Qué no se escanea en planta

Un escáner de red envía paquetes que el equipo no esperaba: preguntas por puertos cerrados, intentos de conexión incompletos, tramas mal formadas a propósito para ver cómo reaccionan. Un servidor moderno lo absorbe. Muchos controladores industriales y equipos embebidos tienen una pila de red mínima, pensada para conversaciones cortas y previsibles, y pueden reiniciarse, quedarse sin responder o perder la comunicación con la línea.

El daño no está en que el escáner sea malo, sino en que el equipo es frágil y su función es física: si un controlador se reinicia, una máquina se detiene. Por eso, en planta, la pregunta previa a todo escaneo es qué tolera cada equipo, y la respuesta la da el fabricante o la experiencia documentada, no el perfil por defecto de la herramienta.

La mejor evidencia de lo que un equipo no tolera es su propia historia. Antes de decidir, se lee el registro de incidentes: qué se escaneó, a qué hora, quién avisó a producción y qué se detuvo. Un incidente anterior no es una anécdota; es un dato de fábrica que justifica una regla y que la auditoría tiene que respetar.

Abre historial-incidentes.txt y localiza el equipo que se reinició durante el descubrimiento activo.

La planta no prohíbe todo; clasifica. Cada equipo tiene un acuerdo escrito: sin sondeos, solo en una ventana avisada a producción, o permitido con una credencial de lectura y fuera de turno. Esa clasificación convierte un «no se puede» general en una lista concreta que se puede negociar con la auditoría.

Cuenta en activos.csv cuántos equipos tienen la columna escaneo_activo con el valor no.

Dentro de la lista hay una excepción razonable: un equipo con sistema operativo de escritorio, que tolera una credencial de lectura y que puede revisarse fuera del turno. Los servidores de planta admiten escaneo solo con ventana. Es en esos equipos, y no en los controladores, donde un escaneo autenticado aporta datos útiles sin riesgo operativo apreciable.

Busca en la tabla el único activo cuyo escaneo está permitido sin ventana previa.

La respuesta a una solicitud de escaneo total no es un «no» seco ni un «sí» con reservas. Lo defendible es contestar por escrito qué se puede escanear y con qué condiciones, y ofrecer evidencia alternativa que cubra lo demás: un inventario construido escuchando el tráfico, sin enviar nada. Así la auditoría recibe información y la planta no asume el riesgo.