El punto de partida decide el resultado
El descubrimiento de activos es el proceso de identificar qué tiene una organización en operación. Parece una tarea de herramienta y es, antes de eso, una elección de premisa.
Quien parte del inventario existente confirma el inventario existente. El barrido sale de la lista, visita lo que la lista manda visitar y devuelve un retrato más detallado del mismo conjunto. Lo que quedó fuera sigue fuera, ahora con un informe diciendo que todo está bien.
Quien parte del dominio raíz encuentra otra cosa. La pregunta cambia de "en qué estado están estos activos" a "qué activos existen", y esas dos preguntas casi nunca devuelven el mismo conjunto.
Activa y pasiva
El descubrimiento pasivo observa lo que ya es público: registros DNS, certificados emitidos, las respuestas que los servicios dan a quien pregunta. No toca el objetivo de forma que lo note, así que no depende de autorización ni de ventana de mantenimiento.
El descubrimiento activo interactúa con el servicio para confirmar qué es y en qué estado está. Devuelve más precisión y exige autorización, porque genera tráfico identificable.
El orden que funciona es pasivo primero, para dibujar el mapa, y activo después, sobre lo que el mapa mostró. Invertirlo significa gastar interacción en los activos que ya conocía.
Qué quiere decir "completo" aquí
Nada, y suponer lo contrario es el error más caro del asunto.
La superficie cambia cada semana. Un subdominio nuevo entra en operación, un entorno temporal sube, un servicio de terceros cambia de configuración. Un inventario completo describe un instante, y el instante pasa antes de que el informe quede listo.
Lo que se persigue es cobertura creciente con actualización continua, y la métrica honesta es la distancia entre lo que el inventario oficial registra y lo que el descubrimiento encuentra. Mientras esa distancia se reduce, el programa funciona.
Encontrar es la parte fácil
Lo que atasca el programa es atribuir.
Un buen descubrimiento devuelve cientos de activos que nadie reclama. Sin responsable, cada uno se atasca: no se convierte en ticket, no entra en ciclo de corrección y no sale de línea, porque apagar algo exige que alguien confirme que nadie depende de eso.
Aquí es donde se atasca la mayoría de los programas, no en la fase técnica. Una herramienta de descubrimiento resuelve el levantamiento; la atribución depende de ligar un activo a un área, y esa ligadura rara vez está escrita en ningún sitio.
La gestión de la superficie de ataque trata descubrimiento y atribución como el mismo paso, justamente porque separarlos produce una lista que nadie ejecuta.