Escaneo de puertos - Técnicas de reconocimiento de red

Lectura de 2 min aprox.

El escaneo de puertos (port scanning) es una actividad de reconocimiento que investiga el estado abierto o cerrado de cada puerto en un host de una red. Los atacantes usan el escaneo de puertos para identificar servicios en ejecución y software con vulnerabilidades, utilizándolos como punto de apoyo para la intrusión. Por otro lado, los administradores de seguridad también realizan escaneos de puertos para verificar la seguridad de la red de su propia organización. A fecha de 2025, los servicios que escanean toda la internet, como Shodan y Censys, han hecho que la información sobre los puertos expuestos sea consultable por cualquiera, lo que aumenta aún más el riesgo de una exposición de puertos no intencionada.

Por qué la exposición no intencionada pasa desapercibida

Un puerto que queda abierto al exterior no produce ningún síntoma por sí mismo. Un servidor levantado temporalmente para pruebas o un servicio expuesto como efecto secundario de un cambio de configuración no llama la atención de nadie mientras el negocio funcione con normalidad, y la desviación entre el estado previsto en la gestión de la configuración y el estado real de exposición se acumula de forma invisible desde dentro. Ahí radica el valor de que el lado defensor escanee con regularidad los puertos de su propia red: en lugar de basarse en archivos de configuración o registros, mide las respuestas reales desde fuera, desde el mismo punto de vista que un atacante, de modo que la desviación entre la intención y la realidad se detecta como lo que es. Que la corrección tras el descubrimiento suela reducirse a restringir el acceso o detener el servicio también demuestra que, en esta clase de problemas, todo depende de si llegan a detectarse.

Tipos de técnicas de escaneo

Un escaneo TCP SYN (escaneo semiabierto) es la técnica más común para comprobar el estado de un puerto sin completar la conexión. Un escaneo TCP Connect establece una conexión completa, por lo que es más fácil de detectar, pero no requiere privilegios especiales. Un escaneo UDP investiga servicios UDP como DNS (53) y SNMP (161). Nmap es la herramienta de escaneo de puertos más utilizada y puede identificar incluso el tipo de sistema operativo y las versiones de los servicios.

Escenarios de uso práctico

En las primeras etapas de las pruebas de penetración, siempre se realiza un escaneo de puertos de la red objetivo. Por ejemplo, si un servidor web expone al exterior los puertos 22 (SSH), 3306 (MySQL) y 8080 (panel de administración) además del 80/443, cada uno se convierte en un objetivo de ataque. Los administradores de seguridad deben realizar escaneos de puertos con regularidad para comprobar si hay puertos abiertos de forma no intencionada. En los entornos en la nube, los casos en que se exponen puertos innecesarios debido a grupos de seguridad mal configurados ocurren con frecuencia.

Medidas de defensa

Usa un firewall para abrir únicamente los puertos necesarios y detén los servicios innecesarios. Configurar un IDS/IPS para detectar y bloquear automáticamente los escaneos de puertos también es eficaz. Protege el SSH y los paneles de administración con contraseñas aleatorias robustas; cambiar el puerto predeterminado (como mover el SSH del 22 a otro puerto) también es una medida contra los escaneos casuales. Basándote en los principios de la seguridad de confianza cero, refuerza la autenticación no solo en el perímetro de la red, sino también en cada nivel de servicio.