¿Cuántos bytes ocupan un nmap simple para un host?

Hoy el gerente de TI se enojó porque usé nmap en los 3 servidores que administro para ver qué puertos tenían abiertos. Sé que podría haber usado netstat dentro del shell del host.

Me dijo que "si la red deja de funcionar debido a nmap, sería castigado". Me gustaría saber técnicamente cuántos ancho de banda / bytes de red tomarían una nmap 192.168.1.xsalida:

Starting Nmap 6.40 ( http://nmap.org ) at 2015-05-11 13:33 ART
Nmap scan report for 192.168.x.53
Host is up (0.0043s latency).
Not shown: 983 closed ports
PORT      STATE SERVICE
1/tcp     open  tcpmux
22/tcp    open  ssh
79/tcp    open  finger
80/tcp    open  http
111/tcp   open  rpcbind
119/tcp   open  nntp
143/tcp   open  imap
1080/tcp  open  socks
1524/tcp  open  ingreslock
2000/tcp  open  cisco-sccp
6667/tcp  open  irc
12345/tcp open  netbus
31337/tcp open  Elite
32771/tcp open  sometimes-rpc5
32772/tcp open  sometimes-rpc7
32773/tcp open  sometimes-rpc9
32774/tcp open  sometimes-rpc11

Nmap done: 1 IP address (1 host up) scanned in 3.28 seconds

Esto es bastante fácil de medir, al menos si mapea un host con el que su máquina no se está comunicando. Simplemente use tcpdump o wireshark para capturar el tráfico, limitado a esa dirección IP. También puede usar contadores de iptables, etc.

Lo hice (usando wireshark), la máquina que probé tiene menos puertos TCP abiertos (5), pero los totales fueron paquetes de 2009, 118,474 bytes. Eso tomó 1.4 segundos, entonces 1435 pps o 677 kbps. Ninguno de los dos debería eliminar una red razonablemente configurada.

Hacer objetivos adicionales podría potencialmente abrumar el seguimiento de conexión de un firewall con estado, si el escaneo se realiza a través de un firewall. Y, por supuesto, es probable que ejecutar nmap provoque la alarma de cualquier sistema de detección de intrusiones, lo que podría hacer que alguien pierda el tiempo investigando.

Finalmente, nmap (por defecto) no verifica todos los puertos y los IDS basados ​​en host pueden detectar y responder al escaneo, ambos significan que no necesariamente obtiene respuestas precisas.

He visto interruptores inteligentes (rotos) cayendo debido a la actividad de nmap, pero eso fue cuando nmapping una subred (por lo que el tráfico ARP para muchos puntos finales diferentes). Ese puede ser el tipo de problema en el que está pensando.

Ahora, los sistemas de detección de intrusos intentan detectar la actividad de escaneo de puertos y pueden configurarse para bloquear la dirección IP del host que realiza el escaneo.

Si hay un enrutador SNATing entre usted y el host de destino, y un IDS entre ese enrutador y el host de destino, entonces la dirección IP enmascarada de ese enrutador puede terminar bloqueada, ya que sería la que aparece como la fuente de esos escaneos . Eso podría afectar la conectividad a todas las redes más allá de ese IDS.

Aparte de eso, nmapping un solo host en la misma subred no va a generar mucho tráfico o causar ninguna interrupción (que no sea en el host de envío y recepción).

¿Eres administrador de red? Si no lo está, creo que su administrador de TI no estaba preocupado por el uso excesivo del ancho de banda, sino por el hecho de que 1) estaba jugando con la red y 2) el escaneo de nmap podría bloquear las aplicaciones :

También se debe tener en cuenta que se sabe que Nmap bloquea ciertas aplicaciones mal escritas, pilas TCP / IP e incluso sistemas operativos. Nmap nunca debe ejecutarse contra sistemas de misión crítica a menos que esté preparado para sufrir tiempos de inactividad. Reconocemos aquí que Nmap puede bloquear sus sistemas o redes y renunciamos a toda responsabilidad por cualquier daño o problema que pueda causar Nmap. Debido al ligero riesgo de fallas y a algunos sombreros negros les gusta usar Nmap para el reconocimiento antes de atacar los sistemas, hay administradores que se molestan y pueden quejarse cuando se escanea su sistema. Por lo tanto, a menudo es aconsejable solicitar permiso antes de hacer incluso un escaneo ligero de una red.

Tenga en cuenta que si nmap bloquea una aplicación, es porque la aplicación está mal escrita, no es culpa de nmap. Nmap es una herramienta reconocida y útil que los administradores de red deberían utilizar ampliamente al administrar su propia red.