Qué hace la técnica
La enumeración de subdominios es el levantamiento de los nombres que existen bajo un dominio: api.ejemplo.com, preproduccion.ejemplo.com, panel-antiguo.ejemplo.com. Es el primer paso práctico de cualquier mapeo externo, y lo hacen igual el equipo de seguridad y quien está del otro lado.
El objetivo no es la lista de nombres. Es llegar a los que responden, porque un nombre que no resuelve no es superficie.
Las fuentes públicas
Registros de emisión de certificados. Toda autoridad certificadora publica lo que emitió, con el nombre que consta en el certificado. Un entorno interno que obtuvo certificado válido anunció su propio nombre en ese registro.
DNS. Consultas directas, transferencias de zona mal configuradas, y registros que quedaron apuntando a servicios que ya salieron de línea.
Archivos de rastreo web. Buscadores y proyectos de archivo guardan URLs vistas a lo largo de los años, incluidas páginas que la empresa ya retiró.
Código y configuración públicos. Una dirección interna que aparece en un repositorio abierto, en un archivo de configuración publicado por error, o dentro de un paquete que salió.
Ninguna de esas fuentes exige interacción con la infraestructura del objetivo. Son el motivo de que el mapa exista del lado de fuera antes que del lado de dentro.
Pasiva y activa
La pasiva consulta esas fuentes y no toca el objetivo. La activa prueba nombres contra el servidor para descubrir los que existen y no están publicados en ningún sitio, lo que genera tráfico identificable y exige autorización.
El orden eficiente es pasiva primero, porque devuelve la mayor parte del resultado sin coste ni riesgo, y activa después, sobre lo que quedó abierto.
La parte fácil y la parte difícil
Encontrar nombres es la parte fácil. Las herramientas abiertas lo hacen bien, y la lista sale grande.
Decidir qué es suyo es la parte difícil, y es donde el ejercicio suele detenerse. La lista bruta trae nombres que ya no resuelven, nombres que pertenecen a otra empresa por coincidencia de cadena, nombres de un servicio que la empresa contrató sin saber que tendría dirección propia, y nombres de una marca que la organización vendió hace dos años.
Un inventario construido sobre la lista bruta se pasa, y uno construido solo sobre lo que la empresa ya reconocía se queda corto. Resolver eso es atribución, un problema distinto de la enumeración y bastante menos automatizable.
Por qué envejece rápido
El resultado de hoy describe hoy. Un subdominio nuevo entra en operación cada semana, y un levantamiento trimestral genera la sensación de cobertura sin la cobertura.
Por eso la técnica solo produce valor sostenido dentro de un ciclo continuo de gestión de la superficie de ataque, y no como ejercicio puntual.