Cómo escanear tu propia red en busca de vulnerabilidades con herramientas gratuitas

Casi ninguna empresa mediana mexicana sabe qué expone. No por descuido: porque la red creció por capas durante años, cada proveedor dejó algo instalado y nadie hizo nunca el ejercicio de mirar el conjunto.

El escaneo de vulnerabilidades es ese ejercicio. Se puede hacer con herramientas gratuitas, en una tarde, y casi siempre encuentra algo que nadie sabía que estaba encendido.

Esta es la guía para hacerlo bien — y sin romper nada.

Paso 0: la autorización (no es opcional)

Paso 1: primero el inventario, no el escáner

El error más común es empezar por la herramienta de vulnerabilidades. El paso previo es más básico y más revelador: descubrir qué hay.

Nmap es la herramienta estándar y es gratuita. Un barrido de descubrimiento sobre tu rango interno te devuelve qué direcciones responden, qué equipos son y qué servicios tienen abiertos.

Lo que aparece en esta etapa suele ser lo más interesante de todo el ejercicio:

• Equipos que nadie recordaba. El servidor viejo que se dejó encendido "por si acaso" hace tres años.
• Servicios abiertos que no deberían estarlo. Bases de datos escuchando en toda la red, escritorio remoto habilitado en máquinas de usuario, paneles de administración de impresoras sin contraseña.
• Dispositivos fuera de control. Cámaras, NVR, controles de acceso, equipos de aire acondicionado conectados a la red, todos con firmware de hace cinco años.

Guarda ese resultado. Es tu inventario, y es el entregable que más vida útil tiene de todo el ejercicio.

Paso 2: mira primero desde afuera

Antes de escanear la red interna, revisa qué se ve desde internet. Es donde vive el riesgo real: es lo que un atacante automatizado encuentra sin esfuerzo.

Dos caminos, complementarios:

• Escaneo desde una dirección externa hacia tus direcciones públicas. Qué puertos responden y qué servicio corre en cada uno.
• Reconocimiento pasivo: buscadores especializados que ya tienen indexado lo que tu dominio y tus direcciones públicas exponen, sin tocar tus equipos. Es rápido y muestra lo mismo que ve el atacante.

Lo que no debería estar publicado en internet y aparece constantemente: escritorio remoto, bases de datos, paneles de administración de firewalls y NAS, cámaras, y consolas de herramientas de administración. Este año, esa última categoría fue el blanco preferido — desde equipos de perímetro de Cisco hasta las consolas de administración remota de los proveedores de TI.

Paso 3: el escaneo de vulnerabilidades

Con el inventario en la mano, toca el escáner propiamente dicho. OpenVAS / Greenbone Community Edition es la opción gratuita seria: mantiene una base de datos de vulnerabilidades actualizada y produce reportes detallados.

La forma práctica de montarlo es en un contenedor o en una máquina virtual dedicada — así no ensucias ningún equipo y lo puedes apagar cuando termines. Si trabajas con contenedores, la base está en la guía de Docker Compose.

Configuración para la primera corrida:

• Perfil suave. Nada de escaneos agresivos ni pruebas de denegación de servicio en la primera vez.
• Por segmentos, no todo junto. Servidores primero, luego estaciones, luego dispositivos de red.
• Fuera del horario crítico, y con aviso a quien opera cada sistema.
• Con credenciales, si puedes. Un escaneo autenticado ve versiones reales de software instalado y produce muchísimo menos ruido que uno a ciegas.

Paso 4: leer el reporte sin ahogarse

Una primera corrida en una empresa de 60 equipos puede arrojar cientos de hallazgos. Es normal, y es donde la mayoría abandona.

La severidad que reporta la herramienta no es el orden de atención. El orden que funciona:

Prioridad 1 — Esta semana. Expuesto a internet y con explotación conocida. Aquí entra todo lo que aparezca en el catálogo de vulnerabilidades explotadas conocidas de CISA (KEV), que es público, se actualiza varias veces por semana y es el mejor filtro gratuito que existe.

Prioridad 2 — Este mes. Expuesto a internet, aunque no haya explotación conocida. Si no necesita estar publicado, la solución suele ser una regla de firewall, no un parche — y es gratis.

Prioridad 3 — Siguiente ventana. Interno con explotación activa confirmada. Típicamente servidores sin parchar y software con soporte vencido.

Prioridad 4 — Planeado. Todo lo demás: configuraciones subóptimas, certificados por vencer, cifrados antiguos.

Y una categoría aparte, que suele ser la más valiosa: lo que no es una vulnerabilidad sino un hallazgo de inventario. Equipos desconocidos, servicios que nadie sabía que corrían, dispositivos sin dueño. Eso no se parcha: se apaga o se le asigna responsable.

Paso 5: convertirlo en plan

Un reporte de 300 hallazgos no es un plan. El entregable útil es una tabla de una hoja:

Con acción, responsable y fecha. Sin esas tres columnas, el reporte se archiva.

Paso 6: hacerlo costumbre

Un escaneo aislado tiene valor decreciente. El mínimo razonable:

• Externo: mensual. Es rápido y es donde más cambia el riesgo.
• Interno: trimestral, y siempre después de un cambio grande de infraestructura.
• Revisión del catálogo de explotadas: continua. No requiere escanear nada, solo cruzar lo que sale contra tu inventario.

Cuadra bien con el plan de cuatro semanas del mes de la ciberseguridad, donde este ejercicio ocupa naturalmente una de las semanas.

Lo que este ejercicio NO es

No es una prueba de penetración. El escaneo identifica vulnerabilidades potenciales; una prueba de penetración las explota para demostrar impacto real y encadenamiento. Son ejercicios distintos, con precio y propósito distintos.

Para una PyME que nunca ha hecho ninguno de los dos, el escaneo es el que hay que hacer primero: cuesta cero, se hace en una tarde y casi siempre encuentra lo suficiente como para tener trabajo durante un trimestre. La prueba de penetración tiene sentido después, cuando lo evidente ya está cerrado.