Em teste interno, o reconhecimento decide o resto do trabalho. Quem varre errado enxerga metade da rede e conclui que o ambiente é pequeno. Quem varre com força demais derruba um controlador industrial e encerra o projeto na primeira hora.
O que separa os dois é entender o que cada varredura faz por baixo.
Comece descobrindo hosts, não portas
Antes de saber o que roda, é preciso saber quem existe. Em rede interna a descoberta por ARP é a mais confiável, porque não depende de o host responder a ping.
sudo nmap -sn -PR 192.168.10.0/24 -oA descobertaO -PR força ARP, que funciona mesmo em máquina com firewall bloqueando ICMP. Se você usar só -sn sem especificar, o Nmap decide sozinho e pode perder hosts que ignoram ping.
O -oA grava nos três formatos de uma vez. Faça isso sempre: refazer varredura porque você não salvou é desperdício de janela de teste.
Portas: o que cada tipo de varredura significa
| Comando | O que faz | Quando usar |
|---|---|---|
-sS | Envia SYN e não completa a conexão | Padrão em teste interno, rápido e discreto |
-sT | Completa a conexão TCP | Quando não há privilégio de root |
-sU | Varre UDP | Essencial, e quase sempre esquecido |
-sV | Identifica serviço e versão | Depois de mapear as portas abertas |
-O | Tenta identificar o sistema operacional | Útil, mas menos confiável que o banner do serviço |
O UDP merece atenção especial. Serviços críticos vivem lá: DNS, SNMP, NetBIOS, sistemas industriais. Varredura UDP é lenta porque a ausência de resposta é ambígua, então limite as portas em vez de pular a etapa:
sudo nmap -sU --top-ports 50 192.168.10.0/24 -oA udpSNMP com comunidade padrão ainda é achado comum, e entrega o inventário inteiro do equipamento sem esforço.
Velocidade sem quebrar nada
Os modelos de temporização vão de -T0 a -T5. O padrão é -T3.
A tentação é usar -T4 ou -T5 para terminar logo. Em rede corporativa comum, -T4 costuma ser seguro. Em rede com equipamento antigo, impressora de rede ou qualquer coisa industrial, não passe de -T2. Já vi impressora parar de responder e linha de produção sinalizar falha por causa de varredura agressiva.
Quando o ambiente tem equipamento sensível, exclua explicitamente:
sudo nmap -sS -T2 192.168.10.0/24 --exclude 192.168.10.5,192.168.10.6 -oA cuidadoEssa lista de exclusão sai do documento de escopo, que precisa existir antes do primeiro pacote, como tratei em OSINT na Investigação de Cibercrimes ao falar dos limites entre observação e intrusão.
Os scripts que rendem mais
O motor de scripts do Nmap faz metade do trabalho de enumeração, desde que você escolha os certos.
# o que compartilha arquivo sem exigir autenticacao
sudo nmap -p445 --script smb-enum-shares,smb-os-discovery 192.168.10.0/24
# certificados: revelam nomes internos e datas de validade
sudo nmap -p443 --script ssl-cert,ssl-enum-ciphers 192.168.10.0/24
# credenciais padrao em servico web
sudo nmap -p80,8080 --script http-default-accounts 192.168.10.0/24Evite --script vuln em teste com cliente presente sem avisar: alguns scripts dessa categoria são intrusivos e podem derrubar serviço.
Lendo o resultado como um atacante
Lista de portas abertas não é achado, é matéria-prima. As perguntas que transformam varredura em caminho:
- O que está exposto e não deveria? Banco de dados escutando em toda a rede, painel administrativo em porta alta, compartilhamento aberto.
- O que está desatualizado? Versão antiga de serviço com falha pública conhecida é o atalho mais direto.
- O que se repete? Mesma versão de serviço em cinquenta máquinas significa que uma falha vale por cinquenta.
- O que destoa? Uma máquina com portas diferentes de todas as outras costuma ser servidor esquecido, e servidor esquecido não é atualizado.
Organizando para o relatório
O formato greppable serve exatamente para isso:
grep "Ports:" descoberta.gnmap | awk '{print $2}' | sort -u > hosts_vivos.txt
grep -E "open" servicos.gnmap | cut -d' ' -f2,4- > abertas.txtCom essas duas listas você monta a tabela de superfície interna que vai para o relatório, e consegue comparar com a varredura do reteste para mostrar o que foi corrigido.
O erro que custa o projeto
É varrer fora do escopo. Faixa de rede escrita errada, uma máscara trocada, e a varredura alcança a rede de um vizinho ou do provedor.
Antes de rodar em produção, confirme o alvo com -sL, que apenas lista os endereços que seriam varridos, sem enviar um único pacote:
nmap -sL 192.168.10.0/24 | tail -5Trinta segundos nessa conferência já me pouparam de mais de um susto. É o comando mais barato do arsenal e o mais ignorado.