Mapa de relaciones, huella digital y cómo se documenta

Un mapa de relaciones es una lista de aristas: una entidad, una relación y otra entidad, cada una con la fuente de la que salió y un nivel de confianza. Una herramienta de visualización puede dibujarlo, pero lo importante está en la tabla. La confianza se asigna por la calidad de la fuente: un registro de titularidad o un registro DNS es fuerte; una atribución que hace un índice por un certificado compartido, débil.

Las relaciones de baja confianza no se borran, pero tampoco se presentan como hechos. Se marcan como hipótesis, y por lo general se confirman con el cliente antes de que entren al informe.

Abre el laboratorio y consulta relaciones. Seis aristas, cada una con su fuente y su confianza. Una de ellas atribuye una dirección al cliente solo porque un índice la asoció a su nombre: es la misma dirección que quedó fuera del rango en la sala de dispositivos.

Localiza la relación de confianza baja.

Un mapa también registra lo que no se debe seguir. Una de las aristas muestra que la empresa tiene una filial, y la filial no está en el contrato del encargo. Seguir esa arista, buscar sus dominios o sus personas, es salirse del alcance aunque la información esté a un clic. El mapa la deja anotada como existente y no avanza.

Es lo mismo que pasaba con las consultas de buscador marcadas como fuera de alcance: constancia de que se vio y de que no se abrió.

La huella digital es todo lo que la organización deja ver de sí misma sin querer o queriendo: dominios, direcciones, nombres, documentos, proveedores. La parte sensible es la que ahorra pasos a quien quiera atacar o expone a las personas. La escala del equipo tiene tres niveles: baja si el cliente lo publicó a propósito, media si ahorra pasos sin dar acceso, alta si da acceso directo o expone credenciales o datos de personas.

La sensibilidad alta no se resuelve en el informe final: obliga a avisar al contacto dentro del plazo del encargo. Por eso importa saber cuántos elementos hay en ese nivel.

Un hallazgo de reconocimiento pasivo se documenta para que otra persona pueda volver a la fuente y ver lo mismo. Lleva: la consulta o el procedimiento exacto, la fuente, la fecha y hora de la consulta, la dirección del resultado, el nivel de confianza y una captura o copia mínima. Si el dato es sensible, la captura se reduce a lo necesario para ubicarlo y el dato en sí se tapa o no se guarda.

Un hallazgo que dice «vi algo en un foro» no se puede verificar, ni defender, ni corregir si la fuente cambió.