Lo que nadie recuerda haber publicado
Casi todas las brechas empiezan por algo que la organización no sabía que estaba expuesto: un entorno de pruebas con una dirección pública, un subdominio que apunta a un servicio dado de baja, un panel de administración abierto "temporalmente", una base de datos accesible desde internet por un error de configuración.
Nadie los protegió porque nadie los tenía en la lista. Para un atacante, en cambio, son lo primero que aparece.
Mirar desde fuera
El inventario de superficie se hace desde el punto de vista del atacante, no desde la documentación:
- Direcciones públicas asignadas en cada nube y en la infraestructura propia.
- Dominios y subdominios, incluidos los que apuntan a servicios que ya no existen.
- Puertos y servicios que responden desde internet.
- Certificados emitidos para nombres de la organización, que revelan sistemas que a veces nadie recuerda.
- Credenciales filtradas en repositorios públicos o volcados conocidos.
Lo encontrado se compara con lo que se cree que está expuesto. La diferencia es la lista de trabajo más urgente (igual que en el levantamiento de lo heredado, pero mirando hacia fuera).
Reducir antes que proteger
Para cada elemento expuesto, la primera pregunta no es "¿cómo lo protejo?", sino "¿tiene que estar expuesto?". Muchas veces la respuesta es no:
- Los entornos de pruebas y los paneles de administración no se publican; se accede a ellos por un acceso privado.
- Los subdominios huérfanos se eliminan.
- Lo que sí debe ser público pasa por la zona expuesta, con su protección, como en el diseño por zonas.
Un inventario que no envejece
La superficie cambia cada vez que alguien despliega algo. Por eso el inventario no es un ejercicio anual, sino una comprobación periódica y automática que avisa cuando aparece algo nuevo expuesto que no estaba previsto.
Saber qué hay que proteger permite el paso siguiente: decidir con qué controles, y apoyarse en lo que ya existe en lugar de inventarlo.
Cómo lo aplicamos: Ciberseguridad.