Nmap para inventário defensivo: como mapear exposição com responsabilidade
Você só protege o que conhece. Veja como usar o Nmap de forma autorizada para inventariar a própria exposição.
Não se protege o que não se conhece. O Nmap é uma ferramenta consagrada para descobrir hosts, portas abertas e serviços expostos, e tem um papel legítimo e valioso no trabalho defensivo: inventariar a própria superfície de ataque. Saber exatamente o que está exposto, e comparar com o que deveria estar, revela portas esquecidas, serviços indevidos e desvios de configuração antes que um atacante os encontre.
Este guia trata do uso defensivo e responsável do Nmap. O foco é mapear ativos sob sua responsabilidade, com autorização, para fins de inventário e redução de exposição, incluindo os comandos de descoberta que fazem sentido nesse contexto, como registrar o resultado de forma reaproveitável e como transformar o inventário em uma rotina que detecta desvios. Não abordamos exploração nem uso contra sistemas de terceiros, o que seria ilegal e antiético.
Escopo, autorização e responsabilidade
O primeiro princípio é o escopo autorizado. Faça varredura apenas de ativos que você administra ou tem autorização explícita para avaliar. Escanear redes de terceiros sem permissão é ilegal e pode ser tratado como atividade hostil. Defina claramente quais faixas e hosts estão no escopo e registre a autorização.
Um detalhe frequente na nuvem: a rede que você vê pode não ser sua. Endereços públicos de provedores são infraestrutura compartilhada, e varrer uma faixa ampla pode atingir ativos de terceiros e violar os termos de uso do provedor. Limite o escopo aos endereços e recursos que pertencem à sua organização, e trabalhe a partir de um inventário de contas e ativos, não de faixas de rede genéricas.
Impacto e comunicação
Tenha cuidado com o impacto. Varreduras agressivas podem gerar carga e ruído, e em ambientes sensíveis até afetar serviços frágeis. Prefira abordagens controladas, escolha janelas adequadas e comunique as equipes responsáveis, para que o tráfego de varredura não seja confundido com um incidente.
Registre cada campanha de inventário: quem autorizou, qual o escopo, quando começou e terminou, e de qual origem partiu. Esse registro protege a equipe, evita que a atividade seja interpretada como ataque e serve de referência quando um alerta do próprio monitoramento cair durante a janela de varredura.
O que o inventário revela
Um inventário com Nmap mostra quais portas estão abertas, quais serviços respondem e, com a detecção de versão, quais softwares estão expostos. Cruzar esse resultado com o que deveria estar exposto evidencia desvios: uma porta administrativa acessível, um serviço de banco aberto, um host esquecido respondendo na internet. Esses achados alimentam diretamente a correção de Security Groups, firewalls e configuração.
- Portas abertas que não deveriam estar acessíveis
- Serviços expostos sem necessidade de negócio
- Versões de software que indicam falta de atualização
- Hosts esquecidos respondendo publicamente
- Divergência entre o exposto e o documentado
O valor não está apenas em rodar a varredura, e sim em interpretar o resultado no contexto: cada porta aberta precisa de uma justificativa, e o que não tem justificativa deve ser fechado.
Comandos de inventário autorizado
Com o escopo definido e autorizado, alguns comandos cobrem bem o trabalho de inventário. A ideia é ser abrangente o suficiente para não deixar porta de fora e cuidadoso o bastante para não sobrecarregar serviços. Substitua o alvo de exemplo pela sua própria faixa ou pelo arquivo de hosts autorizados.
# Descobre quais endereços respondem, sem varrer portas ainda.
# Troque a faixa pelo seu escopo autorizado e registrado.
nmap -sn 10.0.0.0/24 -oA inventario/descoberta-hostsA partir da lista de hosts ativos, o passo seguinte é levantar portas e serviços. A detecção de versão é o que agrega mais valor defensivo, porque revela qual software responde em cada porta e ajuda a identificar componentes desatualizados.
# -sV identifica o serviço e a versão em cada porta aberta.
# -T3 mantém um ritmo comedido para não sobrecarregar.
# --top-ports cobre as portas mais comuns; use -p- para o range completo.
nmap -sV -T3 --top-ports 1000 -iL hosts-autorizados.txt \
-oA inventario/portas-servicosA opção -oA grava o resultado em três formatos ao mesmo tempo, incluindo um formato adequado para comparação automática entre execuções. Esse detalhe é o que transforma varreduras avulsas em um histórico utilizável. Para conferir a exposição vista de fora, rode a partir de um ponto externo à sua rede, contra apenas os endereços públicos que são seus, e compare com a expectativa de portas que deveriam estar abertas ao mundo.
Evite tratar os scripts do Nmap como se fossem inofensivos. A categoria de descoberta segura ajuda a enriquecer o inventário, mas scripts mais intrusivos podem interferir em serviços frágeis. Em ambiente de produção sensível, prefira o básico de portas e versão, e reserve verificações mais profundas para janelas combinadas.
Baseline e detecção de desvio
Um inventário isolado responde o que está exposto hoje. O ganho maior aparece quando você compara execuções ao longo do tempo e detecta o que mudou. Uma porta nova que abriu sem passar por mudança planejada é exatamente o tipo de desvio que antecede um incidente, e comparar a varredura atual com a anterior faz esse sinal saltar.
# ndiff compara duas varreduras salvas em XML e mostra o delta:
# portas que abriram, serviços que mudaram, hosts que apareceram.
ndiff baseline.xml inventario/portas-servicos.xmlEstabeleça um baseline aprovado da exposição esperada e compare cada nova varredura contra ele. Um desvio vira uma pergunta objetiva: essa porta deveria estar aberta? Se sim, atualize o baseline; se não, é um item de correção com dono e prazo. Essa disciplina converte o inventário em detecção, não apenas em uma foto do momento.
Combinando a visão externa com a interna
A varredura mostra o que responde na rede, mas não explica por que a porta está aberta. Cruzar o resultado com a fonte de verdade da configuração fecha essa lacuna: em AWS, os Security Groups, as tabelas de rota e o AWS Config dizem qual regra permitiu aquela exposição. A visão externa encontra o sintoma; a interna aponta a causa e onde corrigir.
Da varredura à correção
Transforme o inventário em ação. Documente os achados, atribua donos e priorize o fechamento do que está exposto sem necessidade. Repita a varredura periodicamente, porque a exposição muda conforme novos recursos sobem e regras são alteradas. O inventário com Nmap funciona melhor como rotina, não como evento único, e complementa a visão interna que ferramentas de configuração como o AWS Config oferecem.
Checklist prático
- Definir e registrar o escopo autorizado da varredura
- Escanear apenas ativos próprios ou autorizados
- Trabalhar a partir de um inventário de ativos, não de faixas genéricas
- Escolher janelas adequadas e comunicar as equipes
- Evitar varreduras agressivas e scripts intrusivos em serviços frágeis
- Fazer a descoberta de hosts antes do levantamento de portas
- Levantar portas e serviços com detecção de versão
- Salvar o resultado em formato comparável entre execuções
- Identificar portas abertas sem justificativa
- Estabelecer um baseline da exposição esperada
- Comparar cada varredura com o baseline e investigar desvios
- Cruzar o exposto com a configuração de rede que o permitiu
- Documentar achados e atribuir donos
- Priorizar o fechamento do que é indevido
- Repetir o inventário periodicamente
Boas práticas
- Use o Nmap apenas em escopo autorizado e registrado
- Confirme a propriedade dos endereços públicos antes de varrer na nuvem
- Trate cada porta aberta como algo que precisa de justificativa
- Salve os resultados para comparar e detectar mudanças
- Interprete o resultado no contexto, não isolado
- Transforme o inventário em correção priorizada
- Faça do inventário uma rotina, não um evento
- Combine a visão externa com a interna de configuração
Erros comuns
Escanear sem autorização ou fora do escopo
Atividade ilegal e antiética, tratável como hostil.
Varrer faixas públicas de provedor como se fossem suas
Atinge ativos de terceiros e viola os termos de uso da nuvem.
Varredura agressiva ou scripts intrusivos em serviços frágeis
Carga e ruído que podem afetar a operação.
Rodar a varredura e não interpretar
Lista de portas sem ação, sem redução de exposição.
Não guardar o resultado para comparação
Perde-se a detecção de desvio; cada varredura vira uma foto solta.
Inventário feito uma única vez
A exposição muda e novos serviços abertos passam despercebidos.
Não comunicar as equipes
O tráfego de varredura é confundido com um incidente real.
Quando procurar apoio especializado
Mapear a exposição externa de forma autorizada e priorizar a correção é parte dos serviços de Pentest e de Gestão de Vulnerabilidades da GUARDIASEC, que conduzem o trabalho com escopo, método e evidência.
Perguntas frequentes
É legal usar o Nmap?
O Nmap é uma ferramenta legítima e amplamente usada em segurança. O que define a legalidade é o escopo: usá-lo em ativos que você administra ou tem autorização explícita para avaliar é apropriado. Escanear redes de terceiros sem permissão é ilegal e pode ser tratado como atividade hostil. Sempre trabalhe com escopo autorizado e registrado.
Para que serve o Nmap em um trabalho defensivo?
Para inventariar a própria superfície de ataque: descobrir portas abertas, serviços expostos e versões de software. Cruzando isso com o que deveria estar exposto, você encontra desvios, como portas administrativas acessíveis ou hosts esquecidos respondendo publicamente. Esse inventário alimenta a correção de Security Groups, firewalls e configuração.
A varredura pode afetar meus serviços?
Varreduras agressivas podem gerar carga e ruído e, em ambientes sensíveis, afetar serviços frágeis. Por isso o recomendado é usar abordagens controladas, escolher janelas adequadas e comunicar as equipes responsáveis. Avisar antes também evita que o tráfego de varredura seja confundido com um incidente e dispare uma resposta desnecessária.
O inventário com Nmap substitui um pentest?
Não. O inventário mostra o que está exposto, mas não valida exploração nem encontra falhas de lógica e de autorização. O pentest vai além, demonstrando o que é realmente explorável e qual o impacto. O inventário é um ponto de partida valioso para reduzir exposição; o pentest aprofunda a avaliação de risco.
Posso varrer meus recursos na AWS com o Nmap?
Sim, desde que sejam seus recursos e você respeite os termos de uso do provedor. Varrer os próprios endereços é atividade legítima de inventário. O cuidado é não confundir a faixa pública compartilhada da nuvem com a sua: limite o escopo aos endereços que pertencem à sua organização e trabalhe a partir do inventário de contas e ativos. Testes de carga e simulações mais intensas costumam ter regras próprias do provedor, que vale conferir antes.
Com que frequência devo rodar o inventário de exposição?
Depende do ritmo de mudança do ambiente. Onde recursos sobem e descem com frequência, um inventário recorrente, semanal ou quinzenal, capta desvios cedo. Onde a mudança é lenta, um ciclo mensal pode bastar. O ponto não é a cadência exata, e sim a comparação: manter um baseline e confrontar cada varredura com ele é o que transforma o inventário em detecção de desvio, em vez de uma foto isolada.
Como comparo duas varreduras para ver o que mudou?
Salve cada varredura em formato estruturado, com a opção de saída em XML, e use o ndiff, que acompanha o Nmap, para comparar duas execuções. Ele mostra o delta de forma direta: portas que abriram ou fecharam, serviços que mudaram de versão e hosts que apareceram ou sumiram. A partir daí, cada diferença vira uma pergunta simples, se aquela mudança era esperada, e o que não era vira item de correção.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.