Controladores y firmware: debajo del sistema operativo

El firmware, que en los equipos actuales suele ser UEFI, es el programa que arranca la máquina antes de que cargue Windows. Lo escribe el fabricante del equipo, no Microsoft, y la actualización normalmente viene de ese fabricante, con su propio aviso, su propia versión y su propia herramienta. El acumulativo mensual del sistema operativo no lo reemplaza como regla general, así que una estación puede tener Windows al día y un firmware con años de atraso.

Para el analista esto cambia el trabajo: el dueño del hallazgo no es el equipo de parches de Windows sino quien gestiona el hardware, y el cierre se verifica leyendo la versión de UEFI, no el KB. Abre las tablas firmware y avisos_del_fabricante de la consola.

Un controlador corre con los privilegios más altos del sistema, y por eso Windows exige que los controladores estén firmados por un proveedor identificable. La columna firmado del inventario de controladores dice si el archivo lleva firma válida. Un controlador sin firma, de un proveedor sin identificar y con una fecha muy antigua es una señal para investigar: no necesariamente un ataque, pero sí algo que nadie puede garantizar.

La lectura útil junta cuatro datos: quién lo publica, de cuándo es, si está firmado y si está en ejecución. En la tabla controladores, tres estaciones comparten el mismo controlador del fabricante y solo una añade uno más.

Las versiones de firmware se escriben con números separados por puntos, y se comparan número a número, no como texto. Una comparación de texto ordena «1.9» después de «1.12», porque el carácter «9» va después del «1»; en cambio, numéricamente, 1.9 es anterior a 1.12. Es una trampa conocida y una fuente de falsos negativos: un escáner o una hoja de cálculo que comparan como texto dejan pasar un equipo desactualizado.

El aviso del fabricante dice cuál es la versión mínima que corrige el fallo. Cruza esa cifra con version_uefi de cada estación y lee los números de izquierda a derecha.

El arranque seguro es una función del firmware que comprueba la firma del software de arranque antes de ejecutarlo. Si está deshabilitado, esa comprobación no ocurre. A veces hay una razón de negocio, por ejemplo un equipo que arranca un sistema heredado para leer un periférico de planta, pero una razón no equivale a una aprobación. Un hallazgo de configuración del equipo se trata como cualquier otro: se confirma, se averigua por qué y quién lo decidió, y se pide corrección o aprobación con fecha.

Mira firmware y notas_del_inventario para la estación que lo tiene apagado.