Evaluación de configuración (SCA) contra una línea base

Una política de SCA es una lista de comprobaciones: cada una tiene un título, una explicación del porqué, una guía para corregir y las condiciones que se evalúan sobre el equipo (un archivo, un valor de configuración, un servicio). Cada comprobación termina en uno de tres resultados: superada, fallida o no aplicable. La última no se debe leer como un aprobado: significa que la comprobación no se pudo evaluar en ese equipo,.

Las políticas pueden venir con el producto, inspiradas en guías públicas de endurecimiento, o ser propias, como la de la panadería. El resultado depende del texto de la política: una línea base mal escrita da resultados bien calculados sobre una pregunta equivocada.

Abre sca_resumen y sca_checks.

El resumen de cada agente cuenta las comprobaciones superadas, las fallidas y las no aplicables del último escaneo. Para ordenar el trabajo de endurecimiento, lo primero es saber qué equipo concentra más fallos: ahí rinde más el esfuerzo del equipo de sistemas.

Compara la columna falladas entre los cuatro servidores.

La cifra que se lleva a la reunión mensual no es la de un servidor, sino la de todos: cuántas comprobaciones fallan en total entre los servidores evaluados. Es la cifra que, mes a mes, debe bajar si el plan de endurecimiento avanza.

Una comprobación fallida no siempre es una deuda: a veces el riesgo se aceptó por escrito, con un motivo, una persona que lo aprobó y una fecha de vencimiento. La excepción protege al equipo de sistemas de perseguir un fallo conocido, pero solo mientras vive. Cuando vence, el fallo vuelve a ser un hallazgo.

Cruza las comprobaciones fallidas de choc-bd01 con la tabla excepciones y la fecha de hoy, 4 de noviembre de 2026.

La evaluación de configuración genera alertas cuando el estado de una comprobación cambia entre un escaneo y el siguiente, no en cada escaneo. Eso evita inundar el panel, pero tiene un costo: una comprobación que falla desde hace meses no produce alertas nuevas. Un tablero tranquilo no es lo mismo que un equipo bien configurado.