El inventario es la mitad del triaje

Los controles CIS, en su versión 8.1, abren con dos controles que parecen aburridos y sostienen a todos los demás. El control 1 es el inventario y control de los activos de la empresa: los equipos de usuario, los servidores, los dispositivos de red y los aparatos que no son computadores pero están en la red. El control 2 es el inventario y control del software: qué programas corren en esos activos y si todavía tienen soporte del fabricante. La norma ISO/IEC 27002:2022 pide lo mismo desde otro ángulo con su control 5.9, el inventario de información y de otros activos asociados.

Para un analista, la razón es práctica: una alerta es una frase sobre un activo. Sin saber qué activo es, cualquier decisión de prioridad es una adivinanza.

Abre la consola y ejecuta alertas. Las alertas traen una dirección y una regla. Ahora ejecuta inventario: cada fila une una dirección con un equipo, su área, su dueño y una criticidad. Ese cruce es la primera consulta de cualquier triaje, y la hace el analista antes de abrir un solo registro.

Para una búsqueda puntual, la consola entiende filtros como inventario | where ip == "10.20.5.11". Fíjate en que el resultado no solo da un nombre: da a quién preguntar si la actividad es normal.

El inventario de una empresa casi nunca está completo, y la forma de saberlo es compararlo con otra fuente que no dependa de él: el servicio que reparte direcciones, las tablas de los conmutadores, el escáner de descubrimiento. En el laboratorio, descubiertos es esa segunda fuente: lo que la red vio con una dirección activa, con una columna que dice si tiene fila en el inventario.

Ejecuta descubiertos | where en_inventario == "no". Verás dos direcciones. Una de ellas aparece como origen de una de las cuatro alertas de la mañana.

El control 1 de CIS incluye una salvaguarda para esto: atender los activos no autorizados, es decir, o se retiran de la red, o se les niega el acceso, o se inventarían. La decisión no la toma el analista solo, pero lo que hace el analista en los primeros minutos sí cuenta: la alerta no se cierra porque el equipo «no figura», y tampoco se declara un incidente por el solo hecho de no figurar.

El dispositivo de la alerta tiene un puerto de conmutador anotado y una fecha de primera aparición, ambos en descubiertos. Con eso se puede ir a buscar a su responsable.

El control 2 pide además que el software esté soportado. Un producto cuyo fabricante ya no publica correcciones es un riesgo que crece cada mes, y es la primera fila que un analista debería poder consultar cuando una alerta cae sobre un equipo. Ejecuta software | where soporte == "terminado" para ver cuáles son, y la versión con conteo para la cifra.