wireshark és un analitzador de paquets gratuït i molt estès, pensat per capturar i disseccionar el trànsit que circula per la xarxa en temps real oa partir de fitxers desats (pcap, pcapng, tcpdump/libpcap i molts altres formats).

Permet inspeccionar centenars de protocols diferents de diferents capes (física, enllaç, xarxa, transport i aplicació): Ethernet, Wi-Fi (IEEE 802.11), PPP, Frame Relay, FDDI, IP, TCP, UDP, ICMP, HTTP, DNS, TLS, IPsec, Kerberos, SNMPv.

Entre les seves funcions més útils per auditar seguretat destaquen:

• Captura en temps real en interfícies físiques i virtuals, amb possibilitat de manera promiscu.
• Filtres de captura i de visualització molt avançats per quedar-te sol amb allò que t'interessa.
• Anàlisi detallada per capes del paquet, amb camps i valors concrets de cada protocol.
• Estadístiques i gràfiques per veure patrons de trànsit, pics, fluxos, etc.
• Capacitat de desxifrat de certs protocols si disposes de les claus (TLS/SSL, IPsec, WEP, WPA/WPA2, Kerberos, SNMPv3…).

Wireshark es pot manejar amb interfície gràfica o via consola mitjançant TShark, cosa que facilita automatitzar anàlisis o treballar per SSH en màquines remotes sense entorn gràfic.

Per què combinar-los per auditar la seguretat de xarxa

Nmap i Wireshark es complementen de meravella: amb Nmap mapes i enumeres objectius (què hi ha, on i en quin estat) i amb Wireshark observes amb lupa com s'estan comunicant aquests serveis i si la informació viatja en clar o xifrada, si hi ha intents de força bruta, patrons anòmals, etc.

Un flux típic en una auditoria amb aquestes eines sol ser:

1. Amb Nmap, detectes quins equips són vius i quins ports/serveis exposen.
2. Sobre aquests serveis, llances connexions de prova (Telnet, SSH, web, correu, FTP, etc.).
3. Mentrestant, en un altre equip o en el mateix, Wireshark captura el trànsit per analitzar què es veu realment “pel cable”.
4. En base a allò observat, identifiques serveis sense xifrar, protocols insegurs, ports innecessaris oberts i possibles vectors datac.

Instal·lació bàsica i entorn de proves recomanat

Per practicar de manera segura i sense arriscar la teva xarxa de producció, és molt recomanable muntar un petit laboratori amb màquines virtuals . VirtualBox és una opció gratuïta i suficient per això.

Un escenari clàssic de pràctiques utilitza tres màquines GNU/Linux en una xarxa privada:

• intern1 (per exemple 192.168.100.11): client que origina connexions.
• intern2 (192.168.100.22): servidor amb diversos serveis actius (web, SSH, Telnet, FTP, correu, MySQL…).
• observador (192.168.100.33): màquina des de la qual s'executen Nmap i Wireshark.

En moltes plantilles docents ja s'inclouen serveis arrencats per defecte als servidors, com Apache, Telnet, SSH, FTP, finger, MySQL, SMTP, POP3 i IMAP . Si munteu el laboratori des de zero, procureu replicar el mateix perquè l'auditoria sigui més interessant.

En sistemes tipus Debian o derivats, la instal·lació de les eines sol ser tan simple com:

• nmap: sudo apt install nmap
• Wireshark: sudo apt install wireshark (i afegir el teu usuari al grup wireshark si vols capturar sense ser root)

A Windows i macOS podràs descarregar instal·ladors des de les webs oficials de nmap.org i wireshark.org . Recorda que a Windows Wireshark instal·la Npcap per poder posar la targeta de xarxa en mode promiscu i capturar tot el trànsit.

Auditoria de serveis amb Wireshark: trànsit en clar vs trànsit xifrat

Una part clau d'auditar la seguretat de la xarxa és comprovar quins protocols envien dades en text pla i quins viatgen xifrats. Això afecta directament contrasenyes, correus, formularis web, consultes a bases de dades, etc.

Capturar una sessió Telnet insegura

Telnet és l'exemple perfecte del que avui ja no hauries de fer servir. És un protocol d'accés remot que envia usuari i contrasenya sense xifrar . Per veure'l de forma pràctica:

1. En observador, inicia Wireshark, tria la interfície correcta (per exemple enp0s3) i prem a Començar per començar la captura.
2. En intern1, obre una sessió Telnet cap a intern2:
   telnet 192.168.100.22
3. Introdueix usuari i contrasenya, executa alguna ordre senzilla (ls -l, per exemple) i tanca la sessió amb exit.
4. Torna a Wireshark i per a la captura amb el botó Stop.

Si apliques un filtre de visualització com telnet o segueixes el flux TCP amb Follow TCP stream sobre el primer paquet cap al port 23, veuràs que tot el diàleg, usuari i contrasenya inclosos, és llegible sense esforç. Això en una xarxa compartida és un regal per a qualsevol que faci sniffing.

Comparar amb una sessió SSH

SSH va néixer precisament per substituir Telnet i altres protocols insegurs. Utilitza xifrat fort d'extrem a extrem , de manera que encara que algú capturi el trànsit, no pugui veure el contingut sense la clau.

Repeteix l'experiment anterior, però ara amb SSH:

1. En observador, inicia una nova captura a Wireshark.
2. En intern1, connecta per SSH a intern2:
   ssh [email protected]
3. Introdueix la contrasenya, llista arxius, navega una mica i surt amb exit.

De tornada a Wireshark, filtra per ssh o pel port (normalment 22). Veureu els paquets, però el contingut de la sessió no és llegible: només veuràs dades binàries xifrades. Pots seguir el flux TCP si vols, però continuarà sent un bloc de bytes il·legibles llevat que disposis de les claus adequades.

Aquest exemple deixa molt clar que, des del punt de vista de seguretat, Telnet és inacceptable i s'ha de reemplaçar per SSH en qualsevol entorn seriós.

Analitzar HTTP en clar des del navegador

Una altra prova molt il·lustrativa és veure què passa amb el trànsit web sense xifrar. Si intern2 té un servidor Apache escoltant al port 80, pots fer el següent:

1. En intern2, assegura't que Apache està actiu: service apache2 restart si cal.
2. En observador, arrenca Wireshark i comença a capturar a la interfície de xarxa.
3. En intern1, obre un navegador (per exemple Midori) i accedeix a http://192.168.100.22.

En revisar la captura amb un filtre http, veuràs peticions GET/POST, capçaleres HTTP, galetes, paràmetres de formularis, etc. Si el lloc té un formulari de login sense HTTPS, les credencials viatjaran també en text pla.

Activar HTTPS (SSL/TLS) i repetir la prova

Per veure la diferència amb trànsit xifrat, pots habilitar SSL/TLS a Apache de la màquina intern2 usant un certificat autosignat per a proves:

1. Crea una carpeta per al certificat i en genera un autosignat:
   mkdir /etc/apache2/ssl/
make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/apache2/ssl/apache.pem
2. edita /etc/apache2/sites-available/default-ssl.conf perquè apunti al certificat i la clau:
   SSLEngine on
SSLCertificateFile /etc/apache2/ssl/apache.pem
SSLCertificateKeyFile /etc/apache2/ssl/apache.pem
3. Assegureu-vos que a /etc/apache2/ports.conf està inclòs Escolta 443.
4. Habilita el mòdul SSL i el lloc per defecte SSL:
   a2enmod ssl
a2ensite default-ssl
service apache2 restart

Ara, a l'observador , inicia una captura nova a Wireshark i en interno1 obre el navegador apuntant a https://interno2.ssi.net (o la IP amb https). El navegador us avisarà que el certificat està signat per una CA no fiable; accepta l'excepció per continuar.

Si filtres a Wireshark per ssl o per tcp.port == 443, Veuràs el handshake TLS, la negociació de claus i després trànsit xifrat. Aquí, encara que algú intercepti els paquets, no podrà veure el contingut sense la clau privada del servidor (i, segons la configuració, tampoc amb ella).

Aquesta demostració pràctica deixa clara la diferència entre HTTP en clar i HTTPS xifrat . En qualsevol auditoria seriosa de seguretat de xarxa, un dels primers punts és buscar serveis web que segueixin usant només HTTP i forçar lús de HTTPS.

Auditoria amb Nmap: enumeració de hosts, ports i serveis

Un cop tens clar què es veu “pel cable”, necessites saber quins equips estan exposats i què ofereixen a l'exterior . Aquí entra en joc Nmap.

Descobrir equips actius a la xarxa (ping sweep)

Des de la màquina observador pots llançar un escombratge ràpid de tot el segment de xarxa local per detectar quina IP responen :

nmap -sP 192.168.100.0/24

Aquesta comanda envia peticions tipus ping a cada adreça del rang i t'indica quins hosts semblen actius. És un primer pas per fer-se una idea de la mida de la xarxa i de quins dispositius estan encesos.

Escaneig TCP connect (-sT): complet però sorollós

Un cop identificades les màquines que us interessen, podeu utilitzar l' escaneig TCP connect per saber quins ports estan oberts:

nmap -sT -v 192.168.100.11

Amb l'opció -sT, Nmap realitza el three-way handshake TCP complet (SYN, SYN/ACK, ACK) amb cada port objectiu. Si la connexió es completa, el port es marca com a obert; si rep un RST, es marca com a tancat.

Aquest tipus d'escaneig és molt fiable, però deixa rastre clar als logs del sistema, perquè des del punt de vista del servidor són connexions normals. Si revises a intern1 o intern2 els fitxers de log (per exemple /var/log/syslog o els logs de serveis com Telnet), veuràs entrades corresponents a aquestes connexions.

A aquest mateix escaneig pots afegir més intel·ligència amb opcions com:

• -O per intentar identificar el sistema operatiu del host.
• -sV per detectar les versions concretes dels serveis que responen.

Per exemple:

nmap -sT -O -sV 192.168.100.11

Amb això tindràs un llistat de ports, serveis, versions i una estimació de la plataforma , una cosa bàsica per avaluar ràpidament possibles vulnerabilitats conegudes en bases de dades públiques.

Escaneigs “més silenciosos”: SYN Scan (-sS) i NULL Scan (-sN)

En entorns on et preocupi deixar empremta evident, Nmap ofereix tècniques que tracten de reduir el rastre en logs d'aplicacions , encara que avui dia molts firewalls i sistemes IDS ja els detecten igual.

SYN Scan (-sS)

El SYN Scan envia només el primer pas del handshake (paquet SYN). Si el servidor respon amb SYN/ACK, Nmap marca el port com a obert però talla la connexió enviant un RST en lloc de completar el handshake amb un ACK.

Des de la perspectiva d'algunes aplicacions no arriba a considerar-se una connexió completa, per la qual cosa pot generar menys logs a nivell de servei , encara que el sistema operatiu i el tallafoc sí que solen registrar aquests intents.

Exemple dús:

nmap -sS 192.168.100.11

Si a interno1 tens configurat iptables per registrar paquets SYN nous, veuràs com els paquets del SYN Scan apareixen igualment a /var/log/syslog , però la traça és diferent al connect scan.

NULL Scan (-sN)

El NULL Scan utilitza paquets TCP amb tots els flags a zero . Es recolza en el comportament definit en alguns RFC per intentar deduir si un port està obert o filtrat segons la resposta (o manca d'ella).

Es llança així:

nmap -sN 192.168.100.11

Aquest tipus d'escaneig és més exòtic i pot ser útil en situacions molt concretes, però no és tan fiable com els anteriors i molts sistemes moderns ho detecten i bloquegen sense problemes. Tot i així, és interessant veure'l en un laboratori i estudiar què es registra als logs.

Ús de tallafocs i logs per analitzar l'impacte de l'escaneig

Per veure amb claredat què està passant quan escanejes, pots configurar a interno1 una regla d'iptables que registri els intents de connexió TCP amb flag SYN a la interfície de xarxa:

iptables -A INPUT -i enp0s3 -p tcp --tcp-flags SYN SYN -m state --state NEW -j LOG --log-prefix "Inicio conex:"

Després, en aquesta mateixa màquina monitoritza el log del sistema:

tail -f /var/log/syslog

Mentre llances des de observador diferents tipus d'escaneig (-sT, -sS, -sN), veuràs com cada tècnica genera patrons diferents de paquets i registres. Això us ajuda a entendre millor què veu un administrador quan rep un escaneig i com podrien detectar o bloquejar aquest trànsit.

Wireshark per a incident response i detecció d'atacs

Wireshark no només serveix per “xafardejar” protocols, també és molt potent en resposta a incidents i detecció de comportaments anòmals , especialment relacionats amb serveis crítics com SSH.

Credential stuffing i força bruta sobre SSH

SSH sol estar exposat a Internet per permetre administració remota. Això ho converteix en objectiu ideal per a atacs de força bruta i credential stuffing (provar credencials robades en massa).

Tot i que el contingut de la sessió SSH està xifrat, pots inferir molt amb Wireshark analitzant:

• Durada del flux: sessions reeixides tendeixen a durar més que intents fallits.
• Grandària dels paquets: les respostes a autenticacions fallides solen ser més curtes i estandarditzades que el trànsit generat en una sessió interactiva.
• Temps entre paquets: atacs automatitzats amb scripts llancen intents en ràfegues molt ràpides amb intervals regulars, mentre que sessions humanes tenen patrons més irregulars.
• Nombre d'intents des de la mateixa IP: un volum inusual d'intents en poc temps des d'una sola adreça externa és un senyal de possible atac.

Combinant aquests indicadors, fins i tot sense veure'n el contingut, pots detectar patrons d'atac SSH i actuar: bloquejos en tallafocs, endurir polítiques de contrasenyes, activar autenticació per clau pública, limitar IPs d'origen, etc.

Escaneig i abús d'accessos remots

Amb l'auge de IoT i dispositius “smart”, molts equips vénen de fàbrica amb SSH habilitat i credencials per defecte . Si algun d'aquests dispositius està exposat a Internet o fins i tot a una xarxa interna poc controlada, és una porta d'entrada.

Amb Wireshark, filtrant trànsit SSH intern, pots analitzar:

• Qui inicia connexions SSH cap a quines destinacions.
• Si hi ha màquines internes fent de pivot, connectant-se a dispositius als quals normalment no hi accedeixen.
• Volums de trànsit SSH anòmals des d'una sola màquina.

Això ajuda a detectar situacions en què, per exemple, un atacant ha compromès una màquina i l'està usant per moure's lateralment per la xarxa amb SSH.

Capacitats avançades i personalització de Wireshark

Per a auditories més profundes és molt útil dominar la personalització de Wireshark i entendre'n les capacitats avançades.

Filtres, perfils i columnes

Wireshark permet ajustar gairebé tot al vostre gust per facilitar l'anàlisi:

• Filtres de visualització: podeu crear filtres complexos combinant camps (per exemple, ip.src == 192.168.100.11 && tcp.port == 22) i guardar-los.
• Perfils de configuració: diferents esquemes de colors, columnes, filtres i preferències es poden guardar com a perfils per canviar de “mode treball” segons el tipus d'auditoria.
• Columnes personalitzades: pots afegir o treure columnes (per exemple, mostrar el camp hostname SNI de TLS, TTL, longitud del paquet, etc.) per veure d'una ullada informació rellevant.

Amb una mica d'afecte, aconseguiràs una interfície adaptada exactament al que necessites veure a cada projecte d'auditoria , cosa que estalvia molt de temps.

Scripts, plugins i automatització

Wireshark suporta extensions mitjançant scripts a Lua i Python , el que permet:

• Automatitzar anàlisis repetitives (detecció de certs patrons, extracció de camps, etc.).
• Crear nous analitzadors de protocols poc comuns o interns de la teva organització.
• Afegir funcionalitats pròpies per als teus fluxos de treball.

A més, en treballar amb fitxers pcap compatibles amb altres eines (tcpdump, CloudShark, etc.), pots integrar Wireshark a pipelins més amplis de monitorització i anàlisi.

Legalitat, riscos i bones pràctiques en auditar la teva xarxa

Tot el que has vist fins ara és tècnicament possible , però no tot és legal en qualsevol context. És fonamental que tinguis clares les implicacions legals i ètiques de fer servir Nmap, Wireshark i eines similars.

És legal fer servir Nmap i Wireshark?

Les eines en si són perfectament legals. El que pot ser delicte és el que facis amb la informació que obtens . En el cas espanyol (ia la majoria de països), interceptar trànsit o accedir a informació aliena sense consentiment es pot considerar delicte de descobriment i revelació de secrets.

Per això, per no arriscar-te:

• Limita't a xarxes i sistemes propis o per als que tinguis autorització explícita per escrit.
• No capturis trànsit de xarxes Wi‑Fi obertes ni de tercers sense permís.
• No difonguis ni reutilitzis informació sensible obtinguda durant una auditoria (contrasenyes, dades personals, correus, etc.).

Fins i tot si la teva intenció és bona, demostrar-ho després en un jutjat no és gens trivial, així que el més prudent és moure't sempre dins marcs formals d'autorització (per exemple, contractes de pentesting, polítiques internes aprovades, etc.).

Precaucions tècniques en utilitzar Wireshark

En capturar trànsit amb Wireshark també convé seguir certes bones pràctiques per no exposar-te ni sobrecarregar sistemes :

• Respecta la privadesa: utilitza filtres adequats per no capturar o no visualitzar camps que no necessites (per exemple, correus personals en una xarxa corporativa) llevat que sigui imprescindible per l'abast de l'auditoria.
• Segmenta la xarxa sempre que puguis per limitar el volum de trànsit capturat al que és rellevant i reduir l'impacte en rendiment.
• Controla els temps de captura: captures molt llargues amb molt de trànsit poden consumir molta RAM i CPU i alentir el teu equip.
• Protegeix els fitxers pcap que guardis, ja que contenen informació delicada; tracta'ls com a documents confidencials.

Altres eines complementàries a Nmap i Wireshark

En moltes auditories de seguretat de xarxa, té sentit combinar Nmap i Wireshark amb altres utilitats gratuïtes que amplien encara més la teva capacitat d'anàlisi i test d'intrusió.

• tcpdump / WinDump: versions en línia d'ordres per capturar paquets, molt útils en servidors sense entorn gràfic o per automatitzar tasques. Els fitxers generats es poden obrir després amb Wireshark.
• Aircrack-ng: suite orientada a auditoria de xarxes Wi-Fi (captura, injecció, anàlisi de trànsit i cracking de claus WEP/WPA/WPA2).
• Kali Linux: distribució GNU/Linux orientada a seguretat i pentesting que agrupa desenes d'eines (incloent-hi Nmap, Wireshark, Aircrack-ng, escàners de vulnerabilitats, eines web, etc.).
• CloudShark, SmartSniff, ColaSoft Capsa, EtherApe: solucions alternatives o complementàries per analitzar captures, algunes amb enfocament web o més visual.

Fins i tot en mòbil hi ha opcions limitades per capturar trànsit (tPacketCapture, Packet Capture o Shark for Root a Android, i apps com Network Analyzer o HTTPCatcher a iOS), encara que per a auditories serioses un ordinador segueix sent el més recomanable.

Combinant tot l'anterior, Nmap com a escàner i Wireshark com a lupa de protocols es converteixen en una parella gairebé imprescindible per a qualsevol auditoria de xarxa, des d'exercicis acadèmics amb màquines virtuals fins a anàlisis en entorns corporatius més complexos, i amb una metodologia ben pensada permeten descobrir serveis exposats de més, comunicacions sense xifrar, que poden corregir abans de les entrades i debilitats estructurals. Comparteix la informació perquè més persones coneguin sobre aquest tema.