Escaneo e inventario de activos

Todo programa de gestión de vulnerabilidades se basa en un fundamento: saber qué tiene. Un inventario de activos preciso define el alcance del escaneo; todo lo que falta en él es un punto ciego sin supervisión.

La TI en la sombra, las instancias de nube olvidadas y los contenedores no gestionados son lugares donde se ocultan las brechas. Primero haga el inventario y después el escaneo.

El inventario moderno abarca más que los servidores:

• Hosts físicos y virtuales, portátiles y dispositivos de red.
• Instancias de nube, funciones sin servidor y buckets de almacenamiento.
• Contenedores e imágenes.
• Software instalado y versiones del sistema operativo.
• Dominios, direcciones IP y certificados expuestos públicamente.

Registre el responsable, el entorno y la criticidad de cada activo, no solo su dirección IP.

El descubrimiento activo sondea la red (barridos de ping y escaneos de puertos) para encontrar hosts activos. Es exhaustivo, pero genera ruido y puede pasar por alto los activos que estén apagados durante el escaneo.

El descubrimiento pasivo observa el tráfico, DHCP y los registros para detectar activos sin sondearlos. Combine ambos: el pasivo ofrece visibilidad permanente y el activo aporta profundidad y verificación.

Esta distinción determina la precisión:

• Los escaneos no autenticados muestran lo que vería un tercero externo: puertos abiertos, banners y servicios expuestos. Ofrecen una profundidad limitada y generan más falsos positivos.
• Los escaneos autenticados (con credenciales) inician sesión y leen los paquetes instalados, los niveles de parche y la configuración. Son mucho más precisos.

Prefiera el escaneo autenticado para los activos internos y reserve el no autenticado para obtener una visión de la superficie de ataque externa.

Los escáneres de red se conectan a los activos según un calendario; son excelentes para lograr amplitud, pero no detectan los hosts desconectados o transitorios.

Los agentes instalados en los endpoints informan continuamente, incluso en portátiles que cambian de red y cargas de trabajo efímeras en la nube. Muchos programas combinan ambos: agentes para endpoints gestionados y escaneos de red para IoT/OT y dispositivos no gestionados.

Los escáneres comparan las versiones de software y las configuraciones observadas con una base de datos de vulnerabilidades indexada mediante identificadores CVE y CPE.

• CVE — identificador único de una vulnerabilidad específica.
• CPE — nombre estandarizado de un producto o una versión.

Si un host ejecuta un CPE que se corresponde con CVE conocidos, el escáner lo marca. La precisión depende de que la detección de la versión sea correcta.

Los escáneres no son perfectos:

• Falsos positivos — se marcan, pero en realidad no son explotables (por ejemplo, un parche retroportado oculta la versión real).
• Falsos negativos — no se detectan debido a una autenticación fallida, puertos bloqueados o software desconocido.

El escaneo autenticado y la validación reducen ambos tipos. Ajuste y verifique siempre los resultados antes de enviar los hallazgos a los equipos de remediación.

El escaneo tiene un impacto operativo. Planifíquelo:

• Limite la velocidad para evitar sobrecargar los sistemas frágiles o de OT/heredados.
• Programe los escaneos intensivos durante las ventanas de mantenimiento.
• Utilice modos de comprobación segura y evite los plugins intrusivos en producción.
• Coordínese con el NOC para que los escaneos no se confundan con ataques.

Un escaneo que bloquee un controlador de producción hará que pierda el respaldo institucional del programa.

Los activos de la nube son efímeros, por lo que los inventarios estáticos quedan obsoletos rápidamente. Utilice el descubrimiento mediante API:

• Consulte las API del proveedor de nube para obtener las instancias, las funciones, los buckets y los grupos de seguridad.
• Escanee las imágenes de contenedor en el registro, no solo los contenedores en ejecución.
• Añada etiquetas a los recursos en el momento de su creación para que la asignación de responsables sea automática.

Integre el escaneo en CI/CD para comprobar las imágenes antes de implementarlas.

Un inventario solo es útil si está actualizado. Aliméntelo de fuentes autorizadas:

• Concilie los escaneos de red, los agentes y las API de la nube en una única fuente de verdad (CMDB).
• Marque para revisión los activos que no se hayan detectado durante N días.
• Genere alertas sobre activos nuevos o inesperados (posible TI en la sombra).

El porcentaje de cobertura (activos escaneados frente a activos conocidos) es una métrica fundamental del programa.

El inventario y los resultados del escaneo generan hallazgos, pero el contexto los convierte en riesgo. Etiquetar los activos con su criticidad, exposición y sensibilidad de los datos permite priorizarlos: un servidor esencial expuesto a Internet tiene prioridad sobre una máquina virtual de pruebas aislada con el mismo CVE.

Este contexto de los activos se incorpora directamente a las técnicas de priorización que se explican a continuación.

Confirme por qué es importante el escaneo con credenciales.

Un inventario preciso es la base de la gestión de vulnerabilidades: registre hosts, recursos de nube, contenedores, software y superficie externa junto con sus responsables y su criticidad. Combine el descubrimiento activo y pasivo, prefiera el escaneo autenticado y basado en agentes para obtener precisión, y tenga en cuenta los falsos positivos y negativos, así como la seguridad del escaneo.

Mantenga actualizado el inventario mediante la conciliación basada en API y etiquete los activos con contexto para poder priorizar los hallazgos. A continuación: cómo decidir qué corregir primero mediante CVSS, EPSS y KEV.