Inventario de activos expuestos en Internet: cómo saber qué debe proteger tu empresa
Por Carlos Isidoro De Ayala Diaz ·
Inventario de activos expuestos: cómo localizar dominios, IP, certificados y servicios, asignar responsables y priorizar riesgos antes de una auditoría.
Define el activo y asigna un responsable antes de escanear
Un inventario de activos expuestos responde a una pregunta operativa: qué elementos de la empresa pueden alcanzarse desde Internet y quién debe decidir sobre ellos. Incluye dominios y subdominios, rangos IP, registros DNS, certificados, portales, API, pasarelas de correo, VPN, escritorios remotos, balanceadores, servicios en la nube y sistemas administrados por proveedores. También contempla entornos de pruebas o campañas temporales que pueden seguir publicados después de terminar un proyecto.
La lista debe relacionar cada activo con su finalidad, propietario técnico y responsable de negocio, proveedor, entorno, criticidad, datos o procesos que soporta y fecha de última observación. Para dominios y certificados conviene registrar titular, renovación y contacto. En recursos dinámicos también se conserva la fuente que confirmó su existencia y el grado de confianza. El NCSC recomienda mantener una fuente autorizada y reconciliarla con lo que se descubre en redes y plataformas.
Un activo no equivale a una vulnerabilidad. Encontrar un subdominio, una dirección IP o un servicio no demuestra que sea inseguro; primero permite comprobar si pertenece a la organización, si continúa siendo necesario y si está bajo control. Separar inventario, enumeración de vulnerabilidades y prueba de penetración evita convertir una observación técnica en una conclusión que la evidencia todavía no sostiene.
Antes de realizar comprobaciones activas se documenta el alcance autorizado. Una dirección puede alojar sistemas de varios clientes y un servicio SaaS pertenece al proveedor aunque la empresa lo utilice. La autorización identifica rangos, dominios, fechas, intensidad, exclusiones y contacto para incidencias. Los activos de terceros se registran como dependencia y se revisan según contrato y reglas del proveedor, sin probarlos como si fueran infraestructura propia.
Combina fuentes porque ninguna descubre todo el perímetro
El inventario inicial se construye con fuentes internas que ya deberían reflejar decisiones de la empresa: registradores de dominio, zonas DNS, asignaciones de IP, gestores de certificados, cuentas de nube, balanceadores, WAF, CDN, directorios, repositorios de infraestructura, CMDB, compras y facturación. Estas fuentes explican quién contrató un recurso y para qué. Sin embargo, pueden conservar elementos retirados o no incluir un servicio creado fuera del procedimiento habitual.
La observación pasiva aporta otra vista. Registros DNS, transparencia de certificados, telemetría de red, logs de acceso y catálogos de proveedores pueden revelar nombres o direcciones que no aparecen en la lista central. También ayudan a reconocer cambios sin enviar tráfico de prueba. La información pública requiere validación: un certificado histórico o un registro almacenado por terceros puede corresponder a un activo ya retirado, transferido o renombrado.
El descubrimiento activo confirma qué responde actualmente dentro del alcance aprobado. Puede identificar puertos, protocolos y servicios visibles, pero se configura con límites de frecuencia, horario y exclusiones para no afectar sistemas sensibles. CISA distingue el descubrimiento de activos de la enumeración de vulnerabilidades y propone combinarlos como capacidades complementarias. Su directiva y sus frecuencias obligan a determinadas agencias federales de Estados Unidos; para una empresa española sirven como referencia operativa, no como requisito legal.
Los resultados se correlacionan por dominio, IP, cuenta, certificado y proveedor para eliminar duplicados sin ocultar relaciones. Una IP puede servir a varios nombres y un dominio puede cambiar de dirección con frecuencia. El inventario conserva esas relaciones y una marca temporal en vez de presentar una fotografía como verdad permanente. Las discrepancias se convierten en tareas: confirmar propietario, cerrar un recurso, incorporarlo al catálogo o documentar por qué debe permanecer accesible.
Valida la exposición y prioriza con contexto de negocio
Una revisión útil confirma servicio, protocolo, producto y versión solo hasta donde la evidencia lo permite. Comprueba autenticación, paneles administrativos, rutas por defecto, entornos de preproducción, certificados caducados, registros DNS sin destino y sistemas heredados. Un banner puede estar oculto, manipulado o desactualizado; por eso no basta para afirmar una versión vulnerable. Cuando hace falta demostrar impacto, la propuesta debe autorizar comprobaciones adicionales con condiciones claras.
OWASP plantea analizar la superficie a partir de puntos de entrada y salida, código de protección y datos valiosos. Aplicado a infraestructura, esto obliga a mirar qué puede hacer una persona al llegar al servicio, qué identidad controla el acceso y qué sistema o información existe detrás. Dos portales visibles no tienen el mismo riesgo si uno publica información y el otro administra pedidos, credenciales o copias de seguridad.
La prioridad combina alcance desde Internet, privilegios necesarios, datos y procesos afectados, explotación conocida, controles compensatorios, dependencia operativa y facilidad de reversión. También considera si existe un responsable capaz de ejecutar la corrección. Un activo sin propietario merece atención aunque todavía no tenga una vulnerabilidad confirmada, porque nadie vigilará su renovación, sus alertas ni el momento de retirarlo.
El informe distingue hechos, hipótesis y límites. Puede acreditar que un servicio responde, que un certificado pertenece a cierto dominio o que una ruta solicita autenticación. No convierte esa observación en una promesa de cobertura total ni en una prueba de seguridad. Las certificaciones OSCP, OSWP, OSEP y eJPT del equipo respaldan formación técnica para evaluar sistemas dentro de un alcance autorizado; no sustituyen el inventario del cliente ni garantizan descubrir todo lo que exista.
Mantén el inventario como un proceso continuo y verificable
La superficie cambia cuando se abre una sede, se prueba una campaña, se migra una aplicación o un proveedor crea un nuevo endpoint. Por eso el inventario necesita eventos de actualización y revisiones periódicas. Las altas de dominio, DNS, certificados, recursos de nube y accesos remotos pueden generar avisos. Los propietarios confirman los cambios y el procedimiento de baja comprueba que desaparecen DNS, certificados, reglas, cuentas y renovaciones, no solo la aplicación visible.
Los indicadores deben ayudar a operar: porcentaje de activos con propietario, elementos sin finalidad confirmada, recursos no vistos recientemente, cambios pendientes de validar y cobertura de las fuentes de descubrimiento. Una cifra de activos por sí sola puede crecer porque mejora la visibilidad. Conviene acompañarla con antigüedad, confianza y estado para distinguir un hallazgo nuevo de un registro histórico o un falso positivo.
También se conserva evidencia suficiente para reproducir una decisión sin almacenar secretos. Fecha, fuente, identificador, responsable, validación y acción acordada permiten saber por qué se mantuvo o retiró un elemento. Después de una adquisición, migración, incidente o proyecto temporal se programa una reconciliación específica. La revisión de accesos y vulnerabilidades utiliza este inventario como alcance, pero registra por separado sus pruebas y resultados.
Élite Solutions Tech puede ayudar desde Murcia a empresas regionales y nacionales a ordenar dominios, IP, servicios y responsables antes de una auditoría de seguridad. La propuesta concreta las fuentes disponibles, los activos autorizados, las comprobaciones activas, las exclusiones y los entregables. Para una primera valoración puedes indicar en el formulario de contacto el número aproximado de dominios, sedes y proveedores, sin enviar direcciones internas, credenciales ni otros datos sensibles.