Gestión por SNMP, comunidades y versiones

Un dispositivo que habla el protocolo de gestión de red mantiene un árbol de valores: desde cuánto lleva encendido hasta sus interfaces, sus tablas internas y una descripción de sí mismo. Esa descripción es la que más sirve en un inventario, porque suele traer el modelo, la versión del programa interno y, con frecuencia, la ubicación física que alguien escribió al instalarlo.

Para el evaluador eso es inventario sin esfuerzo: el dispositivo cuenta lo que es, y lo cuenta a quien sepa la cadena de acceso. En las versiones 1 y 2c esa cadena —la comunidad— es todo el control que hay, viaja sin cifrar y suele ser la misma en muchos equipos. En la versión 3 hay usuarios, autenticación y cifrado del mensaje.

Lo que se escribe en el informe no es «usan la versión 2c»: es qué se lleva alguien que conozca la cadena, y si esa cadena permite además cambiar valores.

Una comunidad puede ser de solo lectura o de lectura y escritura. La diferencia no es de grado: con la primera alguien se entera de cosas, con la segunda alguien puede cambiarlas, y en ciertos dispositivos cambiar un valor significa apagar algo.

Abre el laboratorio y revisa la columna de permiso del inventario.

Cuando varios dispositivos comparten la misma cadena de lectura, el hallazgo deja de ser de un equipo y pasa a ser del edificio: quien la vea una vez, la tiene para todos. Y verla es fácil, porque viaja sin cifrar.

La cifra que va al informe es cuántos dispositivos responden a la misma cadena, porque es lo que convierte una línea de configuración en una frase que la dirección entiende.

En el inventario hay un dispositivo que no contesta nada y otro que usa la versión con usuario, autenticación y cifrado. Ninguno de los dos es un hallazgo, y conviene decirlo en el informe: lo que está bien resuelto se nombra, porque demuestra que el cliente sabe hacerlo y deja sin excusa al resto.

También conviene no inflar: que un multifuncional publique su contador de páginas no es una fuga de información sensible. El criterio es qué permitiría hacer o saber a alguien que no debería, no cuánto texto devuelve el dispositivo.