Una vulnerabilidad y una alerta del mismo equipo

Una alerta dice qué pasó y una vulnerabilidad dice qué podía pasar. Cuando coinciden en el mismo equipo y el mismo componente, la alerta gana contexto: ya no es «tráfico raro» sino «tráfico dirigido a algo que sabemos débil». Pero el cruce tiene límites. Que exista una vulnerabilidad abierta no prueba que el equipo fue comprometido, y que un informe la dé por abierta no prueba que lo siga estando hoy.

Ejecuta alertas: la alerta ALT-3531 nombra un componente. Ahora ejecuta hallazgos_equipo, con lo que dejó el último escaneo del servidor. Solo una de las tres filas corresponde a ese componente.

La tabla hallazgos_equipo dice «abierta», pero ¿de cuándo es? Ejecuta escaneos para ver la fecha del último escaneo, y cambios para ver qué pasó en el servidor desde entonces. Un informe es una fotografía: sirve para el día en que se tomó.

Ahora hay un cuadro más fino. El informe es del 20 de septiembre; el cambio terminó el 2 de octubre a las 21:30; la alerta es del 3 de octubre. Cuando la actividad sospechosa empezó, el componente ya estaba actualizado. Ejecuta registro_waf: de seis peticiones, cinco fueron rechazadas (403) y una respondida (200). El 200 es la única que importa, y por sí sola no prueba nada: solo dice que el servidor respondió algo.

El tiempo entre el cierre de la ventana de cambio y la primera petición es un dato que suele pedirse en un reporte: ¿la actividad empezó cuando el equipo ya estaba corregido o cuando aún estaba expuesto? Usa la hora del cambio en cambios y la primera fila de registro_waf, y calcula las horas completas entre una y otra.