Superficie externa y ASM

El inventario de TI se construye de dentro hacia fuera: lo que alguien dio de alta. La ASM hace el recorrido contrario: parte del dominio, los rangos y los nombres de la organización y registra lo que responde en internet. Las dos listas rara vez coinciden, y sus diferencias son el hallazgo: activos que existen y nadie registró (campañas de un proveedor, copias de desarrollo, pruebas olvidadas) y registros que ya no tienen activo.

Un activo desconocido para el inventario es una exposición en sí mismo, aunque nada en él tenga CVE: nadie lo parchea porque nadie sabe que existe.

Cruza registro_de_activos con descubierto_desde_fuera. Un nombre descubierto que no está en el registro es un activo sin dueño conocido hasta que alguien lo reclame. Cuéntalos: es la primera cifra que un programa de ASM entrega y la que más incomoda en una reunión.

La organización declara el rango de direcciones que administra. Un nombre de su dominio que resuelve fuera de ese rango vive en infraestructura ajena: un proveedor, un alojamiento contratado sin avisar. No es necesariamente malo, pero nadie de la casa lo parchea ni lo monitorea y el contrato rara vez dice quién responde por él.

La tabla servicios_vistos dice qué responde en algunos de los nombres descubiertos. Lo que importa es combinar dos columnas: qué servicio es y cómo se autentica quien se conecta. Un servicio de administración que no pide autenticación, en un nombre que además nadie registró, sube de golpe en la priorización.

La diferencia también corre en sentido contrario. Un nombre del registro que desde fuera ya no resuelve puede ser una baja bien hecha, pero el registro debe actualizarse; y si el nombre sigue publicado en el DNS apuntando a nada, ese rastro hay que retirarlo. Revisa el estado que anota el registro.