Alcance y exposición, qué aparatos entran

Un aviso de fabricante casi nunca afecta a todo un producto. Dice en qué ramas, antes de qué versión corregida y, muchas veces, con qué función activada. Si la falla vive en el portal web de acceso remoto y el aparato lo tiene apagado, la versión vieja no es explotable por esa vía. Declararlo afectado infla el trabajo de urgencia y deja menos tiempo para los que sí lo están.

Eso no significa ignorarlo: un aparato con versión vieja y función apagada se anota y se actualiza en el ciclo normal, porque alguien puede encender la función mañana. Lo que cambia es el orden. Esta es la regla 2 del leeme.txt del escritorio.

Abre aviso-corvalis.txt y dispositivos.csv. Aplica la regla 1 del equipo: rama listada, versión anterior a la corregida (o rama sin corrección) y portal remoto activo. Mira rama por rama: 9.2 se corrige en una versión, 9.1 en otra, y 9.0 no tiene corrección.

El extracto kev-extracto.txt tiene los campos de una entrada del catálogo de vulnerabilidades explotadas; sirve para saber que el aviso es de emergencia, no para contar aparatos.

De los aparatos afectados, uno está en una rama que el fabricante ya no actualiza. Para ese aparato el parche no existe y la única vía es reducir la exposición mientras se sustituye. Un analista de vulnerabilidades no lo cierra como «pendiente de parche»: lo reclasifica como «sin corrección posible» y exige una mitigación con fecha y un plan de reemplazo.

Al cruzar las columnas aparece un aparato que no está afectado por este aviso: tiene una versión anterior a la corregida, pero el portal está apagado. Aun así, otra columna lo señala: su interfaz de administración responde desde internet. Una consola de gestión alcanzable desde fuera es un riesgo en sí, con o sin aviso, y la regla 3 del equipo manda registrarlo como hallazgo propio.

El inventario dice lo que se cree; el barrido externo de los rangos propios, hecho con autorización del equipo de redes, dice lo que de verdad responde. Cruzar la dirección pública del aparato de la tarea anterior con barrido-externo.csv confirma el hallazgo con un dato ajeno a la tabla de configuración. Si el barrido y el inventario no coinciden, manda el barrido y se corrige el inventario.