Falsos negativos: lo que el escáner no vio

Un falso negativo es un fallo real que el escaneo no detectó. Es más peligroso que un falso positivo precisamente porque no deja rastro: un falso positivo aparece como un hallazgo de más que alguien revisa y descarta, pero un falso negativo aparece como nada —el activo sale limpio y nadie tiene motivo para dudar—. El peligro de este oficio no es solo lo que el informe dice de más, sino lo que calla. Un programa de gestión maduro dedica tanto esfuerzo a preguntarse «¿qué no estoy viendo?» como a revisar lo que ve.

El falso positivo cuesta tiempo; el falso negativo cuesta una brecha que nadie vio venir. Por eso un «cero hallazgos» merece más sospecha, no menos.

«Cero hallazgos» puede significar dos cosas opuestas: que el activo está sano, o que el escaneo no pudo mirarlo. Un escaneo sin credenciales no ve el interior; uno cuya credencial fue rechazada no entró siquiera; uno que apunta a los puertos habituales no ve un servicio escondido en uno raro. En cualquiera de esos casos el resultado es un cero que parece salud y es ceguera. Antes de dar por sano un activo con cero hallazgos, hay que preguntar cómo se escaneó y si ese modo podía ver lo que importa.

El cero honesto viene de un escaneo que sí miró y no encontró. El cero engañoso viene de un escaneo que no pudo mirar. Se parecen en el informe y no se parecen en nada más.

De todos los puntos ciegos, el más traicionero es el escaneo autenticado que falla la credencial. El escáner intenta entrar, la cuenta está caducada o mal configurada, no entra, y devuelve cero hallazgos —exactamente el mismo cero que un activo sano—. La diferencia está en un detalle del informe que casi nadie lee: el estado del escaneo dice que la autenticación falló. Un activo así no está sano ni vulnerable: no tiene estado, porque el escáner no llegó a mirarlo por dentro. Hay que reescanearlo con una credencial válida antes de creerse nada de él.

Revisar que los escaneos autenticados de verdad entraron es una tarea de cada ciclo. Un programa lleno de credenciales caducadas reporta una salud que no ha comprobado.

Un cero no siempre es salud. Abre el panel de cobertura real de Ferranova y aísla el activo cuyo escaneo autenticado falló la credencial y devolvió cero sin llegar a entrar. La nota de ese resultado trae un código de la sala.