Lectura de hallazgos de postura, estado, severidad y cobertura

Las herramientas de postura, tanto las de código abierto (Prowler, con licencia Apache 2.0, y ScoutSuite, con GPL-2.0, que admiten entre otras las nubes de Amazon, Microsoft y Google) como las plataformas comerciales, entregan resultados con la misma forma: la cuenta y la región, la comprobación que se aplicó, el recurso evaluado, el estado y la severidad que la herramienta asigna a esa comprobación.

La severidad la decide la herramienta para la comprobación en general, no para tu empresa: un puerto abierto en una máquina de pruebas y uno en la base de datos de clientes pueden llevar la misma. Es un dato de partida, no una prioridad.

La tabla hallazgos trae once resultados. Las severidades del ejercicio son crítica, alta, media y baja.

Un informe se resume contando, pero cada cifra necesita su filtro: fallos por cuenta, por severidad o por comprobación cuentan historias distintas. Un total sin filtro mezcla cuentas con dueños y riesgos diferentes.

Cuenta los incumplimientos de la cuenta de producción.

Además de PASS y FAIL, muchas herramientas devuelven un tercer estado para lo que no pueden decidir por sí solas: la rotación de una clave de cifrado, por ejemplo, depende de un procedimiento de la empresa que la herramienta no ve. En el informe de ejemplo se llama MANUAL y la tabla estados lo explica.

Un MANUAL no es un aprobado ni un fallo: es una pregunta abierta con dueño, y si nadie la contesta se convierte en un punto ciego con buena apariencia.

Un escaneo solo mira donde se le indica. Si una región está habilitada en la cuenta pero no está en el alcance de la herramienta, cualquier recurso que viva allí queda fuera del informe sin que nada lo avise: ningún FAIL, tampoco ningún PASS. Por eso la primera comprobación al recibir un informe es comparar las regiones habilitadas con las escaneadas.