Autorización, alcance y ventana del escaneo

Un escaneo dinámico no lee código: habla con la aplicación viva. Llena formularios, cambia parámetros, sigue enlaces y repite peticiones con valores raros. Para el servidor y para quien lo vigila, eso se parece mucho a un ataque, y puede tener efectos: registros creados, correos enviados, cuentas bloqueadas, una base de datos más lenta.

Por eso el escaneo empieza con una autorización escrita del dueño del sistema, no del equipo que lo opera ni del que lo pidió. La autorización útil dice cinco cosas: qué hosts entran y cuáles no, la ventana de tiempo, el origen desde el que sale el tráfico, los límites (ritmo, rutas que no se tocan, cuentas permitidas) y quién puede pedir parar. Lo que no está escrito en ella no está autorizado, aunque sea de la misma empresa.

El escáner no lee la autorización: lee su contexto, que es la lista de expresiones regulares que dicen qué direcciones son objetivo y cuáles se excluyen. Todo lo que coincide con una inclusión y no con una exclusión se puede visitar y atacar. Un comodín puesto por comodidad puede meter dentro un host que la autorización deja fuera, y el escáner no tiene forma de saberlo.

Abre el laboratorio, lee autorizacion-AUT-TIN-2026-46.txt y después contexto-escaner.txt. Prueba mentalmente cada host de la autorización, los de dentro y los de fuera, contra las dos expresiones de inclusión.

Dentro del objetivo hay rutas que no se tocan: las que cierran la sesión de la cuenta de prueba, las que borran datos o las que disparan algo fuera de la aplicación. La autorización las enumera; el contexto debe tenerlas todas como exclusión, porque un escáner activo prueba también los formularios que envían datos y no pregunta antes.

Compara la lista del punto 6 de la autorización con las exclusiones del contexto, una por una.

La ventana se escribe en la hora del cliente, y casi nunca es un capricho: es el tramo en que operaciones sabe que habrá tráfico raro y puede vigilarlo. Pero el programador de tareas que lanza el escaneo suele correr en otro reloj. Si nadie convierte, el escaneo arranca a una hora en la que nadie lo espera, y la mesa de servicio lo trata como lo que parece.

Lee plan-ejecucion.txt. Fíjate en qué reloj usa la estación y en cuál está escrita la ventana de la autorización.

Un escaneo autorizado puede tener que pararse: la base de datos de preproducción se pone lenta, alguien ve algo raro o la ventana se acaba. La autorización de Tinajillas dice quién puede pedirlo y cómo se responde, y contactos.txt dice qué se anota. Discutir primero si el escaneo «de verdad» está causando el problema convierte una pregunta razonable en un incidente.