Leer un hallazgo de Windows: método, evidencia y conclusión

La gravedad es lo primero que se mira de un hallazgo y lo último que debería decidir. Antes está el método de detección: cómo consiguió el escáner su evidencia. Con credenciales, el escáner entra al equipo y lee algo concreto: la versión de un archivo, un valor del registro, la lista de actualizaciones. Sin credenciales, solo ve lo que el equipo responde por la red, y de esas respuestas deduce el sistema operativo y las versiones, con un margen de error.

Un hallazgo sostenido por una lectura del equipo se puede verificar con ese mismo dato. Uno sostenido por una huella de red es una pista que hay que contrastar. Abre campos_de_un_hallazgo y luego hallazgos para ver el campo que lo dice.

El campo evidencia guarda el dato concreto que sostiene el hallazgo, tal como lo vio el escáner. Es lo que el dueño del equipo necesita para reproducir la lectura y lo que el analista copia al ticket sin resumir. Una evidencia buena nombra el objeto, la versión leída y el umbral que se compara: en un hallazgo de versión de archivo, el archivo, la versión que tiene y la mínima que debería tener.

Un hallazgo con la evidencia resumida a «versión antigua» no se puede comprobar ni cerrar. Lee la evidencia del hallazgo con detección autenticada y apunta la versión que se leyó, no la mínima exigida.

Un hallazgo es una afirmación sobre un equipo; el inventario es otra fuente que dice cosas del mismo equipo. Cuando las dos coinciden, el hallazgo gana credibilidad. Cuando se contradicen, no se elige la que suena más grave: se mira cuál de las dos tiene mejor evidencia. Una lectura del propio equipo vale más que una coincidencia aproximada de huella; la regla L1 de la tabla reglas lo escribe así.

En inventario verás qué sistema operativo y qué build tiene cada servidor registrados. Compáralos con el título y el método de cada hallazgo antes de decidir cuál se sostiene solo en una deducción de red.

La conclusión de un hallazgo se escribe en dos tiempos: lo que se observó, con su dato, y lo que se deduce, con su grado de certeza. Frases como «el servidor es vulnerable» sin evidencia suman riesgo al informe sin sostener nada, y quien recibe el ticket pierde confianza en el equipo de seguridad cuando una de ellas falla. Lo que se observó se afirma; lo que se infiere se marca como probable, y lo que falta confirmar se dice.

Para el hallazgo con detección autenticada, la redacción correcta cita lo leído, lo compara con el umbral y deja claro lo que aún no está confirmado, que es la causa. Elige la frase que lo hace sin exagerar.