Por qué la parte externa lleva nombre propio
La superficie de ataque externa es el subconjunto de activos que responden en internet pública, alcanzables sin credencial, sin VPN y sin acceso previo.
El recorte parece arbitrario y no lo es. Existe porque esta es la única parte de su exposición que un adversario puede estudiar antes de cualquier contacto con su empresa. Sin permiso, sin disparar alerta, sin dejar rastro que su SOC vaya a notar. Mientras la organización discute prioridad de corrección en una reunión, su mapa ya circula del otro lado.
Qué entra en la cuenta
| entra | no entra |
|---|---|
| dominios y subdominios que resuelven | red interna tras el firewall |
| IPs y rangos con servicio respondiendo | estaciones de trabajo |
| aplicaciones web y API publicadas | sistemas que exigen VPN |
| paneles administrativos alcanzables | recursos compartidos internos |
| certificados, y lo que revelan | políticas de grupo |
| entornos en la nube con endpoint público | copias de seguridad sin conexión |
La lista de la derecha no es menos importante. Solo llega después, y casi siempre por un camino que empezó en la izquierda.
El problema del alcance
Descubrir la superficie externa parece tarea de listar subdominios. No lo es, y el motivo es tedioso: la frontera de la organización rara vez coincide con la frontera del dominio principal.
Una empresa opera marcas con dominio propio. Compra otra y hereda su infraestructura. Mantiene presencia en un país donde la operación local usa otro registro. Contrata una agencia que publica en el dominio de la agencia. Cada uno de esos casos produce un activo del que la empresa es responsable y que ningún barrido del dominio raíz encuentra por sí solo.
Por eso el inventario oficial casi siempre se queda corto. Se construyó de dentro hacia fuera, siguiendo el organigrama. La superficie externa no sigue organigramas.
La ventana de exposición
Un activo externo tiene una dimensión que el activo interno no tiene con la misma fuerza: cuánto tiempo estuvo alcanzable antes de que alguien lo notara.
Un subdominio apuntando a un servicio desactivado puede ser reclamado por un tercero. Un panel administrativo publicado por error queda indexado. Un certificado emitido para un entorno de pruebas anuncia el nombre de ese entorno a quien sigue los registros públicos de emisión.
Ninguno de esos casos aparece en un barrido de vulnerabilidades, porque ninguno es una vulnerabilidad. Son condiciones de exposición, y la métrica que importa es cuánto duran.
Externa e interna se miden distinto
La superficie interna se mide por cobertura: cuántos endpoints tienen agente, cuántos servidores están en el inventario de parches, cuánta red está segmentada.
La externa se mide por descubierta: cuánto existe que usted todavía no sabe que existe. Son preguntas de naturaleza opuesta, y una herramienta buena en una suele ser mala en la otra. Un escáner interno confía en la lista que recibió. Un levantamiento externo existe justamente porque la lista está mal.
Mezclar las dos mediciones es el error que produce un informe tranquilizador sobre un alcance incompleto.
Qué hacer con el resultado
Levantar la superficie externa genera una lista más larga de lo esperado. La tentación es ordenar por severidad técnica y empezar a corregir de arriba abajo.
Antes vale una pregunta más barata: cuánto de esa lista puede simplemente salir del aire. Un entorno que nadie reclama, un panel que no necesitaba ser público, un servicio heredado de un proyecto cerrado. Apagar resuelve de forma definitiva lo que corregir solo aplaza.
Lo que sobrevive a ese corte es un conjunto menor con responsable identificado, y solo entonces la priorización por riesgo vale la pena. Ese es el trabajo que la gestión de la superficie de ataque externa de CSURFACE hace de forma continua, a partir del dominio raíz.