Alcance y reglas de enfrentamiento

El cliente de Arrecife Comercio te dice por teléfono «adelante, empieza cuando quieras» y te pasa un rango de máquinas. Suena a luz verde, pero no lo es. La autorización de un pentest es un documento firmado por alguien con potestad para autorizarlo: define el alcance, la ventana de trabajo, los datos de contacto de emergencia y la aceptación de que habrá actividad intrusiva. Un «adelante» de viva voz no protege a nadie —ni al cliente, que no sabe exactamente qué autorizó, ni a ti, que quedas expuesto legalmente—.

Lo mismo vale aquí dentro: el laboratorio se abre después de aceptar las reglas de enfrentamiento de esta ruta, que hacen de contrato. La disciplina de no empezar sin autorización escrita es la habilidad del oficio, no un trámite.

El alcance firmado lista los objetivos de Arrecife que puedes tocar. Durante el reconocimiento aparece una máquina que responde y que no está en esa lista: comparte nombre de dominio, así que parece de la misma empresa. La tentación es incluirla «ya que está ahí». El alcance existe precisamente para esto: lo que no está dentro, no se toca, aunque pertenezca al cliente y aunque se vea vulnerable. Puede ser un sistema de un tercero, un entorno que el cliente no puede autorizar, o algo que alguien olvidó excluir por una razón.

La salida correcta no es ignorar el hallazgo ni explotarlo: es anotarlo como observación fuera de alcance y preguntar al cliente si se amplía el alcance por escrito. Salirse del alcance es el error que convierte un pentest en un incidente.

El alcance dice qué objetivos; las reglas de enfrentamiento dicen cómo. Fijan la ventana horaria (por ejemplo, fuera de horario comercial para no afectar al negocio), qué técnicas están vetadas y el límite del ruido permitido. Un caso típico: la denegación de servicio suele estar prohibida salvo que se pacte expresamente, porque tumbar el servicio de Arrecife no demuestra nada que no se pueda demostrar sin tumbarlo, y sí causa un daño real.

Ante una prueba que podría dejar un servicio caído, la regla manda sobre la curiosidad: si las reglas de enfrentamiento no autorizan esa prueba, no se lanza. Se documenta que el vector existe y que no se probó por estar fuera de las reglas.

Durante el engagement consigues acceso a una base de datos de Arrecife con registros que parecen datos personales de clientes (aquí son ficticios, plantados en el laboratorio). Para el informe necesitas demostrar el impacto, no materializarlo. Descargar la base entera no prueba nada más que una captura de dos o tres registros con los campos tapados, y en cambio te convierte en el custodio de un volcado de datos sensibles que no necesitas tener.

La regla de manejo de datos es «la mínima evidencia que pruebe el hallazgo»: una muestra reducida y ofuscada basta para el informe. Llevarse más es riesgo sin beneficio, y suele violar las propias reglas de enfrentamiento.

El criterio de alcance no se aprueba leyendo: se aprueba señalando el objetivo que queda fuera. Abre el laboratorio, compara el alcance firmado con la lista de hosts que respondieron al reconocimiento y aísla el que está vivo pero no figura en ese alcance. Ese host se reporta como observación fuera de alcance; no se toca.