Perfiles de escaneo con criterio

Los tres escáneres más conocidos del oficio, Nessus, Qualys y OpenVAS, tienen cada uno su manera de llamarlo, pero la idea es la misma: una plantilla de configuración. En ella se fijan los puertos que se recorren, si se hacen comprobaciones que podrían alterar un servicio, cuántos activos se atienden a la vez, cuántas conexiones se abren contra cada uno y si se entra con credenciales. El motor ejecuta lo que el perfil dice; no sabe qué activo es frágil ni qué día cierra la contabilidad.

Por eso la configuración es trabajo del analista y no un trámite: un perfil bien pensado es lo que separa un escaneo útil de uno que tumba el servidor de pedidos un martes por la mañana.

Abre los perfiles de Cordillera. Cinco perfiles, cada uno para un tipo de objetivo. Dos columnas importan sobre todo para el riesgo: las comprobaciones peligrosas, que son pruebas capaces de alterar o tumbar el servicio que examinan, y las credenciales. Un perfil con las primeras activadas se reserva para un banco de pruebas aislado, donde nada importa si se cae.

Dos números del perfil se multiplican: los activos que se atienden a la vez y las conexiones que se abren contra cada uno. El resultado es el techo de conexiones simultáneas que el escaneo puede lanzar de golpe. Es un máximo, no un promedio, y es lo que debe caber en lo que el dueño de los sistemas acepta.

Antes de elegir herramienta se lee su licencia. Nessus tiene una edición gratuita, Nessus Essentials; según la página del fabricante, consultada el 4 de octubre de 2026, escanea hasta 5 IP y es solo para uso personal, educativo y no comercial. OpenVAS es el escáner de Greenbone Community Edition y su repositorio lo publica con licencia GPL v2.0. De Qualys, un producto comercial por suscripción, no se afirma aquí ninguna condición concreta: se leen en la página del fabricante. Las condiciones cambian, y se verifican antes de usar la herramienta, no después.

Cordillera escanea decenas de activos de su empresa, no un laboratorio personal.

Un perfil agresivo no es malo en sí; es malo en el ambiente equivocado. Abre la tabla de trabajos de Cordillera y cruza cada trabajo con su perfil y con su ambiente. Hay uno que reúne justo lo que no debería: el perfil de pruebas apuntado a un sistema en uso.