Las cuentas del escaneo autenticado

La cuenta de escaneo es una cuenta de servicio dedicada: se crea para esto, tiene un dueño, se limita a lo que el motor necesita leer y su clave vive en una bóveda del escáner, no en una nota. Usar la cuenta de una persona rompe tres cosas: cuando esa persona se va o cambia la clave, el escaneo se rompe; los registros de los sistemas no distinguen qué hizo la persona y qué hizo la herramienta; y se escanea con más permisos de los necesarios.

El principio es el de siempre, el mínimo privilegio, con un matiz del oficio: lo mínimo es lo que la documentación del motor pide para leer lo que se quiere ver, y a menudo es más que un usuario común y mucho menos que un administrador del dominio.

Abre el inventario de cuentas de escaneo de Cordillera. Tres cuentas tienen permisos ajustados al tipo de sistema: lectura de consultas en Linux, administrador local en cada servidor Windows y lectura del catálogo en las bases de datos. Una cuarta quedó configurada «solo esta vez» con un permiso que abarca toda la organización.

La bitácora de autenticación no solo dice si la cuenta entró: dice por qué no entró. Cada motivo apunta a un arreglo distinto, y confundirlos hace perder días. Una clave vencida se renueva en la bóveda; una cuenta que no figura en el grupo se agrega al grupo; un rol sin permiso sobre el catálogo se amplía justo en eso. Ninguno se arregla bajando el nivel de seguridad del activo.

La bitácora tiene doce activos. Los que dicen inicio de sesión correcto se leyeron por dentro; los demás se escanearon como si no hubiera credenciales, y en el informe parecerán activos con pocos hallazgos. El porcentaje de activos realmente leídos por dentro es el número honesto del escaneo autenticado, y es el que debe acompañar a cualquier cifra de hallazgos.

Los tres activos donde la cuenta fue rechazada no tienen «cero problemas»: tienen cero datos internos. El tratamiento correcto es anotar cada uno como cobertura parcial con su motivo, devolverlo al dueño del arreglo y volver a escanear. Anotarlos como limpios, o excluirlos del informe, convierte un fallo de configuración en un falso negativo.