Pensato anch'io... in pratica nmap dovrebbe mandare dei pacchetti alle porte in un determinato modo e queste dovrebbero rispondere (l'ho detta male e forse anche sbagliata lo so, sono in fase di apprendimento....). L'admin può fare in modo che le porte aperte non rispondano alla chiamata di nmap per cercare di non dare info sul sistema.
Se non sbaglio però esiste una switch di namp che fa in modo che le porte da cui si ha risposta siano quelle chiuse (che quindi vengono ignorate nell'output), e quelle che non rispondono vengano segnate come open nell'output.... solo che non ricordo qual è la switch......