Escanear, autenticado o no

Un escaneo no autenticado mira el activo desde la red, sin entrar: descubre qué puertos están abiertos, qué servicios responden y qué versiones anuncian en su saludo. Es la vista del atacante que todavía no está dentro, y por eso es valiosa para una cosa concreta —saber qué expones—. Pero es pobre para el estado interno: no ve el parche que le falta a una librería que no asoma por ningún puerto.

Sobre bd-clientes, la base de datos interna de Ferranova, el escaneo sin credenciales devuelve cuatro líneas: unos puertos abiertos y las versiones que anuncian. Parece un activo casi limpio. No lo es; es que desde fuera casi no se ve.

Un escaneo autenticado le da al escáner una cuenta para entrar al activo y leer su estado real: paquetes instalados y su versión exacta, parches ausentes, configuraciones. Ya no deduce desde fuera —comprueba desde dentro—. Por eso el recuento de hallazgos de bd-clientes salta de cuatro a varias decenas al autenticar: no es que el activo empeorara en un minuto, es que ahora se ve lo que antes estaba tapado.

Ese salto asusta la primera vez y es normal. El escaneo autenticado es el que de verdad mide el estado de un activo para gestionarlo; el no autenticado mide su exposición.

No es que el autenticado sea siempre mejor: cada vista responde una pregunta distinta. Para gestionar el estado de un activo y saber qué parchear, el autenticado es el que sirve —ve el interior—. Para saber qué le enseñas al mundo desde internet, el no autenticado es el que importa, porque reproduce lo que un extraño alcanza a ver. Un programa de gestión maduro corre los dos: autenticado por dentro para el parcheo, y no autenticado desde fuera para medir la exposición.

En Ferranova el activo de la web pública se mira de las dos formas a propósito: por dentro para el inventario de parches, y desde fuera para confirmar qué puertos y servicios quedan expuestos a internet.

Un escaneo solo cubre lo que sabe que existe. Si el inventario de Ferranova tiene 60 activos pero el escáner solo conoce 45, los otros 15 no aparecen en ningún informe —y «cero hallazgos» en un activo que nadie escaneó parece salud y es ceguera—. Antes de creerse un resultado hay que preguntar contra qué inventario se escaneó y cuántos activos quedaron fuera. Un activo desconocido es el que nadie parchea, porque nadie sabe que hay que hacerlo.

La pregunta incómoda al leer cualquier informe es «¿qué NO está aquí?». Un panel verde con la mitad del inventario sin escanear es una mentira tranquilizadora.

Antes de creerte cualquier panel, pregúntale al escáner cuánto del inventario miró de verdad. Abre el laboratorio, consulta la cobertura sobre el inventario de Ferranova, y lee la nota del resultado: trae un código de la sala.