Alcance frente a explotabilidad

El alcance de un hallazgo es cuántos activos tienen el componente afectado. La explotabilidad en tu red es si, en cada uno, se cumple lo que el fallo necesita: una función activada, un puerto accesible, una cuenta, que un usuario haga algo. El módulo 5 habló de la explotabilidad en general, la que miden los catálogos del mundo. Esto es lo local: lo que el aviso exige frente a lo que tu configuración tiene.

Un alcance enorme con precondiciones sin cumplir es mucho ruido. Un alcance pequeño con todas las precondiciones cumplidas en un activo expuesto es un problema de esta semana.

Abre el panel de alcance y precondiciones. La tabla alcance trae, por hallazgo, los equipos afectados y en cuántos de ellos se cumple la precondición. La tabla avisos dice qué exige cada uno: una función de plantillas activada, un puerto de administración accesible, un módulo habilitado, un usuario con la consola abierta.

La tercera consulta deja solo los hallazgos con cero equipos que cumplan su precondición.

Otro hallazgo, el CQ-12, afecta a catorce equipos pero solo en dos se cumple lo que exige: tiene el módulo habilitado. El resto, aunque tenga la versión afectada, no. De esos dos, uno está en una red interna y otro se publica a internet a través de un proxy. La configuración real y la exposición se cruzan en la tabla ejemplares.

La quinta consulta ya aplica el cruce: precondición cumplida y exposición a internet.

Un hallazgo cuya precondición no se cumple en tu red no es un falso positivo: el módulo 6 los reservó para fallos que no existen, y este existe. El componente vulnerable está ahí, y lo único que lo protege hoy es una configuración. Si alguien activa la función mañana, el hallazgo vuelve a importar. Por eso se registra con prioridad baja, con la precondición anotada y con una condición de revisión que se dispare si esa configuración cambia.