Cobertura del agente, qué equipos no se ven

Tener un agente registrado no es lo mismo que estar cubierto. Un equipo está cubierto cuando su agente está activo y su inventario de paquetes llega: si el agente está desconectado, el servidor solo conserva el último inventario que recibió, que cada día vale menos. Y si el inventario de paquetes está apagado, el agente puede conectarse perfectamente y no aportar nada para detectar vulnerabilidades.

En esta sala, la regla del ejercicio es: cubierto es agente activo e inventario de paquetes habilitado. La referencia contra la que se mide es la tabla activos, el inventario de activos de la empresa, no la lista de agentes.

Los equipos expuestos a internet son los que primero hay que tener cubiertos: son los que ve cualquiera. Cruza la tabla activos con la tabla agentes y busca, entre los de exposición internet, el que lleva el agente desconectado.

Un agente en estado activo no garantiza inventario. Si el módulo de inventario de paquetes está deshabilitado en su configuración, el agente conecta, envía su latido y no entrega el dato que la detección necesita. Es la falla más silenciosa: el panel lo muestra en verde.

Aplica la regla de la primera tarea a toda la flota: un equipo está cubierto solo si tiene agente activo y el inventario de paquetes habilitado. Los equipos sin agente, los desconectados y los activos con el inventario apagado no cuentan, aunque aparezcan en la lista de agentes.

Hay equipos donde no se puede instalar un agente: dispositivos cerrados o equipos de planta cuyo fabricante no autoriza software adicional. La tabla equipos_sin_agente los lista con el motivo. Dejarlos sin ninguna lectura es el peor resultado: son equipos que casi nunca se parchean y justo por eso hay que mirarlos.

La alternativa honesta es registrar la excepción y cubrirlos por otra vía autorizada: una lectura de solo lectura aprobada, la información del propio fabricante o una observación pasiva de la red de planta.