Diseño y ejecución del escaneo

El escaneo comienza antes de pulsar Launch. Empieza cuando se decide qué representa un resultado completo. Esa definición controla las direcciones, puertos, identidades, plugins, tiempos de espera y límites de carga. Si se pospone hasta después de la ejecución, cualquier ausencia puede confundirse con seguridad.

Este playbook diseña una ejecución de red. Las evaluaciones de código, configuración de nube, imágenes de contenedor o aplicaciones requieren recolectores adicionales, aunque comparten el mismo principio: declarar el denominador y demostrar qué pudo observar cada recolector.

El flujo canónico de evaluación establece el ciclo completo. Esta página desarrolla la transición desde alcance e inventario hasta una ejecución controlada y comparable.

La orden de trabajo debe resolver:

• activos y redes incluidos
• activos compartidos o gestionados por terceros
• posiciones del escáner y rutas autorizadas
• identidades entregadas y privilegios esperados
• profundidad de comprobación y validación permitida
• ventanas, mantenimiento y zonas horarias
• sistemas frágiles, tecnología operacional e interfaces de administración
• comprobaciones excluidas, incluidos intentos de contraseña o denegación de servicio
• destinatarios de alertas y criterio de parada
• retención, cifrado y distribución de resultados

El alcance técnico se convierte en un manifiesto de objetivos. Una entrada útil conserva un identificador estable, todas las direcciones conocidas, propietario, función, criticidad, zona, sistema operativo esperado, ventana y exclusiones. Las direcciones solas no permiten reconciliar activos dinámicos.

Cada posición del escáner observa una política de red distinta. Sitúa sensores donde respondan a preguntas deliberadas:

• Internet para exposición externa
• red de usuario para rutas disponibles a una estación comprometida
• zona de servidores para exposición lateral
• red de administración para comprobaciones con privilegios
• segmento de nube o región remota cuando el tránsito cambia

Registrar solo «escaneo interno» borra esas diferencias. Conserva interfaz de origen, rutas, DNS, proxies, dispositivos intermedios y sincronización horaria.

Las identidades también definen una vista:

• sin credenciales
• cuenta local de lectura
• cuenta administrativa local
• cuenta de dominio
• clave SSH con sudo
• cuenta de base de datos o aplicación

Una única cuenta privilegiada para todo el entorno simplifica la configuración y amplía el impacto de una filtración. Las cuentas dedicadas, rotables y limitadas por plataforma reducen ese radio. El método de entrega y almacenamiento debe impedir que la contraseña termine en capturas, registros o exportaciones.

Tres decisiones suelen ocultarse bajo una plantilla:

1. Descubrimiento de host. Determina si la herramienta continuará con un objetivo.
2. Descubrimiento de puertos y servicios. Decide dónde ejecutará comprobaciones.
3. Pruebas de vulnerabilidad y configuración. Evalúa condiciones sobre lo descubierto o el inventario local.

ICMP bloqueado puede producir un falso host ausente. Un firewall que responde en nombre de múltiples destinos puede producir falsos activos o puertos. Un escaneo de puertos comunes puede omitir un servicio desplazado. Deshabilitar el descubrimiento fuerza la prueba de todos los objetivos, pero aumenta tráfico y duración. La elección necesita registrarse.

Compara la configuración del escáner con Nmap cuando la cobertura de red sea importante. Las herramientas pueden usar distintas sondas, timeouts y criterios de estado. Una discrepancia es una observación que debe explicarse.

Las etiquetas safe, full o fast pertenecen al producto. No garantizan ausencia de efectos. Una comprobación puede abrir muchas conexiones, negociar protocolos heredados, autenticar cuentas, escribir ficheros temporales o activar un error del servicio.

Clasifica las familias por:

• protocolo y activos a los que aplican
• necesidad de credenciales
• número y tipo de interacciones
• cambios de estado
• posibilidad de bloqueo de cuenta
• sensibilidad del dispositivo
• señal de éxito y señal de fallo

Los plugins de fuerza bruta, denegación de servicio, malware o aplicaciones web profundas requieren una decisión separada. Habilitar una familia completa por su nombre puede introducir pruebas que el contrato no contemplaba.

Antes de ampliar el alcance, utiliza una muestra pequeña y conocida:

• un objetivo de control que debe responder
• un objetivo que debe quedar bloqueado desde esa posición
• un host Windows y uno Linux con credenciales verificables
• un servicio o versión cuya detección esperada se conozca
• un dispositivo representativo de la zona más sensible

El canario verifica rutas, resolución, autenticación, inventario local, duración, carga, registros y formato de output. También permite medir si el escáner y la consola defensiva usan la misma hora.

Una ejecución rápida que produce pocos resultados puede ser peor que un fallo visible. Antes de continuar, confirma que el host autenticado devuelve inventario de paquetes o parches, no solo que la contraseña fue aceptada.

La carga depende de varios niveles:

• hosts simultáneos
• comprobaciones simultáneas por host
• conexiones o peticiones por comprobación
• timeouts y reintentos
• cobertura TCP y UDP
• velocidad y latencia de los enlaces
• capacidad del escáner y del servicio objetivo

Reduce primero el paralelismo por host cuando un sistema individual se satura. Reduce hosts concurrentes cuando el límite está en el enlace, el escáner o un dispositivo intermedio compartido. Aumentar el timeout puede recuperar respuestas lentas y también multiplicar la duración. Reducirlo puede crear falsos negativos.

Mide antes, durante y después:

vnstat --live --iface INTERFACE

--live muestra tráfico actual y --iface INTERFACE selecciona la interfaz que transporta el escaneo. La señal útil es el cambio de bytes y paquetes respecto a la línea base. Este dato no mide CPU, sesiones del servicio ni carga de firewall. Complétalo con telemetría del objetivo y de la ruta.

Para una captura acotada:

sudo tcpdump \
  -i INTERFACE \
  -nn \
  -w scan-window.pcap \
  'host TARGET_IP'

-i selecciona la interfaz, -nn evita resoluciones de nombres y servicios, -w guarda el tráfico en scan-window.pcap y el filtro limita la captura a TARGET_IP. La captura puede contener credenciales o datos sensibles. Su tratamiento pertenece a gestión de evidencias.

Una secuencia controlable puede ser:

1. descubrimiento y reconciliación de activos
2. escaneo no autenticado de la superficie acordada
3. escaneo autenticado por plataforma
4. políticas especializadas para bases de datos, red, web o configuración
5. repetición de objetivos fallidos con una sola variable corregida

Las oleadas reducen la mezcla de causas. Si una política única combina descubrimiento, fuerza bruta, auditoría local y pruebas web, un fallo tarda más en aislarse.

Durante la ejecución registra:

• identificador de tarea y hash o exportación de la política
• versión del escáner y estado del feed
• objetivos efectivos
• hora de inicio y fin
• cambios realizados durante la tarea
• hosts sin respuesta
• fallos de autenticación
• pausas, abortos y alertas operativas

Modificar una política después del escaneo y exportarla como si fuera la ejecutada rompe la reproducción. Conserva el artefacto asociado a la ejecución.

Ante un resultado vacío o extraño, cambia una sola variable:

Una repetición idéntica rara vez diagnostica. Conserva el control anterior y anota la hipótesis que justifica el cambio.

El identificador del activo debe ser estable aunque cambie la IP. Cada observación conserva:

• herramienta, versión y plugin
• feed o fecha de contenido
• política y posición
• identidad o modo no autenticado
• endpoint y marca temporal
• evidencia original
• CVE, CWE, CPE y puntuaciones como campos separados

Deduplicar por CVE elimina vulnerabilidades sin CVE y puede fusionar condiciones distintas. Deduplicar por título hereda nombres del proveedor. La unidad útil suele ser condición + activo + componente + evidencia, con relaciones hacia identificadores externos.

El retest utiliza la condición del hallazgo, no solo el mismo plugin. Comprueba:

• que el activo correcto recibió el cambio
• que la versión o configuración efectiva cambió
• que la ruta vulnerable dejó de producir la señal
• que el control no trasladó el problema a otra interfaz
• que el escáner recupera cobertura equivalente

Un resultado ausente después de perder credenciales no demuestra remediación. Compara autenticación, política, feed y alcance antes de cerrar.

• NIST SP 800-115
• Tenable Nessus: Scan and Policy Templates
• Tenable: Nessus Scan Tuning Guide
• Greenbone OS 25.0: Scanning a System