Leer la salida sin creérsela entera

Cada línea del informe trae, al menos, cuatro datos: qué activo, qué servicio o componente, qué vulnerabilidad (con su identificador y su gravedad), y cómo la detectó. Las tres primeras se leen solas; la cuarta es la que casi nadie mira y la que decide cuánto te fías. «Cómo lo detectó» es la diferencia entre un hallazgo que el escáner comprobó de verdad y uno que solo dedujo del número de versión que el servicio anunció.

Leer un hallazgo sin mirar cómo se detectó es aceptar la conclusión sin ver el razonamiento. Es justo el hábito que esta sala viene a romper.

Hay dos formas de detectar que un escáner usa. Una: leer la versión que el servicio anuncia y buscarla en una lista de versiones vulnerables —«detección por versión» o «por banner»—. Otra: interactuar con el servicio y comprobar que el fallo está de verdad —«detección activa» o «comprobada»—. La primera es rápida y barata y se equivoca a menudo, porque una versión anunciada puede llevar el parche aplicado por detrás sin cambiar el número. La segunda es más fiable y más cara, y no siempre es posible sin arriesgarse a tumbar el servicio.

En el informe de Ferranova cada hallazgo dice cuál de las dos se usó. Un hallazgo «por versión» no es falso —es sin confirmar—, y eso cambia qué haces con él antes de molestar al dueño del sistema.

Un escáner no matiza: escribe «CVE-2014-0160, gravedad alta» tanto si comprobó el fallo como si lo dedujo de un banner, y lo hace con el mismo tono de certeza. Esa seguridad uniforme es una trampa para el analista novato, que lee la gravedad y la toma por veredicto. El analista con oficio lee la misma línea y pregunta: ¿esto lo comprobó o lo supuso?, ¿este activo es el que creo?, ¿este servicio corre de verdad o es un puerto que quedó abierto sin nada detrás?

La salida del escáner es una hipótesis con formato de conclusión. Tratarla como hipótesis —algo que hay que confirmar— es la diferencia entre gestionar vulnerabilidades y reenviar alarmas.

Ferranova tiene un activo, srv-respaldo, donde el escaneo marca un servicio de base de datos con un fallo de gravedad alta. Al leer el detalle, la detección fue por versión sobre un puerto abierto —pero el servicio de base de datos de ese activo está detenido desde hace meses; el puerto quedó abierto en el cortafuegos, sin nada escuchando detrás que se pueda explotar—. El hallazgo tiene gravedad alta y no vale nada: no hay servicio corriendo al que afecte.

Esto no se ve en la línea del informe; se ve al leer el detalle y cruzarlo con el estado real del activo. Es la clase de matiz que separa una lista priorizada útil de una copia del escáner con los números ordenados de gran a pequeño.

Leer la salida es separar lo que el escáner comprobó de lo que supuso. Abre el informe de Ferranova y aísla el hallazgo de gravedad alta cuyo servicio está detenido detrás del puerto abierto. La nota de ese hallazgo trae un código de la sala.