Sala 6 · los contenedores, el aire y el informe de toda la revisión

En Kubernetes, sin una política de red, todos los pods de un clúster pueden hablar con todos. Una política que deniega todo el tráfico de entrada y permite solo lo necesario cierra el espacio de nombres por defecto. Un pod privilegiado tiene casi los mismos permisos que el equipo que lo aloja, así que el peor caso es el de un pod privilegiado en un espacio al que cualquiera puede llegar.

Un punto de acceso con el nombre de la red de la empresa, pero con una dirección física que el inventario no conoce, puede ser un equipo conectado sin autorización o una copia de la red, y las personas se conectarían a él creyendo que es la suya. Los vecinos con otros nombres de red son ruido normal del aire; lo que se revisa es un nombre propio con una dirección ajena.

Un criterio de priorización sirve cuando se aplica igual a todos los hallazgos: los puntos de la severidad y de la exposición se suman y, si el activo es crítico, el resultado se duplica. Sin ese orden, la discusión sobre qué se arregla primero se vuelve de opinión.

Una ventana de cambio tiene horas fijas, y llenarla por puntaje no es sumar hasta que se acaben las horas: el primer hallazgo que no cabe entero se aplaza a la ventana siguiente, aunque tenga más puntaje que los que sí caben después.

Un resumen ejecutivo repite cifras, y una cifra mal copiada llega a la gerencia con la fuerza de un hecho. Antes de entregarlo se contrasta cada número del borrador con la tabla de hallazgos, y se corrige el borrador, no la evidencia.