Leer la salida completa de una prueba

Un registro de escáner (Nessus lo llama plugin, OpenVAS lo llama NVT y Qualys, QID) tiene un identificador de prueba, que dice qué se comprobó, y un texto de evidencia, que dice qué se vio en este activo concreto. El identificador explica el fallo en general; la evidencia lo ancla a tu máquina. Cuando alguien discute el hallazgo, no se defiende con la gravedad: se defiende con lo que el escáner leyó.

La solución cierra el registro: dice qué cambiar. Conviene leerla con cuidado, porque a veces trae una condición («o aplicar el parche del distribuidor») que cambia cómo se verifica el arreglo.

Abre los registros. En dos de ellos la evidencia dice que se leyó algo del sistema: un archivo, un valor de configuración. En otro, la evidencia es solo el texto que el servicio anuncia de sí mismo y el propio registro lo admite: el fallo no se comprobó. Ese es el que hay que confirmar antes de mover a nadie.

La solución de un registro suele traer una versión mínima que cierra el fallo. Ese dato es el que se copia al ticket del dueño del sistema, tal cual, para que no tenga que adivinar a qué versión actualizar. Lee la del hallazgo de gravedad crítica.

Los registros de la familia información no son fallos, y su gravedad es «informativa». Pero son los que dicen qué pudo hacer el escáner: qué sistema operativo detectó y con cuánta confianza, o si pudo leer el listado de paquetes con la cuenta de escaneo. Si la lista de paquetes está, la lectura autenticada funcionó; si falta en un activo donde se esperaba, algo falló aunque el activo no muestre hallazgos.

Las pruebas del escáner se actualizan, y un escáner con las pruebas viejas no conoce los fallos publicados después: no los marca, y el activo aparece sano. Los datos del propio motor dicen cuándo se actualizaron sus pruebas y cuándo corrió la corrida; la diferencia es la antigüedad de lo que sabía al escanear. Es un falso negativo que no se ve en ningún registro.