No se escanea lo que no se sabe que existe

El escáner apunta a una lista de activos. Si esa lista está incompleta, el informe también lo está, y lo peor es que no lo parece: un panel con todo en verde sobre un inventario al que le faltan activos es una foto tranquilizadora de media red. El estado de un activo que nadie escaneó no es «cero hallazgos»: es «desconocido». Confundir las dos cosas —ausencia de datos con ausencia de problemas— es uno de los errores más caros del oficio, porque deja zonas enteras fuera del radar sin que salte ninguna alarma.

La pregunta que acompaña a todo informe es «¿contra qué inventario se escaneó, y qué falta en ese inventario?». Un escaneo perfecto de una lista incompleta sigue siendo una visión incompleta.

Los activos sombra son los que existen en la red pero no en el inventario oficial: una máquina de pruebas que alguien dejó encendida, un servicio que un equipo levantó sin avisar, una API nueva en la nube. No se registran por mala fe, sino por prisa —se crean para resolver algo hoy y nadie vuelve a anotarlos—. El problema es que heredan todos los riesgos de un activo normal sin ninguna de sus vigilancias: no se escanean, no se parchean, no los mira nadie. El descubrimiento pasivo —observar qué responde en la red sin asumir que el inventario está completo— es como aparecen.

Un activo sombra expuesto a internet es el regalo perfecto para un atacante: tiene fallos como cualquiera y, a diferencia de los demás, nadie los está mirando ni corrigiendo.

Es tentador saltar directo a priorizar los hallazgos que ya tienes, pero una priorización sobre un inventario incompleto prioriza la mitad del problema. Si una API de pagos expuesta a internet no está en la lista, no compite por tu atención aunque sea lo más urgente de toda la red —y no porque hayas decidido que no importa, sino porque ni la viste—. Cerrar el inventario, acercarlo a lo que de verdad hay ahí fuera, es lo que hace que la priorización decida sobre el problema entero y no sobre el trozo conocido.

El orden del ciclo no es decorativo: descubrir primero, porque todo lo que viene después —evaluar, priorizar, remediar— opera solo sobre lo que se descubrió.

El activo que nadie registró es el que nadie parchea. Abre el inventario de Ferranova y aísla la API de pagos levantada en la nube que está expuesta a internet y fuera del CMDB. La nota de ese resultado trae un código de la sala.