Con credenciales y sin ellas, lo que cada escaneo deja ver

Sin credenciales, el escáner infiere: pide el banner de un servicio, lee una versión y la compara con una lista. Con credenciales, comprueba: lista los paquetes instalados, mira si el parche está aplicado, lee la configuración real. Esto reduce los falsos positivos y descubre problemas que desde fuera no se ven, como una biblioteca vulnerable dentro de una aplicación. La contrapartida es que hace falta una cuenta, y que esa cuenta es un riesgo si se maneja mal.

Un pentester no elige uno de los dos modos: hace el sondeo desde fuera como lo vería un atacante y el autenticado como lo vería quien ya está dentro, y compara.

Una corrida autenticada puede fallar sin hacer ruido: la cuenta no existe, la clave caducó o el servicio de administración remota no está. Cuando falla, el escáner no se detiene: sigue como si no hubiera credenciales, y los resultados de ese equipo valen lo que valdría una corrida desde fuera. Revisa la bitácora de autenticación del jueves.

La cuenta con la que se hace una corrida autenticada la entrega el cliente por un canal seguro, es de solo lectura, tiene un nombre que la identifica como del escaneo y se desactiva al terminar el encargo. Es una de las cuentas más poderosas del entorno durante unas horas, y por eso se trata con cuidado. Una credencial que se encuentra por casualidad durante otra fase del pentest no se usa para escanear sin una autorización expresa.

El alcance de Cantera tiene seis equipos escaneables. Una corrida autenticada solo fue completa en aquellos donde el inicio de sesión funcionó. Cuenta cuántos de esos seis equipos se escanearon realmente con credenciales.

Compara lo que vio cada corrida. Hay un hallazgo que el escáner no vio sin credenciales y que, con ellas, apareció en la carpeta de una aplicación: una biblioteca que ningún puerto anuncia. Eso es lo que hace que «no lo vi desde fuera» no equivalga a «no existe».