Gestión fuera de banda y telefonía IP

Un servidor de bastidor trae una pequeña computadora dentro, independiente del sistema operativo, con su propia dirección de red: la tarjeta de gestión fuera de banda. Sirve para encender y apagar el servidor, ver su pantalla, montarle un disco virtual y leer sus sensores, y sigue funcionando con el servidor apagado.

Eso cambia la aritmética del riesgo. Quien alcanza esa tarjeta no necesita nada del sistema operativo: no le importan sus parches, sus antivirus ni sus registros. Por eso el diseño de referencia las pone en una red de gestión separada, a la que solo se llega desde puestos de administración, y por eso una tarjeta en la misma red que los usuarios es un hallazgo aunque su programa interno esté al día.

A esto se suma que estas tarjetas se instalan una vez y se olvidan: su cuenta de fábrica suele venir documentada por el fabricante y su programa interno rara vez se actualiza.

En el inventario hay tres tarjetas. Dos tienen la cuenta de fábrica retirada; una la conserva, y además es la única cuyo panel no cifra la sesión.

Abre el laboratorio y lee la tabla de gestión.

El cliente entregó su plan de VLAN y ahí está escrito dónde deberían vivir las tarjetas de gestión. La evidencia dice otra cosa: dos quedaron en la misma red que la telefonía y una en la de oficina.

Esto es lo que convierte dos listas sueltas en un hallazgo: no «los teléfonos están en una VLAN» ni «las tarjetas están en otra», sino que comparten una, y que esa no es la del plan. Quien alcance un teléfono —y un teléfono está debajo de cada escritorio, con su cable a la vista— alcanza también esas tarjetas.

Los tres hallazgos de esta sala —la cuenta de fábrica, el panel sin cifrar y las tarjetas fuera de la red de gestión— se corrigen de maneras muy distintas. Cambiar una cuenta es trabajo de minutos; mover tarjetas de VLAN exige una ventana de mantenimiento y coordinación con quien administra la red.

Una recomendación útil dice qué se cambia, quién lo hace y cómo se comprueba después. Y ordena por lo que más reduce el riesgo con menos esfuerzo, no por lo que suena más grave. Ojo con el detalle de la telefonía: el archivo de aprovisionamiento que se descarga sin autenticar es un hallazgo propio, porque esos archivos suelen llevar dentro cómo se registra el teléfono.