Cómo comprobar los puertos abiertos: desde fuera, en el equipo y con Nmap

Un puerto, explica INCIBE, es el punto donde se intercambia la información entre un equipo y una web, otro equipo o un servidor. Según INCIBE, un router tiene 65.536, numerados del 0 al 65.535. Un puerto abierto es uno en el que hay un servicio esperando conexiones. Si se puede llegar a él desde internet, cualquiera puede intentarlo.

INCIBE lo explica así: si los puertos se quedan abiertos sin necesidad, un simple análisis desde el exterior los pone en el radar de los ciberdelincuentes, y muchos programas maliciosos usan puertos concretos para atacar. Por eso conviene saber qué está abierto, y no suponerlo.

Las tres formas de mirarlo

No es lo mismo un puerto abierto en un ordenador que un puerto abierto a internet. Hay que mirar desde varios sitios:

Desde fuera: lo que ve internet

Es la comprobación que más importa, porque es la que hace cualquiera que te ataque. INCIBE recomienda a las empresas conocer su IP pública, en el panel del router o con una web que la muestre, y comprobar qué puertos tiene abiertos al exterior. Cita la herramienta gratuita de la Asociación de Internautas, que revisa los puertos de los protocolos más comunes.

Un detalle importante: la prueba tiene que salir de fuera de tu red. Como explica la guía de Nmap, más abajo, lo que se ve de un puerto depende de desde dónde se mire, y una prueba lanzada desde la propia oficina puede no coincidir con lo que ve internet. Lo seguro es usar un servicio en línea o una conexión ajena, como los datos del móvil.

En el router: las reglas que abren puertos

Un puerto queda abierto a internet porque alguna regla lo permite. INCIBE indica que esa configuración suele estar en los apartados de NAT, Port Forwarding u opciones avanzadas del router. Revisa:

• Las redirecciones de puertos, que se explican en la guía de NAT. Cada una debería tener un motivo que sigue vigente.
• Las aperturas automáticas por UPnP, que los equipos de la red hacen sin preguntar.
• Si hay un equipo en la opción «DMZ» del router. Mira en el manual de tu modelo qué hace exactamente: no tiene por qué ser lo mismo que una DMZ de verdad, con su propia red y sus reglas, y puede dejar el equipo mucho más expuesto.

INCIBE avisa también de que no conviene abrir puertos a mano si luego no se cierran cuando dejan de hacer falta.

En el equipo: netstat

En Windows, el comando netstat muestra las conexiones y los puertos que tiene el propio equipo. Según la documentación de Microsoft:

• netstat -a muestra todas las conexiones TCP activas y los puertos TCP y UDP en los que escucha el equipo.
• -n muestra direcciones y puertos en número, sin intentar traducirlos a nombres.
• -o añade el identificador del proceso (PID), que se puede buscar en la pestaña de procesos del Administrador de tareas.
• -b muestra el programa que ha abierto cada conexión o puerto.

La combinación netstat -ano da la lista completa con el proceso de cada línea. Las que interesan son las que están en estado de escucha. Un puerto que escucha en un equipo no está necesariamente abierto a internet: solo lo está si el router o el cortafuegos dejan llegar el tráfico. Pero sí está abierto para el resto de la red local, que es por donde se mueve un atacante que ya ha entrado.

Con Nmap: un escáner de verdad

Nmap es un escáner de puertos libre y muy extendido. Según su guía de referencia, la orden más sencilla, nmap seguido de la dirección, revisa los 1.000 puertos TCP más habituales. Con la opción -p- revisa todos, del 1 al 65.535, y con -sU revisa los puertos UDP, que la guía recuerda que no conviene olvidar: servicios como DNS o SNMP funcionan por UDP y los atacantes no los ignoran.

Cómo leer el resultado

Nmap no se limita a «abierto» o «cerrado». Distingue seis estados, y aclara que no son una propiedad del puerto sino de cómo lo ve Nmap desde donde se lanza:

Los otros dos estados, unfiltered y closed|filtered, solo aparecen con tipos de escaneo menos habituales. La guía de Nmap pone un ejemplo de por qué importa desde dónde se mira: el mismo puerto 135 puede salir abierto escaneando desde la red local y filtrado escaneando a la vez desde internet.

Qué hacer con lo que encuentres

Esto es criterio de esta web, a partir de lo anterior:

• Cada puerto abierto a internet necesita un motivo. Si nadie sabe para qué está, se cierra y se mira quién protesta.
• Nada de administración a la vista. El escritorio remoto, SSH o el panel del propio router no deberían salir abiertos desde fuera. Para entrar desde casa, mejor una VPN. Lo que queda expuesto recibe intentos de fuerza bruta casi desde el primer minuto, y es una de las vías de entrada del ransomware.
• Lo que sí debe estar abierto, limitado y vigilado: si se puede, solo para las IP que lo usan, con el software al día y con un IPS o, al menos, con los registros revisados.
• Repetir la comprobación. Después de cada cambio en el router, al instalar un equipo nuevo y de vez en cuando, porque las reglas se acumulan y UPnP abre puertos solo.