Consultas de exposición en SQL

Un listado de lo público no dice qué importa. Un sitio web público es lo esperado; una base de datos con datos restringidos abierta a cualquier origen no lo es. La diferencia está en cruzar tres columnas: si el recurso tiene acceso público, a qué orígenes lo acepta y qué clasificación tiene su contenido.

En SQL eso es un WHERE con tres condiciones unidas por AND. Cada condición descarta ruido, y lo que sobrevive es la lista de trabajo. Conviene leer las consultas de menos a más condiciones para ver cómo se va estrechando.

El valor 0.0.0.0/0 en una regla de red significa «cualquier dirección de internet». Un recurso con acceso público y ese origen acepta conexiones de todo el mundo. Si además su contenido es Restringido, la combinación es la peor posible.

Aplica el filtro al inventario de Sierra Brava. La consulta de la lista tiene cuatro filas; al quitar lo que está clasificado como público, quedan las que importan. Entre ellas hay una base de datos con datos restringidos.

Un conteo convierte el hallazgo en un dato de gestión. «Hay varios recursos abiertos» no mueve a nadie; «hay N recursos que aceptan cualquier origen y guardan datos no públicos» sí. La consulta con COUNT y GROUP BY da el desglose por clasificación, pero para este conteo basta con la consulta que ya filtra.

Ojo con lo que se incluye: un sitio web público abierto al mundo es normal y no entra en esta cuenta. Se cuentan los que no están clasificados como públicos, sean bases, instancias o cualquier otro tipo.

Encontrar el recurso es la mitad. La otra mitad es saber a quién avisar, y eso está en otra tabla: la de equipos y responsables. Para pasar de una a otra se usa un JOIN, que une filas por una columna en común. Con un LEFT JOIN, las filas de la primera tabla se conservan aunque no tengan pareja en la segunda, y la columna que falta se muestra como NULL.

Esa ausencia es información: un recurso sin equipo no tiene a quién avisar, y por eso su hallazgo se escala a quien administra el inventario. En las consultas de AWS Config no hay JOIN (admiten solo un subconjunto de SELECT), pero en un inventario exportado a una base relacional el cruce es una consulta más.