* 당신은 Nmap을 네트웍에 침입하는 도구로 생각할 지도 모른다. 처음에 Nmap이 나왔을 때는, 이 툴은 해킹 툴로 사용됐지만, 곧 IT 전문가도 이 툴을 사용하기 시작했다. 왜냐하면,  이 툴은 네트웍에 대한 훌륭한 정보를 제공해 주기 때문이다. IT전문가가 이툴을 사용해서 할 수 있는 일은 다음과 같다.

 – 자신의 네트워크 감사(audit) : 이 애플리케이션을 사용하면, 안전하지 못한 포트를 사용하고 있는 호스트를 빠르게 찾아낼 수 있다.
 – 방화벽 설정 테스트 : Nmap을 사용하면 방화벽이 특정 포트들을 잘 막고 있는지 여부를 확인할 수 있다.
 – 수상한 원격지 시스템 파악 : 비록 당신을 스캐닝한 시스템에 대해 역으로 포트 스캔을 하는 것이 바람직한 것은 아니지만, 이것을 함으로써 누가 당신의 시스템에 침입하려는지를 빠르게 알 수 있다.
 – 라우터와 스위치 설정 검사 : TCP/IP 에는 하나의 echo 요청을 보내서, 모든 호스트가 그것에 응답하게 하는 내장 기능이 있다. 이 기능을 사용하면 모든 호스트가 기본 게이트웨이에 접근할 수 있는지를 테스트 할 수는 있지만, 악의의 사용자가 이것을 악용할 수 있다. 악의적인 사용자는 여러 툴을 사용해서 당신의 네트워크에서 다른 네트워크로 공격하게 할 수 있다.

 그러니까 누군가가 Nmap을 사용해서 당신의 시스템을 스캔할 수도 있다.
 그렇지만 이 툴을 잘만 이용하면 당신의 네트워크를 보호하는데 큰 도움이 된다.

 * Nmap은 단지 포트 스캐너일까?

 Nmap은 본질적으로 GSS(Gnome Service Scan)와 같은 호스트 스캐너이다. 그렇지만 사람들이 Unix 기반의 스캐너 중에서 이 툴을 가장 많이 쓰는 이유는 다음과 같은 부가 기능이 있기 때문이다.

 – 빠른 핑(ping) 및 포트 스캔 기능 : 당신은 시스템이 살아있는지 여부와 어떤 포트를 사용하고 있는지를 알 수 있다.
 – 운영체제 핑거프린팅(fingerprinting) : Nmap은 자신이 스캔하는 호스트의 운영 체제를 추측하는 기능이 있다. 이것은 비록 추측이긴 하지만, 많은 정보에 기반을 둔 추측이므로 매우 정확하다. 왜냐하면, Nmap은 수 많은 운영체제에서 뽑아낸 TCP, UDP, IP 응답 데이터베이스를 갖고 있기 때문이다. Nmap은 원격지 시스템에 특정 패킷을 보내 본 다음, 거기서 돌아오는 응답을 데이터베이스와 비교한다. 운영 체제 벤더들이 TCP/IP를 구현할 때, Request for Commecnts(RFCs)라고 불리는 문서들을 참고한다. 이 문서는 www.faqs.org/rfcs/index.html 에서 구할 수 있다. 그렇지만 이 문서에 따라 구현한 TCP/IP가 각 벤더마다 조금씩 다르다.
 Nmap은 이 차이점을 구분해서 운영 체제를 판단한다.
 – 순서 번호 추측(sequence prediction) : 모든 TCP 통신에서는, 각 시스템이 자신이 보내는 패킷의 순서 번호를 관리한다. 이 순서 번호는 TCP 3-way handshake 과정에서 결정된다. Nmap은 이 순서 번호를 추측할 수 있다. Windows NT 4.0 서비스 팩 5 이전 버전과 같은 시스템에서는, 이 순서 번호가 랜덤 값이 아니었기 때문에 쉽게 추측할 수 있었다. 과거게, 해커들은 이런 시스템들의 간단한 TCP 순서 번호를 추측해서, TCP 연결을 가로채는데 사용했다.
 Nmap은 이런 순서 번호를 추측할 수 있는지를 검사해 준다. 리눅스 최근 버전과 같은 운영체제들은, 순서 번호를 랜덤으로 생성하기 때문에 이 번호를 추측하기가 매우 어렵다.
 – TCP 기반 연결을 다양하게 흉내냄 : TCP 연결을 맺을 때, 일정 시간(수 밀리초)동안 handshake를 수행한다. 많은 방화벽에서는, 특정 내부 시스템으로 향하는 초기 SYN 패킷을 버린다. 왜냐하면 네트워크 관리자들은 외부 호스트에서 내부 호스트로 접속하는 것(방화벽을 통하지 않고)을 바라지 않을 경우가 많기 때문이다. 대부분의 스캐너는 SYN 패킷을 사용해서 검사를 하기 때문에, 중간에 패킷이 버려지는 경우가 많다.
 Nmap은 방화벽에서 허용하는 패킷을 사용해서 포트 스캔을 할 수 있기 때문에, 방화벽 내부에 있는 호스트 들고 검사할 수 있다.
 – 스푸핑(spoofing) 기능 : 많은 네트워크 관리자는 누가 자신의 네트워크를 스캔했는지 알려고 한다. Nmap의 스푸핑 기능을 사용하면, 악의적인 사용자는 자신의 시스템을 다른 호스트인것처럼 가장할 수 있다. 그래서 시스템 관리자들은 무고한 사람을 공격자로 착각할 수도 있다. IT 전문가들은 이 기능을 사용해서 방화벽 구성을 테스트할 수 있다.
 – 스캔 속도와 순서 조절 기능 : 많은 침입 탐지 시스템(Instrusion Detection System, IDS)애플리케이션은 네트워크 호스트들이 순서대로 스캔 공격을 받고 있을 때 경고를 발생한다. 또, 몇몇 호스트가 짧은 시간 안에 스캔을 받을 경우에도 경고를 발생한다. Nmap을 사용하면, 당신은 공격을 천천히 할 수 있다. 악의적인 사용자는 이 기능을 사용해서 침입 탐지 시스템을 피할 수 있다.
 IT 전문가는 방화벽이나 침입 탐지 시스템을 감사(audit)하는데 이 기능을 사용한다.
 – 출력을 텍스트 파일에 저장하는 기능 : 이 기능을 사용하면, Nmap의 출력을 다른 프로그램에서도 사용할 수 있고, 나중을 위해 저장해 둘 수도 있다.
 – 텍스트 파일에서 입력 정보를 읽는 기능 : 이 기능을 사용하면 입력 정보를 텍스트 파일로부터 읽을 수 있다.

 * Nmap을 받아 설치하기

 Nmap은 별다른 라이브러리를 사용하지 않기 때문에, 여러 Unix 시스템에서 동작할 수 있다. 일반적으로, Red hat 시스템에서는 tarball보다 RPM을 사용하는 것이 좀 더 안정적이다. Nmap의 경우는, 컴파일시 줄 수 있는 옵션이 없기 때문에, tarball 파일을 쓰는 장점이 없다. 그래서 당신의 배포판용 RPM이 나와 있다면 RPM을 사용하는 것이 좋다. 참고로 우분투에서는 다음의 명령어를 사용한다.

 $ sudo apt-get install nmap

 * 자주 사용하는 Nmap 옵션

 Nmap의 장점의 하나는, 여러 용도로 사용할 수 있다는 것이다. 당신은 이 툴을 내부 네트워크에 있는 시스템의 포트를 검사할 때 사용할 수도 있고, 외부 네트워크에 있는 원격지 시스템의 운영체제를 알아내느느데 사용할 수도 있다.이 툴을 사용해서 시스템을 한번만 검사할 수도 있고, 대화형 모드에서 여러번 검사할 수도 있다.
 다음절에 나오는 두가지 스캔 옵션은, 다양한 스캐닝 어플리케이션에서 많이 사용하는 것들이다. 그렇지만 이 옵션들은 SYN을 사용하기 때문에 방화벽에서 버려질 수 있다. 또한, 방화벽이나 IDS 애플리케이션에서 이 스캔 정보를 로그로 기록할 수도 있다.

 P0 : 기본적으로 Nmap은 ICMP 메시지를 각 원격지 호스트에 전송한다. 이 옵션을 사용하면 Nmap은 ICMP 메시지를 전송하지 않는다. 이 옵션은 ICMP 메시지에 응답하지 않는 시스템들이 실제로 네트워크와 연결돼 있지 않은지 검사할 때 유용하다. 당신이 이 옵션을 사용할 때는, Nmap에서 제공하는 정보가 정확하지 않을 수도 있다는 것을 염두에 두어야 한다.

 -sP : Nmap에서 오직 ICMP 만을 사용하여 표준 핑(ping) 스캔을 하게 한다. Nmap 옵션중에, 앞에 -s가 분은 것은 스텔스(stealth)옵션이라고 하는데, 이것은 방화벽이나 IDS에 발각되지 않게 패킷을 보내는 것을 의미한다.

 -PT : Nmap에서 다른 호스트를 핑(ping)할 때, ICMP대신 TCP 패킷을 사용하게 한다. 이 옵션은 방화벽에서 ICMP와 TCP 패킷을 제대로 막는지 테스트할 때 유용하게 쓸 수 있다. 당신이 -PT 옵션을 사용하면, Nmap은 TCP ACK 패킷을 보낸다. 그리고 상대방 호스트에서 RST 패킷을 보내기를 기다린다. 많은 방화벽에서는 ACK와 RST 패킷을 지나가도록 허용하기 때문에, 당신은 스캔을 잘 수행할 수 있을 것이다.

 -sT : 원격지 시스템의 각 포트에 완전한 TCP 연결을 맺는다.(3-way handshake를 모두 수행한다.)

 -sS : TCP의 SYN 기능을 사용한다. TCP에서 연결을 시작할 때, 한 호스트는 다른 호스트에게 연결을 원한다는 의미로 SYN 패킷을 보낸다. Nmap이 SYN 패킷을 보내면, 이 때는 half-open 연결이 성립된다.(-sT에서 수행하는 3-way handshake를 모두 수행하지 않았다는 뜻이다.). 다른 호스트가 그 연결을 계속 진행하고 싶지 않다는 메시지를 보낼 경우에도, Nmap은 포트가 열려 있는지를 판단할 수 있는 많은 정보를 얻을 수 있다.

 -O : Nmap이 운영 체제 버전을 추측하도록 한다. 이 기능을 사용하면 악의적인 사용자들이 호스트의 운영체제를 파악할 수 있고, 그 운영체제와 관련된 공격들을 수행할 수 있다. 그래서 이 기능은 Nmap을 유명하게 만든 이유의 하나가 되었다. Nmap은 운영 체제 서명(Signature)데이터베이스를 사용한다. Nmap은 스캔을 한 뒤 정보를 얻어서, 데이터베이스에 있는 정보와 비교한다. Nmap의 개발자들은 이 서명(Signature) 데이터베이스를 최신의 것으로 유지하기 위해 많은 노력을 하고 있다. 각 운영 체제마다 TCP/IP 구현이 조금씩 다른데, Nmap은 이 정보를 운영체제를 판단하는 기준의 하나로 사용한다.

 -v : Nmap을 verbose 모드로 만든다. 이 모드에서는 Nmap이 원격지 호스트에 보내는 정보, 원격지 호스트에서 응답하는 정보들을 자세히 알 수 있다. 당신이 -v -v 옵션을 사용하면, Nmap에서는 더 많은 정보를 출력할 것이다.

 * 적용 예제

 당신의 로컬 네트워크에 있는 호스트 중에서 동작하고 있는 호스트들을 알고 싶다고 하자. 당신의 네트워크 주소가 10.100.100.0 이고, 서브넷 마스크가 255.255.255.0 이라고 하자.
 그러면 다음의 명령을 실행하면 된다.

 $ nmap -sP 10.100.100.0/24

 당신이 -v 옵션을 사용하면, 동작하지 않는 시스템의 목록도 볼 수 있따. 만약 원격지 호스트에 핑(ping)을 보내려 하는데 중간에 있는 라우터나 방화벽에서 ICMP 패킷을 허용하지 않는다면, -sT 옵션을 사용하는 것이 좋다.
 다음 명령은 TCP half-open 스캔을 수행하고, 운영 체제의 정보를 알아낸다. 이 때, 호스트에 핑(ping)을 보내지는 않는다.

 $ nmap -sS -O -p0 host

 당신이 -v 옵션을 추가하면, Nmap이 어떻게 동작하는가에 대한 더 많은 정보를 얻을 수 있다.

 * 전체 네트워크와 서브넷 스캔하기

 당신이 전체 네트워크를 스캔하고 싶을 때는, Nmap에서 지원하는 와일드 카드(*)와 Classlwss Internet Domain Routing(CIDR) 표기법을 사용하면 된다. Nmap은 표준 와일드 카드인 “*.”을 사용한다. CIDR 표기법이란, class C 서브넷 마스크인 255.255.255.0 을 나타내기 위해 /24 를 사용하는 방법이다. 이 숫자의 의미는, 서브넷 주소의 시작 비트부터 24개가 1 이라는 뜻이다. 나머지 8bit 는 네트워크의 각 노드를 구분하는데 사용된다. 172.16.0.0/18 은 서브넷은 하나의 class B 네트워크(172.16)을 4개의 서브넷(172.16.0, 172.16.64, 172.16.128, 172.16.192)으로 나눈다.
 이 때, 각 서브넷은  14 bit의 노드 번호를 사용할 수 있다.

 $ nmap -P0 -oN output.txt 172.167.0.0/16 .”*.*”
 $ nmap -P0 -oN output.txt 192.168.0.0/24

 위 예제와 같이, 와일드 카드를 사용할 때는 큰 따옴표를 사용해서 묶어야 한다. 그렇지 않으면 리눅스는 이것을 파일 이름 와일드 카드로 해석하기 때문에, 현재 디렉토리에 있는 파일 중 이 패턴에 맞는 파일을 덮어 쓸 수 있다. 당신이 원한다면 작은 따옴표를 써도 된다.
 위 명령들은 특정 네트워크 전체를 스캔한 뒤, 결과를 output.txt에 저장한다. CIDR 표기법을 사용하면 커스텀(custom) 서브넷 마스크를 사용하는 네트워크를 스캔할 수 있다. 예를 들어, 당신의 네트워크 주소가 172.16.0.0/8 이고, 서브넷 마스크가 255.0.0.0 이라 하자.
 이 서브넷을 스캔하려면, 다음 명령을 실행하면 된다.

 $ nmap -P0 -oN output.txt 172.168.0.0/8

 * 선별적인 스캔

 당신이 전체 서브넷에 있는 특정 포트들만을 검사하고 싶다고 하자. 그러자면 웹 서버나 DNS 서버와 같은, 특정 서비스만을 선ㅌㅊ택해서 스캔할 수 있더ㅏ. 다음 명령을 실행하면 된다.

 $ nmap -sX -p 22,53 -oN acornpub.txt 192.168.0.0/24

 * 참고

 다음 운영체제들은 “Xmas”스캔에 제대로 응답하지 않는다.(Xmas 스캔이란, Nmap에서 사용하는 스캔 방법의 하나로, TCP의 여러 bit(FIN, PSH, URG 등)를 모두 설정한 패킷을 보내는 방법이다. 이렇게 모든 비트를 설정한 모양이, 크리스마스 트리에 붙어 있는 전구 모두에 불이 켜진 모습과 비슷하다고 해서 Xmas 스캔이 됐다.) 왜냐하면, 이들은 표준 RFC를 따르지 않기 때문이다.
 Microsoft, CISCO, FreeBSD나 NetBSD가 아닌 모든 BSD 시스템, IRIX, HP/UX

 * 스텔스 기능을 추가
 위에서, Nmap이 스캔하는 것을 방화벽에 들키지 않기 위해 스텔스(stealth)기능을 사용하는 것을 봤다. 위에서 소개한 방법 말고도, 여러가지 스텔스 옵션이 있다.

 -sF : FIN 비트가 설정된 TCP 패킷을 사용해서, Nmap은 호스트의 모든 포트에 패킷을 보낼 수 있다.

 -sX : “Xmas 트리” 옵션으로 불리는데, 이 옵션을 사용하면 TCP의 FIN, URG, PUSH 플래그가 설정된다.

 -sN : “Null 스캔”이라 불린다. 이 옵션을 사용하면 TCP의 모든 플래그를 끈 패킷을 보낸다. 만약 시스템에서 이 패킷에 대한 응답을 하면, Nmap은 이 호스트가 동작중인지 알 수 있고, 돌아온 패킷을 분석하여 여러 정보를 얻어낼 수 있다. Microsoft 시스템들은 이 패킷에 응답하지 않기 때문에, 이 옵션을 사용하면 Microsoft 시스템과 다른 시스템들을 구분할 수 있다.

 -D : 이 옵션을 사용하면 스캔의 출발지 주소를 당신이 지정하는 주소들로 바꿀 수 있다. 해커들은 이 옵션을 사용해서, 시스템 관리자들이 스캔 공격의 출발점을 알지 못하게 한다. 당신이 관리자라면, 이 기능을 사용해서 침입 탐지 시스템이나 방화벽이 스캔 공격을 잘 찾아내는지 테스트할 수 있다. -D 옵션을 사용할 때에는, 가짜 호스트들을 쉼표로 구분해야 한다.

 당신이 ME 옵션을 지정한다면, 당신의 시스템 정보가 IDS 로그에 남을 가능성을 더욱 적어진다.

 192.168.3.0/24 네트워크를 스캔하려고 하는데, 이 네트워크에 있는 방화벽에서 모든 SYN 패킷을 거부한다면, 다음 명령을 실행한다.

 다음 명령은 위와 똑같지만, 스캔 공격을 하는 시스템의 주소를 다른 호스트의 주소로 바꿔 놓는다.

 Nmap을 사용하면서, -sX와 -sN 옵션이 당신이 스캔하고자 하는 호스트에 맞는지를 테스트하기 바란다. TCP 옵션을 사용할 때는, 한번에 하나의 옵션만을 사용할 수 있다는 것도 알아두자.
 그러니까 당신은 한 명령에서 -sF 와 -sS 옵션을 모두 사용할 수 없다.

 * 텍스트 파일에 저장하고 텍스트 파일에서 읽기

 스캔을 하면 그 결과가 상당히 길 때가 있다. 예를 들어, 당신이 253개의 호스트가 있는 네트워크의 모든 포트를 스캔한다면, 당신은 화면에서 그 결과를 다 볼 수 없을 것이다. 결과가 너무 많기 때문에, 터미널을 아무리 스크롤해도 모자랄 것이다.
 Nmap에서는 다음과 같은 옵션을 사용해서 출력을 텍스트 파일에 저장할 수 있다.
 -oN filename : 스캔 결과를 텍스트 파일에 저장해서 나중에 볼 수 있게 한다.
 -oM filename : 스캔 결과를 바이너리 포맷으로 저장한다. 당신이 네트워크를 스캔한 다음, 이 결과 파일을 Cheops나 IDS에서 사용할 수 있다.
 -iL : Nmap에서 텍스트 파일을 읽어들이게 한다. 예를 들어, 당신이 여러 IP주소나 호스트 이름이 저장된 텍스트 파일을 갖고 있다면, 명령행에서 주소를 지정하는 대신 이 파일 이름을 지정할 수 있다.
 예를 들어, 당신이 Nmap 출력을 file.txt에 저장하고 싶을 때, 다음과 같이 실행하면 된다.

 * 방화벽과 침입 탐지 시스템 테스트

 당신은 방화벽이나 IDS가 설치된 네트워크에서 Nmap을 사용하고 싶을 때도 있을 것이다. 그럴 경우에, 당신의 스캔 정보가 쉽게 탐지되지 않고, 또 방화벽에서 버려지지 않기를 바랄 것이다.
 이런 경우 다음 옵션을 사용할 수 있다,
 -f : 스캔하는 패킷을 작은 IP 조각으로 나눈다. 이렇게 하면, 방화벽에서 패킷들을 잡아내서 로그로 남기기가 어려워진다.
 -S address 이 옵션을 사용하면, 스캔 공격이 시작된 출발지 주소를 지정할 수 있다. 원래 이 옵션을 만든 이유는, 어떤 운영체제는 자신의 주소를 Nmap에게 알려주지 않았기 때문이다. 그렇지만 이 옵션은 자신의 주소를 속이는 데도 사용될 수 있다. 일반적으로, 이 옵션을 사용해서 공격 출발지 주소를 속일 때, -e -P0 옵션을 같이 사용한다. -e 옵션은 사용할 인터네이스를 지정한다(보통은 eth0). -P0 옵션은, 앞에서 본 것처럼 핑(ping)스캔을 수행하지 않도록 한다.
 -D 옵션도 스캔 공격의 출발지 주소를 속일 수 있다는 면에서 이 옵션과 유사하다.
 -g port : 기본적으로 Nmap은 스캔 공격을 하기 위해 임시 포트(즉, 1024 위의 포트)를 사용한다. 많은 방화벽에서는 이 포트들을 막고 있다. 그렇지만 방화벽에서 내부로 들어오는 트래픽 중 특정한 포트(80, 110, 53과 같은)를 허용할 때도 많다. 이 옵션을 사용하면 방화벽에서 허용하는 포트를 사용할 수 있다. 그래서 방화벽을 통과해서 스캔 공격을 할 수 있다.

 * 스캔을 공격한 출발지 주소 속이기

 당신 시스템의 IP 주소가 192.168.3.4 라고 하자. 그런데 당신을 스캔 공격을 할 때 출발지 주소를 20.20.20.20으로 속이고 싶다. 이렇게 주소를 속여서 pchero라는 시스템을 스캔하려면 다음과 같이 한다.

 -P0(ping을 보내지 않음)와 -sS(TCP SYN 스텔스 포트 스캔) 옵션을 사용하면, Nmap은 ping 패킷을 보내지 않고 TCP 기반의 스캔을 한다. -sS 옵션을 사용했기 때문에, 방화벽에서 스캔을 탐지할 확률이 낮아진다. 물론, 많은 방화벽에서 초기 SYN 패킷을 필터링 하긴 하지만.
 스캔을 할 때, 출발지 포트를 53으로 하고 싶다면 다음 명령을 실행한다.

 * 스캔 속도 조절하기

 많은 침입 탐지 시스템에서는, 포트 스캔을 발견할 경우 경고를 발생시킨다. 당신은 Nmap의 -T 옵션을 사용해서 IDS를 테스트 할 수 있다. 이 옵션을 사용하면, 패킷을 일정 시간 간격으로 보낸다. 이렇게 긴 시간에 걸쳐서 스캔을 수행하면, IDS는 스캔을 판단하기가 어려울 것이다.
 이 옵션에 인자로 올 수 있는 것은 다음의 6개 이다.
 paranoid : Nmap이 패킷을 5분 간격으로 보내게 한다. paranoid 대신 숫자 0을 써도 된다.
 sneaky : Nmap이 패킷을 15초 간격으로 보내게 한다. sneaky 대신 숫자 1을 써도 된다.
 plite : Nmap이 패킷을 0.4초 간격으로 보내게 한다. polite 대신 숫자 2를 써도 된다.
 normal : 기본 설정으로, 목적지 호스트로부터 응답을 받는 즉시 다른 패킷을 보낸다. normal 대신 숫자 3을 써도 된다.
 aggressive와 insane : 이 옵션들을 사용하면 스캔을 빠르게 수행할 수 있다. 그래서 핑(ping)이나 포트 스캔을 빠르게 하고자 할 때는 이 옵션을 사용할 수 있다. 그렇지만 이 옵션을 사용하면 너무 많은 트래픽을 발생시켜서 네트워크에 많은 부담을 준다는 것을 염두에 두기 바란다. aggressive 대신 숫자 4를 사용해도 되고, insane 대신 숫자 5를 사용해도 된다.

 * Paranoid 옵션으로 스캔하기.

 특정 호스트에 대해 paranoid 스캔을 하려면, 다음 명령을 실행한다.

 이 스캔은 시간이 많이 걸린다는 것을 알아두자. 왜냐하면, paranoid 옵션은 패킷을 5분 간격으로 보내기 때문이다.

 * Nmap을 대화형(interactive)모드에서 사용

 지금까지, 당신은 Nmap을 사용해서 하나의 명령만을 실행했다. Nmap의 대화형(interactive) 모드를 사용하면, 다음과 같은 두 가지 일을 할 수 있다.

 Nmap을 대화형 모드로 실행하려면 다음 명령을 실행한다.

 그러면 당신은 다음 프롬프트를 보게 될 것이다.

 여기서, 당신은 Nmap 명령들을 실행할 수 있다.
 대화형 모드는 paranoid 옵션을 사용할 때 매우 유용하다. 예를 들어, 당신은 몇 개의 paranoid 스캔을 동시에 진행할 수 있다. 이 작업은 며칠이 걸릴지 모르는 일이다. 그래서 이것을 백그라운드에서 실행한 다음, 나중에 스캔이 끝났을 때 결과 파일만 확인하면 된다. 이런 스캔을 하려면 상당히 오랜 시간이 필요하기 때문에, 해커의 입장에서는 스캔을 수행하는 프로세스를 숨길 필요가 있다. 시스템 관리자들은, Nmap의 대화형 모드에서 제공하는 스푸핑 기능을 사용할 일은 없을 것이다.
 그렇지만 관리자들은 겉으로는 정상적인 것처럼 보이는 프로세스도 Nmap 프로세스일 가능성이 있다는 사실을 알아둬야 한다.