Dispositivos expuestos, lo que muestran y lo que no prueban

Una fila de un buscador de dispositivos trae: dirección, puerto, lo que el servicio anunció de sí mismo (producto y versión, a veces), la fecha de la última vez que se vio, la organización a la que se atribuye y a veces un nombre inverso. Las sondas del buscador fueron quienes conectaron, no tú: consultar el índice es pasivo para el cliente.

Lo que la fila no trae: que el servicio siga abierto hoy, que la versión anunciada sea la real (un banner puede estar ocultado o ser falso), que el servicio sea vulnerable ni que la dirección pertenezca de verdad a la organización indicada. Las atribuciones salen de certificados, nombres y registros, y se equivocan sobre todo en alojamiento compartido.

Abre el laboratorio y mira exportacion. Seis filas llevan la organización «Tejidos Alcazaba», pero el alcance del encargo es un rango concreto de direcciones: 198.51.100.0/24. Una atribución del buscador no amplía el alcance: si la dirección está fuera del rango firmado, no se toca ni se analiza como si fuera del cliente, aunque el índice diga lo contrario.

Compara cada dirección con el rango de la tabla encargo.

El inventario del cliente rara vez coincide con lo que ve el exterior. Una dirección dentro del rango que aparece en el índice y no en el inventario es una pregunta: puede ser un equipo olvidado, un servicio de un proveedor o algo que nadie del cliente conoce. No es todavía un hallazgo: primero se pregunta.

Mira la exportación y el inventario y busca una dirección del rango que el cliente no listó.

La fila D-05 anuncia un servidor web en la dirección 198.51.100.122, con la organización correcta y un nombre inverso que parece de un portal. Pero el inventario dice que ese portal se dio de baja, y la fecha de la última vez que el índice lo vio es anterior a esa baja. Es un dato histórico, no una exposición vigente.

Reportarlo como servicio expuesto sería afirmar algo que la evidencia no sostiene. Se anota como dato no vigente, con las dos fechas, y se descarta como hallazgo.

El servicio de escritorio remoto de la fila D-04 es llamativo, pero antes de preocuparse hay que saber qué tan vieja es la observación. La edad de un dato se calcula contra el inicio del encargo, que consta en la tabla encargo: días entre la última vez que el índice lo vio y esa fecha.

Una edad grande no descarta el servicio, pero cambia el verbo del informe: «el índice lo registró» y «se debe confirmar con el cliente», no «está expuesto».