Red y exposición: lo que dice la configuración

Para que un recurso sea alcanzable desde internet no basta una regla abierta. Hacen falta, juntas, tres cosas: que el recurso tenga una dirección pública, que exista una ruta hacia él y que una regla de entrada permita el tráfico desde cualquier origen. La regla «abierta a todos» se escribe 0.0.0.0/0. Una regla escrita contra la política es un hallazgo de configuración; que además haya algo alcanzable es otra pregunta.

Esto es lo que significa leer la configuración: lo que dice, y no más. No se prueba nada contra el recurso.

La política de red de Valle Claro solo admite abiertos a internet los puertos 80 y 443. Cualquier otro puerto abierto a 0.0.0.0/0 la incumple. De las reglas que lo hacen, solo una afecta a un grupo de red en el que hay un recurso con dirección pública: esa es la que de verdad expone algo.

Cruza reglas_de_entrada con recursos por la columna grupo_de_red.

La otra regla abierta a internet en un puerto no web también incumple la política, pero su grupo solo contiene recursos sin dirección pública. Entre los recursos de la tabla, hay uno al que esa regla no da alcance real. Es el que un informe automático marcaría como crítico y un auditor, con el cruce hecho, bajaría de prioridad.

El informe al comité debe dar una cifra que el comité pueda comprobar. La política admite abiertos al origen 0.0.0.0/0 solo los puertos 80 y 443. La cifra es el número de reglas de reglas_de_entrada con ese origen y un puerto distinto de esos dos. Una regla con origen restringido a la red de la oficina, aunque abra el puerto 22, no cuenta.

Un hallazgo bien escrito dice qué muestra la evidencia y qué no. «Hay una regla abierta a internet en un puerto de base de datos» es lo que la configuración afirma. «Alguien entró a la base de datos» no lo afirma, y escribirlo sería inventar. Los dos hallazgos de este laboratorio no pesan lo mismo, y el informe debe decir por qué.