Apa Itu Nmap? Penjelasan Lengkap untuk Network Scanner Paling Canggih di Dunia

Asal Usul dan Filosofi Nmap

Nmap diciptakan oleh Gordon Lyon, yang dikenal dengan nama samaran Fyodor, yang merilis versi pertama dalam sebuah artikel tahun 1997 di majalah Phrack — salah satu publikasi fundamental komunitas keamanan bawah tanah. Alat ini dirilis sebagai software open source gratis di bawah Lisensi Publik Umum GNU, sebuah keputusan yang mencerminkan filosofi yang akan mendefinisikan pengembangan Nmap sejak saat itu, yaitu bahwa alat keamanan yang ampuh harus tersedia secara gratis bagi para pembela, bukan terkunci di balik lisensi komersial yang lebih menguntungkan organisasi yang didanai dengan baik daripada peneliti independen, tim kecil, dan mahasiswa.

Nama itu sendiri — Network Mapper — menggambarkan tujuan asli dan utama alat ini dengan kejelasan yang mengagumkan. Nmap memetakan jaringan. Ia menemukan apa yang ada di sana, mengkarakterisasi apa yang ditemukannya, dan menyajikan hasilnya dalam bentuk yang dapat ditindaklanjuti oleh manusia dan alat lain. Metafora pemetaan juga tepat dalam hal lain: seperti halnya peta yang mengungkapkan geografi wilayah yang tidak dikenal, pemindaian Nmap mengungkapkan topologi jaringan yang tidak dikenal, memberikan kesadaran situasional kepada operatornya yang sebelumnya tidak mereka miliki.

Selama hampir tiga dekade sejak pertama kali dirilis, Nmap telah berkembang dari pemindai port yang relatif sederhana menjadi platform intelijen jaringan yang komprehensif. Nmap telah menjadi subjek penelitian akademis, inspirasi bagi seluruh ekosistem alat pelengkap, dan implementasi referensi yang menjadi tolok ukur bagi alat keamanan lainnya. Gordon Lyon dan komunitas developer Nmap yang lebih luas terus merilis pembaruan, menambahkan kemampuan scripting, meningkatkan akurasi pemindaian, dan menyempurnakan format output alat tersebut. Hasilnya adalah alat yang tetap relevan dan ampuh saat ini seperti pada tahun-tahun awalnya — sebuah pencapaian luar biasa di bidang di mana teknologi menjadi usang secepat kemunculannya.

Apa yang Dilakukan Nmap: Kemampuan Inti

Pada tingkat abstraksi tertinggi, Nmap melakukan pengintaian jaringan. Ia menemukan informasi tentang jaringan dan perangkat di dalamnya dengan mengirimkan paket yang dirancang dengan cermat dan menganalisis responsnya. Kecanggihan informasi yang dapat diperoleh dari paket-paket tersebut — dan kecerdasan teknik yang digunakannya untuk memperoleh informasi tersebut — adalah yang membedakan Nmap dari utilitas ping sederhana dan pemeriksa port dasar.

Penemuan Host: Menemukan Apa yang Ada

Tantangan pertama dalam memindai jaringan adalah mengetahui apa yang harus dipindai. Sebuah jaringan mungkin berisi puluhan, ratusan, atau ribuan alamat IP, dan sebagian besar mungkin tidak ditempati. Mengirimkan lalu lintas pemindaian terperinci ke setiap alamat IP yang mungkin akan membuang waktu dan menghasilkan kebisingan yang tidak perlu. Nmap mengatasi hal ini dengan penemuan host, yaitu proses mengidentifikasi alamat IP mana dalam rentang tertentu yang sebenarnya ditempati oleh host aktif.

Teknik penemuan host Nmap berkisar dari yang sederhana hingga yang canggih. Yang paling sederhana adalah permintaan echo ICMP — yang oleh kebanyakan orang dianggap sebagai "ping" ke host. Jika host merespons permintaan echo, berarti host tersebut aktif. Jika tidak merespons, mungkin host tersebut sedang tidak aktif, atau mungkin sedang memfilter lalu lintas ICMP. Karena banyak jaringan memblokir ICMP karena alasan keamanan, Nmap melengkapi ICMP dengan probe penemuan host lainnya: paket TCP SYN ke port umum seperti 80 dan 443, paket TCP ACK, dan paket UDP. Dengan menggabungkan beberapa jenis probe, Nmap dapat mengidentifikasi host aktif bahkan ketika beberapa jenis probe diblokir.

Untuk jaringan lokal di mana lalu lintas ARP (Address Resolution Protocol) tersedia, Nmap menggunakan permintaan ARP untuk penemuan host, yang sangat andal karena lalu lintas ARP tidak dapat diblokir pada lapisan jaringan di segmen lokal. Host yang aktif di jaringan lokal akan selalu merespons permintaan ARP untuk alamat IP-nya, terlepas dari konfigurasi firewall-nya.

Memahami penemuan host sangat penting karena menentukan target pemindaian selanjutnya. Memindai hanya host yang terkonfirmasi aktif lebih efisien, menghasilkan lebih sedikit gangguan, dan membuat hasilnya lebih bermakna. Output dari penemuan host langsung masuk ke fase pemindaian port.

Pemindaian Port: Memetakan Pintu yang Terbuka

Port adalah endpoint bernomor yang digunakan layanan jaringan untuk berkomunikasi. Setiap koneksi TCP atau UDP melibatkan port sumber dan port tujuan. Layanan mendengarkan pada port tertentu sesuai konvensi: server web biasanya mendengarkan pada port 80 untuk HTTP dan port 443 untuk HTTPS, server SSH pada port 22, server FTP pada port 21, server DNS pada port 53, dan seterusnya untuk ratusan layanan terkenal. Port yang terbuka berarti layanan sedang mendengarkan dan menerima koneksi. Port yang tertutup berarti tidak ada layanan yang mendengarkan tetapi host dapat dijangkau. Port yang difilter berarti firewall atau perangkat penyaringan paket lainnya memblokir paket probe.

Nmap menentukan status port dengan mengirimkan paket probe dan menganalisis respons — atau tidak adanya respons. Mekanismenya berbeda tergantung pada jenis pemindaian. Output utamanya adalah daftar port yang diklasifikasikan: terbuka, tertutup, atau difilter, dengan layanan yang kemungkinan berjalan pada setiap port yang terbuka.

Perilaku default Nmap adalah memindai 1.000 port yang paling sering digunakan, pilihan praktis untuk sebagian besar skenario pemindaian. Memindai semua 65.535 port TCP yang mungkin atau ruang port UDP yang sama besarnya membutuhkan waktu yang jauh lebih lama, tetapi Nmap mendukung ini dengan flag -p- untuk situasi di mana cakupan komprehensif diperlukan.

Deteksi Layanan dan Versi: Apa yang Berjalan dan Seberapa Lama Masa Pakainya

Mengetahui bahwa port 80 terbuka pada sebuah host memberi tahu kita bahwa ada sesuatu yang sedang mendengarkan di sana. Deteksi layanan dan versi memberi tahu kita apa sesuatu itu, yang merupakan informasi yang jauh lebih berguna. Dengan flag -sV, Nmap mengirimkan probe tambahan ke port yang terbuka dan menganalisis responsnya untuk mengidentifikasi tidak hanya protokol layanan tetapi juga software dan versi spesifik yang menangani koneksi.

Database deteksi versi Nmap berisi tanda tangan untuk ribuan layanan dan aplikasi. Ia dapat membedakan antara berbagai software server web (Apache, Nginx, IIS, LiteSpeed), mengidentifikasi versi spesifik server database, mengenali implementasi SSH dan nomor versinya, mendeteksi server aplikasi dan middleware, dan mengidentifikasi ratusan layanan lain dengan akurasi yang luar biasa. Informasi versi yang dihasilkannya seringkali cukup tepat untuk segera menentukan apakah suatu layanan menjalankan versi yang diketahui rentan, yaitu sebuah informasi penting yang menjadi inti dari alur kerja penilaian kerentanan apa pun.

Informasi versi layanan juga sangat penting untuk memahami seperti apa infrastruktur organisasi sebenarnya dibandingkan dengan apa yang dikatakan dokumentasi atau manajemen konfigurasi. Menemukan bahwa layanan yang seharusnya sudah dinonaktifkan masih berjalan, atau bahwa server menjalankan versi dua versi utama di belakang versi terbaru, adalah jenis temuan yang membuat pemindaian jaringan berharga melebihi apa yang dapat diungkapkan oleh audit berbasis kertas.

Deteksi Sistem Operasi: Mengidentifikasi Host Secara Khas

Sistem operasi yang berbeda mengimplementasikan tumpukan TCP/IP dengan cara yang sedikit berbeda — nilai TTL default yang berbeda, ukuran jendela TCP yang berbeda, respons yang berbeda terhadap kombinasi flag yang tidak biasa, perilaku yang berbeda saat menerima paket yang salah format. Perbedaan-perbedaan ini membentuk sidik jari yang dapat digunakan Nmap untuk mengidentifikasi sistem operasi host jarak jauh tanpa komunikasi langsung dengan lapisan aplikasi sistem operasi.

Dengan flag -O, Nmap mengirimkan serangkaian probe yang dirancang untuk mendapatkan respons yang mengungkapkan karakteristik tumpukan TCP/IP ini dan membandingkan sidik jari yang dihasilkan dengan database tanda tangan sistem operasi yang dikenal. Hasilnya adalah daftar kecocokan sistem operasi yang diberi peringkat probabilitas — "Linux 4.15 - 5.6 (keyakinan 96%)" atau "Windows Server 2019 (keyakinan 92%)" atau "Cisco IOS 15.x (keyakinan 89%)." Informasi ini sangat berharga untuk penilaian keamanan karena sistem operasi yang berbeda memiliki profil kerentanan, siklus patch, dan persyaratan pengerasan yang berbeda, dan mengetahui apa yang kita hadapi sangat penting untuk menilai risiko dengan benar.

Deteksi OS tidak sempurna — mesin virtual, kontainer, penerjemahan alamat jaringan, dan penyaringan paket semuanya dapat membingungkan atau mengalahkannya — tetapi sangat akurat terhadap host dengan konektivitas IP langsung dan tanpa manipulasi paket di jalurnya.

Jenis Scan Nmap: Detail Teknis

Scan TCP SYN (Stealth Scan)

Scan TCP SYN, yang dipanggil dengan -sS, adalah jenis scan default Nmap saat dijalankan dengan hak akses root atau administrator, dan sejauh ini merupakan yang paling umum digunakan. Disebut "stealth scan" karena tidak menyelesaikan jabat tangan TCP tiga arah yang dibutuhkan oleh koneksi normal, yang berarti upaya koneksi tidak pernah dicatat oleh sebagian besar pencatatan tingkat aplikasi.

Untuk memahami alasannya, kita perlu memahami jabat tangan TCP tiga arah. Koneksi TCP normal dimulai ketika klien mengirimkan paket SYN (sinkronisasi) ke server. Jika suatu layanan sedang mendengarkan pada port target, server akan merespons dengan SYN-ACK (synchronize-acknowledge). Klien kemudian mengirimkan ACK (acknowledge), menyelesaikan proses jabat tangan, dan komunikasi dimulai. Dalam pemindaian SYN, Nmap mengirimkan paket SYN awal tetapi, setelah menerima SYN-ACK, segera mengirimkan paket RST (reset) alih-alih menyelesaikan proses jabat tangan. Koneksi tidak pernah terjalin, yang berarti banyak sistem pencatatan—terutama pencatat tingkat aplikasi yang hanya merekam koneksi yang sepenuhnya terjalin—tidak pernah melihatnya.

Respons terhadap SYN awal memberi tahu Nmap status port. SYN-ACK berarti port terbuka. RST berarti port tertutup. Tidak ada respons, atau pesan ICMP tidak terjangkau, berarti port difilter. Scan SYN cepat, relatif tersembunyi, dan tidak memerlukan interaksi lapisan aplikasi apa pun, menjadikannya pilihan serbaguna terbaik untuk sebagian besar skenario scan.

Scan Koneksi TCP

Scan Koneksi TCP, yang dipanggil dengan -sT, menyelesaikan jabat tangan tiga arah penuh untuk setiap port yang diperiksa. Ini adalah jenis scan yang digunakan ketika Nmap dijalankan tanpa hak akses root atau administrator, karena pembuatan paket mentah (seperti yang dibutuhkan pemindaian SYN) memerlukan akses istimewa ke antarmuka jaringan. Scan Koneksi menggunakan panggilan sistem connect() standar sistem operasi, yang dapat digunakan oleh proses tanpa hak istimewa apa pun.

Kelemahannya adalah koneksi yang selesai dicatat oleh server aplikasi dan sistem operasi, sehingga scan Koneksi TCP jauh lebih mudah dideteksi daripada scan SYN. ​​Scan ini juga sedikit lebih lambat karena perjalanan bolak-balik tambahan yang diperlukan untuk menyelesaikan dan kemudian menutup setiap koneksi. Untuk skenario scan di mana peningkatan hak akses tidak memungkinkan atau tidak tepat, scan Koneksi TCP adalah alternatif yang praktis, tetapi harus digunakan dengan kesadaran bahwa scan ini meninggalkan lebih banyak jejak daripada pemindaian SYN.

Scan UDP

Scan UDP, yang dipanggil dengan -sU, menangani protokol transport utama lainnya. Banyak layanan penting berjalan pada UDP daripada TCP, yaitu seperti DNS (port 53), SNMP (port 161), DHCP (port 67/68), NTP (port 123), SYSLOG (port 514), TFTP (port 69), dan lainnya. Scan yang hanya mencakup port TCP akan melewatkan layanan-layanan ini sepenuhnya, yang dapat mengakibatkan penilaian keamanan yang tidak lengkap dan kerentanan yang terlewatkan.

Scan UDP pada dasarnya lebih menantang daripada scan TCP karena UDP adalah protokol tanpa koneksi tanpa mekanisme jabat tangan. Nmap tidak dapat mengandalkan respons yang dapat diprediksi untuk menentukan status port. Jika port UDP terbuka dan layanan merespons, Nmap mencatatnya sebagai terbuka. Jika port tertutup, tumpukan IP host biasanya merespons dengan pesan ICMP Port Unreachable, yang diinterpretasikan Nmap sebagai tertutup. Jika tidak ada respons — yang dapat berarti bahwa port terbuka dengan layanan yang tidak merespons probe, atau bahwa paket telah difilter — Nmap menandai port sebagai terbuka|difilter, suatu keadaan ambiguitas yang sebenarnya.

Konsekuensi praktis dari mekanisme ini adalah bahwa scan UDP jauh lebih lambat daripada scan TCP. Sebagian besar host membatasi laju pesan ICMP Port Unreachable untuk mencegah banjir ICMP, sehingga Nmap harus menunggu waktu habis pada port yang tidak menghasilkan respons. Memindai seluruh rentang 65.535 port UDP dapat memakan waktu berjam-jam bahkan pada jaringan yang cepat. Dalam praktiknya, pemindaian UDP biasanya dibatasi pada port UDP yang paling penting, seringkali dikombinasikan dengan scan TCP untuk cakupan yang komprehensif.

Scan TCP NULL, FIN, dan Xmas

Ketiga jenis scan ini — yang dipanggil dengan -sN, -sF, dan -sX masing-masing — memanfaatkan ambiguitas dalam spesifikasi TCP untuk menyelidiki status port dengan cara yang dapat menghindari beberapa firewall dan filter paket. Scan NULL mengirimkan paket TCP tanpa flag yang diatur. Scan FIN mengirimkan paket hanya dengan flag FIN yang diatur. Scan Xmas mengirimkan paket dengan flag FIN, PSH, dan URG yang diatur secara bersamaan (nama "pohon Natal" berasal dari metafora visual semua flag yang menyala seperti lampu di pohon).

Menurut spesifikasi RFC 793 TCP, port yang tertutup harus merespons paket anomali ini dengan RST. Port yang terbuka seharusnya tidak menghasilkan respons, karena ini bukan urutan inisiasi koneksi yang valid. Nmap menginterpretasikan respons RST sebagai port tertutup dan tidak adanya respons sebagai port terbuka|terfilter.

Keunggulan utama dari jenis scan ini adalah terkadang mampu lolos dari aturan penyaringan paket sederhana yang hanya memblokir paket SYN, karena scan ini tidak pernah mengirimkan paket SYN. ​​Namun, firewall stateful modern melacak status koneksi dan akan mengidentifikasi serta memblokir paket anomali ini dengan benar. Jenis scan ini juga hanya berfungsi dengan benar terhadap host yang menjalankan implementasi TCP/IP Unix/Linux standar — host Windows tidak mengikuti perilaku RFC 793 untuk paket anomali ini, sehingga hasilnya tidak dapat diandalkan terhadap target Windows.

Scan TCP ACK

Scan TCP ACK, yang dipanggil dengan -sA, tidak mencoba menentukan apakah port terbuka atau tertutup. Sebaliknya, ia memetakan kumpulan aturan firewall. Paket ACK — di luar konteks koneksi yang telah terjalin — bersifat anomali. Host yang menerimanya akan merespons dengan RST terlepas dari apakah port terbuka atau tertutup, selama dapat dijangkau. Perbedaan utamanya adalah antara port yang tidak difilter (host merespons dengan RST) dan port yang difilter (tidak ada respons atau ICMP tidak terjangkau, karena firewall memblokir paket).

Perbedaan ini mengungkapkan topologi firewall daripada ketersediaan layanan. Tim keamanan menggunakan scan ACK untuk memahami apa yang sebenarnya diblokir oleh firewall dibandingkan dengan apa yang lolos, yang berharga untuk audit aturan firewall dan untuk memahami perimeter jaringan sebenarnya yang akan dihadapi penyerang.

Scan SCTP INIT dan Scan Protokol Lainnya

Selain TCP dan UDP, Nmap mendukung scan SCTP (Stream Control Transmission Protocol), yang digunakan dalam aplikasi telekomunikasi dan pensinyalan. Scan SCTP INIT, yang dipanggil dengan -sY, adalah padanan SCTP dari scan TCP SYN, menggunakan chunk SCTP INIT (yang setara dengan SYN) untuk menyelidiki status port.

Nmap juga mendukung scan protokol IP dengan -sO, yang menyelidiki protokol IP mana (TCP, UDP, ICMP, IGMP, dan lainnya) yang didukung oleh host pada lapisan IP, bukan pada tingkat port. Jenis scan yang kurang umum digunakan ini berharga untuk audit protokol jaringan dan untuk memahami kemampuan tingkat IP apa yang diekspos oleh host.

Pengaturan Waktu dan Kinerja: Mengontrol Kecepatan Pemindaian

Salah satu aspek praktis terpenting dalam menggunakan Nmap secara efektif adalah memahami cara mengontrol pengaturan waktunya, yaitu kecepatan pengiriman probe dan menunggu respons. Template pengaturan waktu Nmap, yang ditentukan dengan -T0 hingga -T5, memberikan kontrol kasar atas keseimbangan ini.

Pada tingkat lambat, -T0 (Paranoid) dan -T1 (Sneaky) mengirimkan probe dengan sangat lambat — terkadang hanya satu probe setiap lima atau lima belas menit — dalam upaya untuk menghindari sistem deteksi intrusi yang mengidentifikasi pemindaian port berdasarkan kecepatan kedatangan probe. Mode ini digunakan untuk penilaian yang sangat sensitif di mana deteksi harus diminimalkan dengan segala cara, dengan menerima bahwa pemindaian akan memakan waktu yang sangat lama untuk diselesaikan.

Rentang tengah -T2 (Polite) dan -T3 (Normal, default) menyeimbangkan kecepatan dan kehati-hatian. Mode Polite mengurangi kecepatan untuk mengonsumsi lebih sedikit bandwidth dan sedikit kurang mencolok, sementara mode Normal menggunakan pengaturan waktu adaptif yang menyesuaikan berdasarkan kondisi jaringan dan pola respons yang diamati.

Pada tingkat kecepatan tinggi, -T4 (Agresif) dan -T5 (Gila) mengorbankan kehati-hatian demi kecepatan, dengan asumsi jaringan yang cepat dan andal serta menerima bahwa beberapa host atau port mungkin terlewat karena paket yang hilang akibat laju transmisi yang tinggi. -T4 umumnya direkomendasikan untuk sebagian besar skenario pengujian penetrasi di mana beberapa noise pemindaian dapat diterima dan kecepatan sangat berharga. -T5 jarang tepat digunakan di luar pengujian jaringan lokal yang terkontrol secara sengaja karena kecepatannya sangat agresif sehingga secara rutin menghasilkan hasil yang tidak akurat.

Selain template pengaturan waktu, Nmap menawarkan kontrol pengaturan waktu yang lebih rinci — --min-rate, --max-rate, --min-parallelism, --max-parallelism, dan lainnya — yang memungkinkan pengguna berpengalaman untuk menyesuaikan kinerja secara tepat untuk lingkungan jaringan dan persyaratan pemindaian tertentu.

Mesin Pemrograman Nmap: Otomatisasi dan Intelijen

Apa Itu NSE

NSE adalah framework pemrograman yang tertanam dalam Nmap yang memungkinkan pengguna untuk memperluas fungsionalitas Nmap dengan skrip Lua yang dieksekusi selama scan dan berinteraksi dengan host dan layanan yang ditemukan Nmap. Skrip dapat mengirimkan probe tambahan ke layanan yang ditemukan, mengurai respons protokol yang kompleks, menguji konfigurasi atau kerentanan tertentu, melakukan otentikasi brute-force, menghitung informasi spesifik layanan, dan menghasilkan output yang kaya yang jauh melampaui apa yang dapat diberikan oleh pemindaian bawaan Nmap.

Nmap dilengkapi dengan lebih dari 600 skrip dalam distribusi standarnya, yang mencakup berbagai layanan, protokol, dan pengujian keamanan. Skrip-skrip tersebut dikelompokkan ke dalam kategori yang menjelaskan tujuan dan tingkat risikonya: skrip aman cenderung tidak menyebabkan kerusakan atau menghasilkan beban yang signifikan; skrip intrusif melakukan pengujian yang lebih agresif yang dapat menyebabkan layanan macet atau memicu peringatan keamanan; skrip kerentanan menguji kerentanan spesifik yang diketahui; skrip eksploitasi mencoba untuk benar-benar mengeksploitasi kerentanan; skrip otentikasi menguji otentikasi; skrip brute-force mencoba untuk melakukan serangan brute-force pada kredensial; skrip penemuan mengumpulkan informasi tambahan tentang layanan; skrip DOS menguji kerentanan penolakan layanan (denial-of-service).

Cara Penggunaan Skrip

Skrip dipanggil dengan opsi --script. Kita dapat menentukan skrip individual berdasarkan nama (--script http-headers), menjalankan seluruh kategori (--script safe), atau menggunakan wildcard untuk menjalankan semua skrip yang cocok dengan pola (--script "http-*"). Opsi --script-args meneruskan argumen ke skrip yang menerimanya, memungkinkan penyesuaian perilaku skrip.

Titik awal yang paling umum direkomendasikan untuk sebagian besar penilaian keamanan adalah opsi --script default, atau setara dengan -sC, yang menjalankan semua skrip dalam kategori default. Ini adalah skrip yang dianggap oleh tim pengembangan Nmap sangat berguna dan cukup aman untuk dijalankan secara rutin. Skrip ini mencakup skrip yang mendeteksi konfigurasi layanan umum, mengambil informasi sertifikat SSL, mengidentifikasi versi perangkat lunak di luar apa yang disediakan oleh -sV saja, memeriksa akses FTP anonim, dan melakukan banyak pengujian lain yang berharga di hampir setiap penilaian.

Kemampuan Skrip: Contoh Kemampuan

Untuk layanan web, skrip HTTP Nmap dapat mengambil header server yang mengungkapkan versi software dan detail konfigurasi, menghitung direktori dan file di server web, menguji kerentanan aplikasi web umum seperti cross-site scripting yang tercermin dalam respons HTTP, memeriksa keberadaan file robots.txt dan sitemap, mengidentifikasi kerangka kerja aplikasi web, menguji kerentanan metode HTTP yang memungkinkan metode berbahaya seperti PUT atau DELETE, dan memeriksa konfigurasi SSL/TLS untuk rangkaian cipher yang lemah dan sertifikat yang kedaluwarsa.

Untuk database, terdapat skrip yang dapat menghitung database dan pengguna MySQL, menguji pengaturan otentikasi PostgreSQL, memeriksa instance MongoDB untuk akses tanpa otentikasi, mengidentifikasi instance Redis dan menguji apakah instance tersebut menerima perintah tanpa otentikasi, dan melakukan pemeriksaan serupa terhadap Microsoft SQL Server dan Oracle Database. Kesalahan konfigurasi database — khususnya database yang terekspos ke internet tanpa otentikasi — adalah salah satu kegagalan keamanan yang paling umum dan berdampak besar yang dapat diidentifikasi oleh skrip Nmap.

Untuk layanan otentikasi, skrip brute-force dapat menguji SSH, FTP, Telnet, SMB, RDP, dan banyak layanan lainnya terhadap daftar kredensial umum. Meskipun penggunaan skrip brute-force secara agresif tidak tepat tanpa otorisasi dan dapat mengunci akun atau memicu sistem keamanan, skrip ini merupakan komponen standar dari pengujian penetrasi yang diotorisasi untuk mengidentifikasi kebijakan kredensial yang lemah.

Untuk deteksi kerentanan, skrip seperti smb-vuln-ms17-010 menguji EternalBlue, kerentanan SMB yang dieksploitasi oleh ransomware WannaCry; ssl-heartbleed menguji kerentanan Heartbleed di OpenSSL; dan http-shellshock menguji kerentanan Shellshock bash. Pengujian kerentanan spesifik ini menjadikan Nmap sebagai pemindai kerentanan ringan yang melengkapi platform penilaian kerentanan khusus.

Untuk infrastruktur jaringan, skrip dapat menghitung string komunitas SNMP dan mengambil informasi sistem dari perangkat yang mendukung SNMP, menemukan topologi jaringan melalui analisis OSPF dan protokol perutean, mengidentifikasi perangkat Cisco dan perangkat jaringan lainnya melalui protokol penemuan khusus, dan memeriksa kesalahan konfigurasi umum dalam infrastruktur jaringan yang menimbulkan risiko keamanan.

Menulis Skrip Kustom

Selain lebih dari 600 skrip yang disertakan, framework skrip berbasis Lua dari NSE memungkinkan tim keamanan dan peneliti untuk menulis skrip mereka sendiri untuk kebutuhan khusus. Ekstensibilitas ini adalah salah satu fitur paling ampuh dari NSE — jika pengujian spesifik perlu dilakukan yang tidak dicakup oleh skrip yang ada, pengujian tersebut dapat ditulis sebagai skrip NSE dan diintegrasikan ke dalam alur kerja normal Nmap.

Pengembangan skrip kustom membutuhkan kemahiran dalam Lua, pemahaman tentang API dan ekosistem pustaka NSE, dan pengetahuan tentang protokol dan layanan yang sedang diuji. API NSE menyediakan pustaka untuk operasi protokol jaringan umum — HTTP, DNS, SMB, SSL, dan banyak lainnya — yang menyederhanakan pengembangan skrip baru. Tim keamanan yang bekerja di lingkungan khusus atau dengan protokol kepemilikan sering mengembangkan pustaka skrip internal yang mereka gunakan di seluruh penilaian.

Format Output Nmap: Membuat Hasil Bermanfaat

Format output default — teks yang mudah dibaca manusia dan ramah terminal — sangat cocok untuk penggunaan dan eksplorasi interaktif tetapi tidak ideal untuk pemrosesan terprogram atau penyimpanan jangka panjang. Format output XML, yang dipanggil dengan -oX, menghasilkan XML terstruktur yang dirancang untuk penguraian mesin dan merupakan format yang dikonsumsi oleh sebagian besar alat yang kompatibel dengan Nmap. Format output grepable, yang dipanggil dengan -oG, menghasilkan format berorientasi baris yang ringkas dan mudah diproses dengan grep, awk, dan alat teks Unix lainnya. Format output normal, yang dipanggil dengan -oN, menulis teks yang sama yang mudah dibaca manusia seperti terminal tetapi ke dalam file.

Opsi -oA menulis ketiga format utama secara bersamaan — XML, grepable, dan normal — yang merupakan pendekatan yang direkomendasikan untuk penilaian keamanan terdokumentasi di mana hasilnya perlu diarsipkan dan dianalisis dalam berbagai konteks.

Output XML Nmap dikonsumsi oleh ekosistem luas alat pelengkap. Metasploit Framework dapat mengimpor XML Nmap untuk mengisi basis data host dan layanannya. Security information and event management (SIEM) menyerap hasil Nmap untuk membuat inventaris aset. Platform manajemen kerentanan mengkorelasikan data versi layanan Nmap dengan basis data CVE untuk mengidentifikasi layanan yang rentan. Alat diagram jaringan mengurai output Nmap untuk menghasilkan visualisasi topologi. Kemampuan format XML untuk dibaca mesin inilah yang memungkinkan Nmap berfungsi sebagai sumber data masukan untuk ekosistem alat keamanan yang lebih besar ini.

Zenmap: Antarmuka Grafis

Bagi pengguna yang lebih menyukai antarmuka grafis daripada baris perintah, Zenmap adalah antarmuka pengguna grafis (GUI) resmi Nmap. Zenmap menyediakan lingkungan visual untuk membuat dan menjalankan pemindaian Nmap, melihat hasil dalam beberapa panel bertab, membandingkan hasil antara pemindaian yang berbeda untuk mengidentifikasi perubahan dari waktu ke waktu, dan menelusuri topologi jaringan yang ditemukan dalam tampilan grafik interaktif.

Zenmap sangat berguna bagi pengguna yang sedang mempelajari Nmap dan ingin memahami bagaimana opsi baris perintah dipetakan ke perilaku pemindaian, dan untuk menghasilkan visualisasi topologi yang dapat disertakan dalam laporan keamanan. Baris perintah tetap menjadi antarmuka pilihan bagi pengguna berpengalaman dan untuk alur kerja pemindaian yang diotomatisasi atau menggunakan skrip, tetapi Zenmap menyediakan lapisan aksesibilitas yang berharga bagi tim dengan anggota yang memiliki tingkat pemahaman Nmap yang berbeda.

Contoh Penggunaan: Siapa yang Menggunakan Nmap dan Mengapa

Network Inventory dan Asset Discovery

Bagi administrator sistem dan insinyur jaringan, salah satu tantangan yang paling gigih adalah mempertahankan inventaris yang akurat tentang apa yang sebenarnya ada di jaringan. Dokumentasi menjadi usang seiring dengan penambahan, perubahan, dan penonaktifan sistem. Shadow IT — sistem yang diterapkan oleh tim tanpa persetujuan IT formal — menciptakan aset yang tidak diketahui oleh tim keamanan dan operasional. Infrastruktur cloud aktif dan nonaktif secara dinamis, menciptakan target yang selalu berubah untuk inventaris.

Pemindaian Nmap secara berkala pada rentang IP organisasi memberikan pandangan yang akurat tentang apa yang sebenarnya ada dan dapat dijangkau di jaringan. Menjalankan pemindaian sesuai jadwal — mingguan, harian, atau bahkan terus menerus untuk lingkungan yang sensitif terhadap keamanan — dan membandingkan hasilnya dari waktu ke waktu mengidentifikasi host baru (yang mungkin tidak sah), host yang hilang (yang mungkin menunjukkan penghentian operasional atau kegagalan), dan profil layanan yang berubah (yang mungkin menunjukkan perubahan konfigurasi atau pelanggaran). Banyak organisasi membangun pemindaian ini ke dalam infrastruktur pemantauan mereka, menggunakan output Nmap untuk menghasilkan peringatan ketika perubahan yang tidak terduga terdeteksi.

Penetration Testing dan Operasi Tim Merah

Penetration testing — yaitu upaya resmi untuk membobol sistem organisasi guna mengidentifikasi kerentanan sebelum penyerang melakukannya — menggunakan Nmap di hampir setiap kegiatan. Fase pengintaian pengujian penetrasi dimulai dengan menemukan permukaan serangan: host apa yang ada, layanan apa yang berjalan, versi software apa yang digunakan, dan port apa yang terbuka. Nmap menyediakan semua informasi ini dengan cepat dan andal, memberikan kesadaran situasional yang dibutuhkan penguji penetrasi untuk mengidentifikasi vektor serangan yang paling menjanjikan.

Untuk pengujian penetrasi eksternal, Nmap memindai rentang IP yang menghadap internet milik organisasi untuk mengkarakterisasi permukaan serangan yang terlihat dari internet. Untuk pengujian penetrasi internal dan operasi tim merah, Nmap memindai segmen jaringan internal untuk memetakan lingkungan dari perspektif penyerang yang telah memperoleh akses awal dan mencoba bergerak secara lateral ke target bernilai tinggi.

Skrip pemindaian kerentanan NSE melengkapi pemindaian port dan versi inti dengan menandai kerentanan yang langsung terlihat — CVE kritis yang belum ditambal, layanan yang tidak terautentikasi, konfigurasi default yang berbahaya — yang memerlukan perhatian prioritas. Kombinasi enumerasi layanan dan deteksi kerentanan yang ditargetkan ini menjadikan Nmap sebagai pengali kekuatan yang signifikan untuk efisiensi pengujian penetrasi.

Audit Keamanan dan Kepatuhan

Banyak standar keamanan dan kerangka kerja kepatuhan — PCI DSS, HIPAA, ISO 27001, SOC 2, NIST Cybersecurity Framework — mengharuskan organisasi untuk memelihara inventaris aset jaringan mereka, memahami layanan jaringan apa yang terekspos, dan secara teratur memverifikasi bahwa hanya layanan yang diizinkan yang berjalan. Nmap menyediakan mekanisme teknis untuk melakukan verifikasi ini.

Auditor keamanan menggunakan Nmap untuk memverifikasi bahwa segmentasi jaringan berfungsi sebagaimana mestinya — bahwa host di satu segmen jaringan tidak dapat mencapai layanan di segmen lain yang seharusnya diisolasi darinya. Mereka menggunakannya untuk memastikan bahwa hanya port yang diizinkan yang terbuka pada sistem yang menghadap perimeter, bahwa layanan internal tidak secara tidak sengaja terekspos ke jaringan eksternal, dan bahwa layanan yang dinonaktifkan benar-benar telah dihentikan dan bukan hanya diputus dari perutean aplikasi. Tugas verifikasi ini menghasilkan bukti terdokumentasi tentang kontrol keamanan yang dibutuhkan oleh kerangka kerja kepatuhan.

Vulnerability Assessment Preprocessing

Pemindai kerentanan khusus seperti Nessus, OpenVAS, dan Qualys lebih komprehensif daripada Nmap untuk pengujian spesifik kerentanan, tetapi juga lebih lambat dan lebih boros sumber daya. Alur kerja umum adalah menggunakan Nmap untuk pengintaian awal yang cepat — dengan cepat mengidentifikasi host aktif dan port terbuka dalam suatu cakupan — dan kemudian mengarahkan pemindai kerentanan khusus hanya pada host yang telah dikonfirmasi aktif dan port terbukanya. Pendekatan praproses ini secara dramatis mengurangi waktu yang dibutuhkan untuk pemindaian kerentanan dengan menghilangkan pekerjaan penemuan host dan pemindaian port yang berlebihan yang seharusnya dilakukan oleh pemindai kerentanan.

Output XML dari pemindaian Nmap awal seringkali dapat langsung diimpor ke Nessus, Metasploit, dan alat lainnya, sehingga alur kerja praproses ini terintegrasi dengan mulus ke dalam perangkat keamanan yang ada.

Nmap dan Lingkungan Jaringan Modern

Lingkungan Cloud dan Kontainer

Infrastruktur cloud memperkenalkan pertimbangan khusus untuk pemindaian Nmap. Mesin virtual, kontainer, dan serverless function menciptakan sumber daya sementara yang muncul dan menghilang secara dinamis, membuat pemindaian pada satu titik waktu kurang bermakna dibandingkan pemindaian berkelanjutan atau sering. Penerjemahan alamat jaringan dan penyeimbang beban dapat mengaburkan perbedaan antara host dan layanan individual, membuat pemetaan topologi lebih kompleks. Grup keamanan cloud dan daftar kontrol akses jaringan dapat memblokir probe pemindaian dengan cara yang menghasilkan hasil yang menyesatkan — respons yang difilter mungkin menunjukkan aturan grup keamanan cloud yang tertutup daripada layanan yang sedang down.

Lingkungan kontainer menghadirkan tantangan tambahan karena kontainer biasanya berjalan di belakang penerjemahan alamat jaringan host dan hanya mengekspos port yang dipublikasikan secara khusus, membuat jaringan internal kontainer tidak terlihat oleh pemindai eksternal. Memindai klaster Kubernetes memerlukan pemahaman tentang perbedaan antara server API Kubernetes, port node, penyeimbang beban layanan, dan pengontrol ingress, yang masing-masing menghadirkan permukaan serangan yang berbeda.

Terlepas dari tantangan ini, Nmap tetap menjadi alat andalan untuk mengkarakterisasi permukaan jaringan dari penerapan cloud. Tim keamanan memindai rentang IP yang dihosting di cloud dan titik akhir penyeimbang beban untuk memastikan bahwa hanya layanan yang dimaksudkan yang dapat diakses dari internet, bahwa aturan grup keamanan berfungsi sebagaimana dikonfigurasi, dan bahwa tidak ada layanan yang salah konfigurasi yang secara tidak sengaja terekspos.

Firewall dan Sistem Deteksi Intrusi

Firewall dan intrusion detection system (IDS) modern sangat menyadari tanda tangan pemindaian Nmap dan dapat mendeteksi aktivitas pemindaian, memblokir probe, atau menghasilkan peringatan. Hal ini menciptakan dinamika yang merugikan dalam skenario pengujian penetrasi di mana tujuannya adalah untuk menilai apa yang dapat ditemukan penyerang sebelum memicu sistem pertahanan.

Nmap menyediakan beberapa teknik untuk mengurangi kemampuan deteksi pemindaian: pemindaian umpan yang membuat probe tampak berasal dari beberapa alamat sumber secara bersamaan, paket terfragmentasi yang membagi probe di beberapa fragmen IP dengan harapan bahwa filter paket sederhana akan melewatinya sementara inspeksi mendalam melewatkan kontennya, pemindaian idle yang menggunakan host pihak ketiga sebagai proksi untuk mengirim probe sehingga target tidak pernah melihat lalu lintas dari IP pemindai yang sebenarnya, dan kontrol waktu yang memperlambat laju probe hingga di bawah ambang deteksi tanda tangan IDS berbasis laju.

Kemampuan penghindaran ini sangat berharga untuk pengujian keamanan — khususnya untuk menguji efektivitas pemantauan defensif — tetapi kemampuan ini termasuk fitur Nmap yang paling sensitif dari sudut pandang tanggung jawab, karena dirancang khusus untuk menghindari deteksi.

Jadi, dalam hampir tiga dekade pengembangan berkelanjutan, Nmap tetap menjadi alat pemindaian jaringan terpenting yang ada. Alat lain telah datang dan pergi, dibangun untuk ceruk khusus atau kasus penggunaan tertentu, tetapi tidak ada yang mampu menandingi kombinasi Nmap dalam hal cakupan, kedalaman, akurasi, kemampuan perluasan, dan kepercayaan yang berasal dari pemeliharaan oleh komunitas yang berdedikasi dan digunakan oleh jutaan profesional di seluruh dunia.