Duplicados y activos que duran horas

Un duplicado es el mismo equipo registrado más de una vez, normalmente porque lo ven varias fuentes con nombres y datos distintos: el registro manual lo conoce por un nombre, el agente por el que trae el sistema al instalarse, el servidor de direcciones por el que el usuario le puso. Si no se unen, el inventario cuenta tres equipos donde hay uno.

Eso rompe el programa de tres maneras. La cobertura se calcula sobre un denominador inflado. Los hallazgos se reparten entre registros y ninguno muestra el cuadro completo. Y un cierre en un registro no cierra los otros: el parche está puesto y el equipo sigue apareciendo vulnerable en otra fuente.

Para saber si dos registros son el mismo equipo hace falta un dato que no cambie. El nombre es el peor: se cambia al reinstalar, lo pone el usuario y se reutiliza cuando un equipo se retira y llega otro. La dirección IP es peor aún: la concede un servidor y cambia entre un día y otro. La dirección física (MAC) ayuda, pero un portátil tiene una para el cable y otra para el wifi, y puede cambiarse.

Los identificadores estables son la serie del fabricante y, en la nube, el identificador de instancia que asigna el proveedor. Cuando una fuente no conoce la serie (el servidor de direcciones solo ve la MAC), se enlaza por la MAC con otra fuente que sí conozca las dos. Los datos que cambian se usan para confirmar, no para identificar.

En la tabla registros hay un portátil que el registro manual conoce por un nombre, el agente por otro que le puso el sistema al instalarlo y el servidor de direcciones por un tercero que escribió el usuario. Los tres comparten la misma dirección física. La serie no aparece en el servidor de direcciones, pero sí en los otros dos registros del equipo, y es la clave que lo identifica para siempre.

Con los catorce registros en la tabla, falta el último paso: contar equipos distintos y no registros. Une los que comparten serie. A los del servidor de direcciones, que no traen serie, súmalos al equipo que tenga su misma MAC. Y mira con cuidado los que comparten nombre: dos registros con el mismo nombre y series distintas son dos equipos, no uno.

La tabla autoescalado muestra tres grupos de instancias. En el grupo de las etiquetas de envío, una instancia vive en promedio dos horas, y en treinta días se crearon más de mil. Si el inventario las trata como equipos, crece con mil registros que ya no existen y cada hallazgo se pierde antes de que alguien lo lea.

Lo que dura y tiene dueño es el grupo y su plantilla: se inventarían ellos, con el equipo responsable de cada uno, y se escanea la plantilla. Las instancias se cuentan como un número que cambia, no como filas.