Descubrimiento pasivo

Un sensor pasivo se conecta a un puerto espejo del conmutador, que le entrega una copia del tráfico, y solo escucha: no tiene dirección en la red de planta y no envía ningún paquete. Con esa copia reconstruye conversaciones y, cuando los equipos anuncian su fabricante, modelo y versión dentro de sus propios protocolos, también los identifica. Las herramientas libres de análisis de red, como Zeek o Wireshark, trabajan así sobre una captura.

Lo que se gana es seguridad operativa: el sensor no puede reiniciar un controlador porque nunca le dirige un paquete. Lo que se pierde es iniciativa: solo se ve lo que habla.

La primera comparación es la más valiosa: lo que el sensor oyó contra lo que dice la hoja de inventario. Un equipo que habla y no está en la hoja es un activo desconocido: un portátil de un proveedor, un equipo olvidado, un dispositivo instalado sin aviso. No se concluye todavía qué es; se reporta como hallazgo con su primera y última hora vista.

Compara sensor-identificados.csv con inventario-oficial.csv y busca la dirección que no está en la hoja.

La comparación inversa también cuenta: equipos del inventario que no aparecen en la captura. Pueden estar apagados esa jornada, hablar solo por otra red que el espejo no cubre o no existir ya. Un descubrimiento pasivo no prueba ausencia: prueba que ese equipo no se oyó en esas horas. Por eso un faltante se anota como pendiente de verificar con quien conoce la planta, no se borra del inventario.

Cuenta las filas del inventario cuya IP no aparece en el sensor.

Una ventaja del descubrimiento pasivo es que la versión de firmware sale del equipo mismo, no de lo que alguien anotó hace años. Cuando la hoja y el sensor discrepan, manda lo observado como dato de trabajo, y la discrepancia se reporta para corregir el inventario. Esa diferencia importa: un aviso de un fabricante se aplica según la versión real.

Busca el controlador A-02 en ambos archivos y compara su versión.

Un informe pasivo honesto separa lo observado de lo supuesto. El sensor vio ciertos equipos en cierta ventana de tiempo y por un solo punto de la red. No vio los que no hablaron, ni los que hablan por un segmento sin espejo, ni los que estaban apagados. Quien lee el informe necesita saber qué afirmación está respaldada y cuál no.