Cuando le preguntamos a una organización cuántos activos tiene expuestos a Internet, la respuesta suele ser un número redondo y bajo. El sitio institucional, el correo, quizás un portal de clientes. Tres, cuatro cosas.
Cuando corremos el descubrimiento, el número real es sistemáticamente mayor. No por dos o tres: por un orden de magnitud, en organizaciones de tamaño mediano.
La diferencia entre esas dos cifras es la definición práctica de superficie de ataque: no es lo que usted publicó, es todo lo que quedó publicado.
De dónde sale la diferencia
Los activos que aparecen y nadie recuerda tienen orígenes bastante repetidos.
Lo que sobrevivió a un proyecto. El ambiente de pruebas de una migración que terminó hace dos años. El subdominio de la campaña de marketing de 2023. El portal del proveedor que se dejó de usar pero nunca se dio de baja. Siguen respondiendo, con el software del día en que se abandonaron.
Lo que levantó un tercero. La agencia que publicó una landing en un subdominio que le delegaron. El proveedor que expuso un panel de administración para dar soporte. El integrador que dejó abierto un endpoint de pruebas. Existen bajo el dominio de la organización y nunca pasaron por su área de TI.
Lo que quedó en el DNS. Registros que apuntan a servicios que ya no existen o a proveedores que ya no se usan. Cuando ese destino queda liberado, el registro huérfano habilita un subdomain takeover: alguien reclama ese recurso en el proveedor y pasa a controlar contenido servido desde un subdominio con el nombre de la empresa. Es de los hallazgos con peor relación entre impacto y esfuerzo de explotación.
Lo que dejó rastro en el pasado. Rutas y parámetros que quedaron registrados en archivos históricos de la web y siguen siendo alcanzables aunque ya no estén enlazados desde ningún lado.
Los hallazgos que más se repiten
Sin entrar en detalles que no corresponde publicar, hay un puñado de hallazgos que aparecen una y otra vez.
Paneles de administración accesibles desde cualquier origen. Interfaces de gestión —de CMS, de dispositivos de red, de bases de datos, de herramientas de monitoreo— alcanzables desde Internet sin restricción de origen. En la mayoría de los casos no hay una decisión detrás: quedó así desde la instalación.
Certificados TLS mal gestionados. Vencidos, emitidos para otro nombre, o cadenas incompletas que sólo fallan en algunos clientes. Rara vez es un problema de seguridad grave por sí mismo, pero es un indicador confiable de que nadie está mirando ese activo.
Servicios de administración remota expuestos. Acceso remoto publicado directamente, sin capa intermedia, sin restricción por origen y a veces sin segundo factor.
Encabezados y respuestas que cuentan de más. Versiones exactas de servidores y frameworks, mensajes de error con trazas internas, rutas del sistema de archivos. Nada de eso es una vulnerabilidad, pero le ahorra tiempo de reconocimiento a quien busca una.
Software sin actualizar en activos olvidados. El servidor que nadie mantiene porque nadie sabe que existe es, casi por definición, el más desactualizado del parque.
Un patrón atraviesa la lista: casi ningún hallazgo grave aparece en el activo principal. El sitio institucional suele estar razonablemente cuidado. Los problemas están en la periferia, en lo que no está en el inventario.
Por qué el análisis anual no alcanza
El análisis de vulnerabilidades tradicional se ejecuta sobre un alcance definido: una lista de IP o de dominios que alguien preparó. Es útil y sigue siendo necesario, pero tiene dos limitaciones estructurales.
La primera: hereda el error del inventario. Si el activo olvidado no está en la lista, no se analiza. Y el activo olvidado es exactamente donde está el problema.
La segunda: es una foto. Entre dos análisis anuales, la organización publica, migra, contrata proveedores y cierra proyectos. La exposición de marzo no describe la de octubre.
La gestión de superficie de ataque invierte las dos cosas: descubre en lugar de partir de una lista, y monitorea de forma continua en lugar de fotografiar. La pregunta que responde no es “¿estas máquinas tienen vulnerabilidades?” sino “¿qué hay hoy publicado con nuestro nombre y qué cambió desde ayer?”.
Qué hacemos en SORT ASM
Nuestro servicio de Attack Surface Management monitorea de forma continua hasta dos IP o dominios e integra los hallazgos al ciclo de riesgos del SGSI. Las técnicas que combina:
- Subdomain enumeration y DNS recon: descubrimiento del espacio de nombres real, más allá del inventario declarado.
- Subdomain takeover: detección de registros huérfanos que apuntan a recursos liberados.
- Historical URLs: rutas y parámetros que quedaron registrados históricamente y siguen alcanzables.
- HTTP probe: identificación de qué responde cada activo, con qué tecnología y qué expone en sus encabezados.
- Shodan / Censys: correlación con lo que los buscadores de dispositivos ya indexaron de la organización.
- Port scan y SSL/TLS: servicios accesibles y estado real de los certificados y de la configuración criptográfica.
El entregable no es un volcado de herramienta. Es un conjunto acotado de hallazgos priorizados por criticidad, con contexto sobre por qué importa cada uno en esa organización en particular, y con el cambio respecto del período anterior.
El punto de partida
Antes de contratar nada, hay un ejercicio que ordena la conversación y no cuesta dinero: pedir a TI la lista de todo lo que la organización tiene publicado, y contrastarla con lo que aparece en el DNS público.
La distancia entre esas dos listas es su superficie de ataque no gestionada. En nuestra experiencia, esa distancia es lo que más rápido convence a una dirección de que el problema existe.
SORT ASM forma parte de los niveles Advanced y Complete de nuestro modelo de servicio.