Credenciales y cobertura

Sin credenciales, el escáner prueba puertos y lee banners: ve el servicio, su versión anunciada y poco más. Con credenciales, inicia sesión con una cuenta de servicio y lee lo local: paquetes, parches, configuración, usuarios. Por eso los hallazgos de parches de un servidor Windows o Linux dependen casi por completo de que la autenticación salga bien.

Dos plugins informativos dicen si salió bien. El 19506, «Nessus Scan Information», informa entre otras cosas si fueron posibles las comprobaciones con credenciales; el 21745, «OS Security Patch Assessment Failed», aparece cuando un error impidió evaluar los parches del sistema operativo. Ninguno es un fallo del equipo: son la bitácora del propio escaneo.

Abre credenciales y cobertura. Una cuenta de servicio no basta: en Linux suele entrar con un usuario normal y escalar con sudo para leer lo que necesita. Si la escalada pide contraseña o no está permitida, la autenticación puede «salir bien» y aun así no evaluar el sistema. La columna motivo de cobertura recoge la causa de cada fallo.

La cobertura se mide con los datos, no con la sensación. Para esta sala se llama cobertura autenticada al porcentaje de equipos del escaneo cuyo plugin 19506 informa yes en la columna de comprobaciones con credenciales. Cuenta los equipos con yes, divídelos entre el total de la tabla y redondea al entero más cercano.

Mira la columna hallazgos_de_parches. Cuatro equipos muestran 0, pero ninguno quiere decir lo mismo que un 0 de un servidor al día. En tar-hv-01 la autenticación ni siquiera se intentó: nadie le asignó una credencial. Declarar limpio un equipo que no se evaluó es peor que no escanearlo, porque da una tranquilidad falsa.