Capas y servicios que ve un escáner

Un escáner de puertos pregunta y mira cómo le contestan. Hay tres capas de evidencia, de menos a más:

 escáner ──► ¿el equipo está ahí?          (red)         responde o no
         ──► ¿el puerto contesta, y cómo?   (transporte)  open / closed / filtered
         ──► ¿qué programa habla detrás?    (aplicación)  banner, versión

En transporte, los estados que informan los escáneres habituales son estos. open: algo aceptó la conexión. closed: el equipo contestó que ahí no escucha nadie. filtered: no llegó respuesta, porque algo en medio —un cortafuegos, una lista de control de acceso— descartó el tráfico, y el escáner no puede saber si hay un servicio detrás. En UDP no hay conexión que aceptar, así que un puerto sin respuesta se informa como open|filtered: puede estar abierto o filtrado, y no se distingue.

Abre la corrida externa de Mutual Pedregal. Cada fila es un puerto de uno de sus tres activos públicos, con el estado que dedujo el escáner. Hay puertos abiertos, uno cerrado, uno de UDP sin respuesta clara y uno que simplemente no contestó.

La tercera consulta deja solo los puertos con el estado «filtered».

Un puerto filtrado desde fuera no es un puerto que no existe: es un puerto que desde ese punto de vista no se puede juzgar. La segunda corrida, hecha desde la zona de gestión, llega al segmento sin cortafuegos de por medio. El mismo puerto que fuera no contestó aquí responde.

Mira las filas de portal-polizas en corrida_interna y fíjate en la columna banner: es la capa de aplicación, lo que el programa dice de sí mismo.

La consecuencia para el hallazgo: existe, está en un panel de administración, y hoy lo protege un filtro, no su ausencia. Se registra con esa condición escrita.

La diferencia entre dos puntos de vista es información. Cada servicio que la corrida interna ve abierto y la externa no confirmó como abierto es un servicio que está ahí y que algo oculta (o que la corrida externa ni miró).

La sexta consulta ya cruza las dos corridas: lista, para cada servicio interno, el estado que tuvo desde fuera, con «no escaneado» cuando la corrida externa no incluyó ese puerto.

En la corrida externa, api-siniestros tiene un puerto abierto cuyo servicio sale como «desconocido» y cuyo banner dice «sin banner». El escáner comprobó que algo acepta conexiones; no pudo decir qué es ni qué versión. Un hallazgo del tipo «versión X vulnerable» se apoya en la versión, y aquí no hay versión leída.