Nel mondo dell’informatica esistono strumenti che, una volta scoperti, cambiano completamente il modo di vedere una rete. Uno di questi è senza dubbio Nmap.

Molti lo definiscono semplicemente “uno scanner di porte”. In realtà ridurre Nmap a questo sarebbe come definire un oscilloscopio “un semplice display con delle linee”. Dietro a questo software open source si nasconde uno degli strumenti più potenti e intelligenti mai creati per l’analisi delle reti informatiche.

Chi lavora nella cybersecurity, nell’amministrazione di sistema o nella gestione di infrastrutture IT prima o poi si trova davanti ad una situazione tipica:

“Sono davvero sicuro di sapere cosa c’è collegato alla mia rete?”

Ed è proprio qui che entra in gioco Nmap.

---

Una rete non è mai semplice come sembra

Molte aziende pensano di avere il controllo completo della propria infrastruttura. Poi arriva il giorno in cui qualcuno lancia una scansione seria e scopre:

• una vecchia telecamera IP dimenticata;
• un NAS ancora accessibile dall’esterno;
• uno switch configurato anni fa;
• una stampante con servizi aperti inutilmente;
• un PC acceso sotto una scrivania da mesi;
• un access point Wi-Fi installato “temporaneamente” e mai rimosso.

Nelle PMI questa situazione è molto più comune di quanto si immagini.

Le reti moderne sono organismi vivi: cambiano continuamente. Ogni nuovo dispositivo aggiunge servizi, porte aperte, firmware, protocolli e potenziali vulnerabilità.

E la verità è molto semplice:

non si può proteggere ciò che non si conosce.

---

Cos’è realmente Nmap

Nmap nasce come strumento di network discovery, cioè di esplorazione delle reti.

Il suo obiettivo principale è capire:

• quali dispositivi sono presenti;
• quali porte risultano aperte;
• quali servizi stanno funzionando;
• quale sistema operativo viene utilizzato;
• quanto sia esposto un determinato host.

Nel tempo è diventato uno standard mondiale.

Oggi viene utilizzato da:

• amministratori di rete;
• sistemisti;
• ethical hacker;
• SOC analyst;
• ricercatori di sicurezza;
• penetration tester;
• tecnici IT;
• aziende di cybersecurity.

E il motivo è semplice: funziona incredibilmente bene.

---

Come funziona Nmap

Quando si utilizza Nmap si inviano pacchetti di rete verso uno o più dispositivi.

A quel punto il software osserva attentamente le risposte ricevute.

Può sembrare banale, ma da queste risposte è possibile capire moltissime cose.

Ad esempio:

• se il dispositivo è acceso;
• se una porta è aperta;
• quale software sta rispondendo;
• quale versione del servizio è installata;
• quale sistema operativo è probabilmente in uso;
• se è presente un firewall;
• se il target filtra il traffico.

È quasi come parlare con una macchina e interpretarne il comportamento.

Ogni sistema operativo, infatti, “risponde” in modo leggermente diverso ai pacchetti di rete. Ed è proprio sfruttando queste differenze che Nmap riesce ad identificare tantissime informazioni.

---

Le porte: il cuore della comunicazione di rete

Per capire Nmap bisogna comprendere il concetto di porta.

Ogni servizio di rete utilizza una porta logica.

Ad esempio:

Servizio	Porta
HTTP	80
HTTPS	443
SSH	22
FTP	21
SMB	445
RDP	3389

Quando una porta è aperta significa che un servizio è in ascolto.

Ed è qui che nasce il concetto fondamentale della cybersecurity moderna:

ogni porta aperta rappresenta un servizio esposto e quindi una potenziale superficie di attacco.

Questo non significa automaticamente vulnerabilità, ma significa esposizione.

Un server con 2 porte aperte ha una superficie di attacco molto diversa da uno con 40 servizi attivi.

---

Installazione di Nmap

Linux Ubuntu/Debian

sudo apt update
sudo apt install nmap

Rocky Linux / AlmaLinux / CentOS

sudo dnf install nmap

Windows

Dal sito ufficiale di Nmap Project è possibile scaricare:

• Nmap CLI;
• Zenmap;
• Npcap.

---

Il primo approccio pratico

Uno degli utilizzi più semplici di Nmap consiste nello scoprire quali dispositivi siano presenti nella rete.

Ad esempio:

nmap -sn 192.168.1.0/24

Questo comando esegue una scansione di host discovery, cioè verifica quali dispositivi risultano raggiungibili nella rete.

A seconda del contesto, Nmap può utilizzare:

• ICMP;
• ARP request;
• TCP SYN;
• altri metodi di discovery.

Ed è incredibile quanto questo semplice comando possa già raccontare della propria infrastruttura.

Molti amministratori la prima volta rimangono sorpresi dal numero di dispositivi trovati.

Televisori smart.

Telecamere.

Stampanti.

NAS.

Access point.

Dispositivi IoT.

A volte persino vecchi apparati che nessuno ricordava più.

---

Quando Nmap diventa davvero interessante

La vera potenza emerge quando si iniziano ad analizzare le porte aperte.

Ad esempio:

nmap 192.168.1.10

Nmap tenterà il fingerprinting dei servizi più comuni.

Un risultato tipico potrebbe essere:

22/tcp open ssh
80/tcp open http
443/tcp open https

In quel momento stiamo già ottenendo informazioni preziose:

• il dispositivo offre accesso remoto SSH;
• ha un’interfaccia web;
• probabilmente è un server Linux o un appliance di rete.

E tutto questo in pochi secondi.

---

Come Nmap interpreta le porte

Uno degli aspetti più importanti quando si utilizza Nmap è capire come interpretare correttamente i risultati della scansione.

Nmap classifica normalmente le porte in diversi stati.

I principali sono tre.

Stato	Significato
Open	un servizio sta rispondendo sulla porta
Closed	la porta è raggiungibile ma nessun servizio è attivo
Filtered	un firewall o filtro di rete blocca le risposte

Questa distinzione è fondamentale.

Una porta “closed” non rappresenta necessariamente un problema: significa semplicemente che il dispositivo è raggiungibile ma non ha servizi attivi su quella porta.

Una porta “filtered”, invece, indica generalmente la presenza di:

• firewall;
• ACL;
• IDS/IPS;
• regole di filtraggio;
• protezioni WAN.

Ed è qui che spesso iniziano le attività di troubleshooting professionale.

---

Il fingerprinting dei servizi

Una delle funzioni più apprezzate è il rilevamento delle versioni software.

Comando:

nmap -sV 192.168.1.10

Qui Nmap tenta il fingerprinting dei servizi per identificare:

• software utilizzato;
• versione del servizio;
• banner applicativi.

Ad esempio:

Apache httpd 2.4.52
OpenSSH 8.4

Per un ricercatore di sicurezza questa informazione è estremamente importante.

Perché?

Perché ogni versione software può essere confrontata con database di vulnerabilità pubbliche e CVE note.

In altre parole:

conoscere la versione significa poter valutare il rischio reale.

---

La scoperta del sistema operativo

Nmap riesce anche a stimare quale sistema operativo stia utilizzando il target.

sudo nmap -O 192.168.1.10

Il software analizza il comportamento dello stack TCP/IP e confronta le risposte con database di fingerprint.

Il rilevamento del sistema operativo è probabilistico e può essere influenzato da:

• firewall;
• NAT;
• reverse proxy;
• sistemi IPS;
• stack TCP/IP modificati.

Nonostante questo, i risultati risultano spesso sorprendentemente accurati.

---

Una scansione interna non è uguale ad una scansione esterna

Questo è uno degli errori più comuni nelle verifiche di sicurezza.

Molti amministratori eseguono una scansione dalla LAN interna e pensano automaticamente che quella sia la reale esposizione della rete.

In realtà non è così.

Una scansione effettuata dall’interno della rete vede normalmente:

• VLAN interne;
• servizi locali;
• apparati management;
• traffico non filtrato.

Una scansione eseguita dall’esterno, invece, incontra:

• NAT;
• firewall;
• reverse proxy;
• VPN;
• ACL;
• sistemi IDS/IPS.

Per questo motivo in cybersecurity professionale si eseguono quasi sempre:

• audit interni;
• audit esterni;
• verifiche segmentazione VLAN;
• controlli di esposizione WAN.

---

Esempio pratico reale: verifica firewall OPNsense

In ambienti con OPNsense, una delle verifiche più importanti consiste nel controllare cosa sia realmente esposto verso Internet.

Ad esempio:

nmap -Pn IP-PUBBLICO

Il parametro:

-Pn

dice a Nmap di non eseguire host discovery preliminare.

Questo è molto utile quando:

• il firewall blocca ICMP;
• il target non risponde ai ping;
• si stanno analizzando apparati WAN.

Un risultato corretto potrebbe mostrare soltanto:

443/tcp open https

Se invece comparissero:

21/tcp open ftp
23/tcp open telnet
445/tcp open microsoft-ds

significherebbe che esistono problemi di esposizione molto seri.

---

Esempio pratico: scansione di una VLAN TVCC

Immaginiamo una rete aziendale segmentata nel seguente modo:

VLAN	Funzione
VLAN10	TVCC
VLAN20	Uffici
VLAN99	Management

Un amministratore potrebbe voler verificare quali servizi siano attivi nella VLAN TVCC.

Comando:

nmap -sV 192.168.10.0/24

Risultato possibile:

IP	Servizio	Considerazioni
192.168.10.20	RTSP	streaming telecamera
192.168.10.21	HTTP	interfaccia web camera
192.168.10.50	SSH	accesso NVR
192.168.10.100	Telnet	configurazione insicura

Scoprire Telnet attivo su una rete TVCC significa identificare immediatamente un rischio concreto.

---

UDP scanning: potente ma più complesso

Molti servizi importanti utilizzano UDP:

• DNS;
• SNMP;
• DHCP;
• NTP;
• SIP;
• VoIP;
• streaming.

La scansione si esegue così:

sudo nmap -sU 192.168.1.10

Le scansioni UDP sono generalmente:

• più lente;
• meno affidabili;
• più difficili da interpretare.

Il motivo è semplice: molti servizi UDP non rispondono esplicitamente ai pacchetti ricevuti.

Per questo motivo le scansioni UDP professionali richiedono:

• più tempo;
• esperienza interpretativa;
• correlazione con firewall e packet capture.

---

Il motore NSE: quando Nmap diventa una piattaforma

Una delle funzionalità più potenti è il cosiddetto NSE (Nmap Scripting Engine).

Si tratta di un sistema di scripting integrato che permette di automatizzare analisi avanzate.

Ad esempio:

nmap --script vuln 192.168.1.10

Con questo comando Nmap tenta di identificare configurazioni deboli o vulnerabilità note.

Esistono script per:

• SMB;
• HTTP;
• DNS;
• SSL/TLS;
• SNMP;
• database;
• autenticazione;
• enumerazione servizi.

È importante però comprendere che NSE non sostituisce piattaforme dedicate come:

• Nessus;
• OpenVAS.

Rimane comunque uno strumento estremamente utile durante audit e assessment preliminari.

---

Timing aggressivi: attenzione ai sistemi di sicurezza

Nmap permette di modificare la velocità delle scansioni.

Ad esempio:

nmap -T4 target

oppure:

nmap -T5 target

Ma attenzione.

Timing troppo aggressivi possono:

• saturare reti lente;
• mandare in crisi vecchi dispositivi;
• causare packet loss;
• attivare sistemi IDS/IPS.

In ambienti professionali non è raro che sistemi come:

• Suricata;
• Snort

rilevino immediatamente una scansione Nmap.

Per questo motivo durante gli audit seri si utilizzano normalmente timing moderati.

Ad esempio:

nmap -T3 target

offre spesso il miglior compromesso tra:

• velocità;
• affidabilità;
• riduzione dei falsi positivi IDS.

---

Errori comuni quando si utilizza Nmap

Con il tempo quasi ogni sistemista commette gli stessi errori.

Vediamo i più frequenti.

---

Fidarsi solo del ping

Molti dispositivi moderni bloccano ICMP.

Quindi:

Host seems down

non significa necessariamente che il dispositivo sia spento.

In questi casi spesso è utile:

nmap -Pn target

---

Scansionare reti enormi inutilmente

Eseguire:

nmap 10.0.0.0/8

può richiedere tempi enormi e generare traffico inutile.

Molto meglio segmentare le scansioni per:

• VLAN;
• subnet;
• zone operative.

---

Interpretare “filtered” come “sicuro”

Una porta filtered non garantisce sicurezza.

Significa soltanto che il traffico viene filtrato.

Potrebbero comunque esistere:

• bypass;
• errori NAT;
• ACL errate;
• VPN mal configurate.

---

Usare sempre scansioni aggressive

Molti utenti scoprono:

nmap -A

e iniziano ad usarlo ovunque.

In realtà:

• aumenta il rumore di rete;
• attiva IDS/IPS;
• può generare risultati instabili;
• è inutile per scansioni preliminari.

---

Come interpretare davvero i risultati

La vera competenza non consiste nel lanciare Nmap.

Consiste nell’interpretare ciò che restituisce.

Ad esempio:

Situazione	Possibile interpretazione
Molte porte open	superficie di attacco elevata
Tutto filtered	firewall presente
Nessuna risposta ICMP	host protetto o offline
Versioni obsolete	possibile rischio CVE
Telnet aperto	forte criticità sicurezza
SMB legacy	rischio ransomware

Ed è proprio qui che si vede la differenza tra:

• chi “usa un tool”;
• e chi comprende realmente una rete.

---

Attenzione: usare Nmap richiede responsabilità

Questo è un punto fondamentale.

Nmap è uno strumento professionale.

E come ogni strumento potente può essere utilizzato bene o male.

Scansionare reti senza autorizzazione può avere conseguenze:

• legali;
• disciplinari;
• contrattuali;
• operative.

In molti paesi la scansione non autorizzata può essere interpretata come attività preparatoria ad un’intrusione.

Molti sistemi IDS/IPS rilevano immediatamente le scansioni.

In alcuni ambienti enterprise una scansione aggressiva può addirittura generare allarmi SOC o blocchi automatici.

Per questo motivo Nmap dovrebbe essere utilizzato:

• su infrastrutture autorizzate;
• in laboratorio;
• durante audit concordati;
• in ambienti di test;
• con piena consapevolezza tecnica.

---

Nmap e cybersecurity moderna

Oggi la sicurezza informatica non consiste soltanto nel “mettere un firewall”.

La vera sicurezza nasce dalla conoscenza della propria infrastruttura.

Bisogna sapere:

• cosa è acceso;
• cosa comunica;
• cosa è esposto;
• quali servizi sono attivi;
• quali versioni sono installate;
• quali segmenti di rete risultano raggiungibili.

Ed è esattamente ciò che Nmap permette di fare.

Per questo motivo ancora oggi, dopo decenni, Nmap rimane uno degli strumenti più utilizzati al mondo da professionisti IT e ricercatori di sicurezza.

---

Conclusioni

Esistono software più moderni.

Esistono piattaforme più automatizzate.

Esistono sistemi cloud con dashboard spettacolari.

Eppure Nmap continua ad essere presente praticamente ovunque.

Perché?

Perché è veloce.

Preciso.

Affidabile.

Potente.

E soprattutto perché permette di comprendere davvero una rete.

Non soltanto guardarla.

Ma analizzarla.

Interpretarla.

Capirla.

Ed è proprio questa la differenza tra “avere una rete” e “sapere gestire una rete”.

---

Per approfondire configurazioni di rete, cybersecurity, auditing infrastrutturale e utilizzo professionale di Nmap, puoi consultare il sito ufficiale di Nmap e il sito di SER TEC Srl, specializzata in reti dati, firewall, sicurezza informatica e infrastrutture IT professionali.

SER TEC Srl – Networking & Cybersecurity

SER TEC Srl si occupa di:

• progettazione reti dati;
• firewall professionali;
• segmentazione VLAN;
• cybersecurity per PMI;
• Wi-Fi enterprise;
• audit infrastrutturali;
• monitoraggio sicurezza;
• VPN e accessi remoti sicuri;
• analisi e hardening di reti aziendali.

Per consulenze tecniche o audit di sicurezza è possibile contattare SER TEC Srl tramite il sito ufficiale.