El motor expuesto: puerto, versión y autenticación

Un motor de base de datos abre un puerto y espera conexiones. Cada motor tiene uno habitual: 1433 para SQL Server, 3306 para MySQL, 5432 para PostgreSQL, 27017 para MongoDB, 6379 para Redis. Verlo abierto en un barrido solo dice que el servicio existe.

Hay dos datos distintos detrás de la palabra «expuesto». El primero es en qué interfaces de la máquina abre el puerto: solo en la propia máquina, en una dirección de la red interna o en todas. El segundo es quién llega de verdad hasta ese puerto, contando los cortafuegos y las reglas de red que hay de por medio. Un motor puede escuchar en todas las interfaces y no ser alcanzable más que desde dos servidores; y uno que escucha en una sola dirección interna puede quedar publicado hacia fuera por una regla de traducción de direcciones.

El hallazgo no es «el puerto está abierto». Es «el motor responde desde una red que no tiene motivo para hablar con él»: la red de oficina, una red de invitados, internet. Por eso el evaluador pregunta siempre desde dónde se tomó cada observación.

La carta de Nimaima pone en alcance los motores de la VLAN de servidores y una dirección publicada. Esa segunda parte importa: alguien dejó un servicio de la red interna accesible desde internet, y la carta lo sabe.

Abre el laboratorio, lee primero la carta y después el inventario. Mira la columna que dice desde dónde se alcanza cada motor, no la que dice dónde escucha.

La versión de un motor importa por una razón concreta: cuando el fabricante deja de publicar correcciones, cada fallo nuevo se queda abierto para siempre. Pero el evaluador no deduce esa fecha de memoria a partir de un número: la toma de la fuente. En este encargo la fuente es el propio inventario del cliente, que tiene una columna con el estado del soporte de cada motor.

Esa cifra va en el informe tal cual, citando de dónde sale.

Muchos motores anuncian su versión al primer contacto, y los escáneres la comparan con su lista de fallos conocidos. Esa comparación es una pista, no una prueba. Las distribuciones de sistemas operativos suelen corregir un fallo sin cambiar el número de versión que anuncia el paquete, y al revés: un administrador puede ocultar o cambiar el texto del saludo.

Por la misma razón, mover el motor a un puerto poco habitual —como el de rastreo de Nimaima, que no está en el de siempre— no lo protege: un barrido completo lo encuentra igual. Es una molestia para el barrido rápido, no un control.