Cuándo se acaba el alcance y cómo se deja escrito

El alcance es un proceso de rondas. Se busca con los indicadores conocidos; los equipos que responden aportan indicadores nuevos (otra cuenta, otro servicio, otro destino); se vuelve a buscar con ellos; y así hasta que una ronda no trae ningún equipo nuevo. Ese es el primer criterio de parada. El segundo es de contabilidad: cada equipo del inventario tiene que estar en uno de tres estados, confirmado, descartado con evidencia o no verificado con su plan. El tercero es que nada quede sin dueño: lo que la red ve y el inventario no conoce se resuelve antes de cerrar.

Parar por cansancio, por falta de alertas o porque se cumplió el plazo es dejar el alcance en manos del azar.

Cada ronda busca con lo que extrajo la anterior. La primera usó los cuatro indicadores del puesto inicial. De los equipos que confirmó salieron un servicio y una cuenta de servicio que no estaban en el hallazgo original, y la segunda ronda buscó con ellos. Lo que aparece solo ahí es un equipo que ninguna búsqueda por los indicadores iniciales habría encontrado, y por eso la ronda siguiente no es opcional.

rondas

Lee la tabla y quédate con lo que trajo la ronda en que el servicio y la cuenta entraron a buscar.

Un equipo se declara limpio cuando respondió a todas las rondas y no devolvió coincidencia. No es una opinión: es lo que queda al restar. Del inventario salen los confirmados y salen los no verificados, que no cuentan como limpios aunque tampoco hayan dado un hallazgo.

inventario
registro_alcance

Cuenta los equipos del inventario, resta los que el registro tiene como confirmados y los que tiene como sin verificar, y lo que queda es lo descartado con evidencia.

El inventario es lo que la empresa cree tener; el DNS es lo que de verdad habló. Si una dirección consulta el dominio del implante y no aparece en el inventario, hay un dispositivo que nadie registró: un equipo ajeno, uno olvidado, un invitado. No se puede afirmar que esté comprometido ni que no lo esté, y sin embargo toca el mismo dominio. Mientras no se identifique, el alcance no está cerrado.

dns_proxy
| summarize veces = count() by ip_origen

Compara cada dirección distinta que consultó el dominio con las del inventario.

El alcance que se entrega tiene tres partes: lo confirmado con su evidencia, lo descartado con su criterio, y lo que no se pudo comprobar con su motivo y su plan. Lleva la fecha y hora de corte, las fuentes consultadas con sus límites de retención y las consultas guardadas, para que otra persona las repita y obtenga lo mismo. Una frase corta que dice «seis equipos» sin nada de esto es una cifra que nadie puede verificar.

Y declara lo abierto: el dispositivo sin identificar y los equipos sin verificar aparecen en el informe como pendientes, no se omiten para que el resultado se vea más limpio.