Amass para descubrir subdominios y mapear infraestructura

Amass es una herramienta de reconocimiento, mantenida como proyecto de la organización OWASP, cuyo propósito es descubrir los subdominios de una organización y mapear la infraestructura que tiene expuesta en internet bajo su dominio. La idea de fondo que da sentido a la herramienta es que una organización no se reduce a su sitio web principal, sino que detrás de su dominio suele haber numerosos subdominios, como los destinados al correo, a paneles de administración, a interfaces de programación, a entornos de desarrollo o de prueba, y a diversos servicios, que en conjunto forman lo que se denomina su superficie de ataque. Muchos de esos subdominios están olvidados o mal protegidos, y conocerlos es el primer paso de casi cualquier auditoría de seguridad. Amass responde a la pregunta de qué activos tiene una organización expuestos bajo su dominio, y la respuesta suele ser más de los que la propia organización cree. La herramienta trabaja de dos maneras complementarias: un modo pasivo, en el que reúne subdominios a partir de fuentes de información públicas sin tocar la infraestructura del objetivo, y un modo activo, en el que consulta directamente el sistema de nombres del objetivo para descubrir más activos, a costa de generar tráfico hacia él. Con la información recopilada, Amass construye un mapa de la infraestructura expuesta, indicando qué subdominios existen, a qué direcciones de red resuelven y cómo se agrupan. Este descubrimiento tiene un valor tanto ofensivo, ya que es lo que hacen los atacantes en su fase inicial de reconocimiento, como defensivo, ya que permite a una organización conocer y reducir su propia superficie de ataque. Amass es considerada una de las herramientas más completas y potentes para el descubrimiento de subdominios y el mapeo de superficie, y suele combinarse con otras herramientas del mismo ámbito. Es fundamental usarla únicamente sobre dominios propios o con autorización explícita, ya que el reconocimiento activo no autorizado sobre terceros puede ser ilegal.

La diferencia entre el reconocimiento pasivo y el activo radica en si se toca o no la infraestructura del objetivo, lo que a su vez determina el sigilo, el riesgo y la cantidad de información que se puede obtener. El reconocimiento pasivo consiste en recopilar información sin interactuar directamente con los sistemas del objetivo, apoyándose exclusivamente en fuentes de información que ya son públicas y accesibles para cualquiera. En el caso de Amass, el modo pasivo reúne subdominios a partir de fuentes como los motores de búsqueda, los registros de transparencia de certificados, en los que quedan documentados públicamente los certificados de seguridad emitidos y revelan los subdominios para los que se crearon, las bases de datos de nombres de dominio y diversos servicios de terceros. Como no se contacta con la infraestructura del objetivo, este modo es muy sigiloso, no deja rastro en los registros del objetivo y no corre el riesgo de afectar a sus servicios, por lo que resulta de muy bajo riesgo. Su limitación es que solo descubre lo que ya está públicamente indexado o registrado. El reconocimiento activo, en cambio, implica interactuar directamente con los sistemas del objetivo; en Amass, el modo activo consulta directamente el sistema de nombres del objetivo, resolviendo nombres y probando posibles subdominios mediante técnicas como la comprobación de nombres candidatos. Esto permite descubrir más activos, incluyendo algunos que no aparecen en las fuentes públicas, pero a costa de generar tráfico dirigido a la infraestructura del objetivo, lo que hace que este modo sea menos sigiloso, deje rastro en sus registros y tenga un mayor impacto y riesgo. La práctica prudente y habitual es comenzar siempre por el reconocimiento pasivo, que aporta mucha información sin ningún riesgo, y solo pasar al reconocimiento activo cuando sea necesario profundizar y siempre contando con la debida autorización, ya que sondear activamente la infraestructura de terceros sin permiso puede ser ilegal. Esta progresión de lo menos a lo más intrusivo es un principio general del reconocimiento responsable en seguridad.

Descubrir los subdominios de una organización es importante porque revela su verdadera superficie de ataque, que casi siempre es mucho mayor de lo que la propia organización tiene presente, y porque entre esos subdominios suelen encontrarse los puntos más débiles y por tanto los más peligrosos. Una organización no se limita a su sitio web principal, sino que bajo su dominio despliega múltiples subdominios para distintos servicios y funciones, como correo, paneles de administración, interfaces de programación, entornos de desarrollo y de prueba, aplicaciones internas y campañas, y cada uno de ellos representa una posible puerta de entrada. El problema es que, mientras el sitio principal suele estar bien protegido y vigilado, muchos de estos subdominios acaban olvidados con el tiempo, como un entorno de prueba creado hace años, un panel de una campaña ya finalizada o un servicio que dejó de usarse, y precisamente por estar olvidados tienden a quedar desactualizados, sin parches y con configuraciones débiles, ya que nadie se ocupa de ellos. Estos subdominios olvidados y mal protegidos son el eslabón débil que un atacante busca activamente, porque a menudo ofrecen una vía de entrada mucho más fácil que el sitio principal, y una vez dentro pueden servir para acceder a la red o a otros sistemas. Por eso el descubrimiento de subdominios es el primer paso tanto de un ataque, cuando lo realiza un adversario, como de una defensa, cuando lo realiza la propia organización o un auditor autorizado. Desde la perspectiva defensiva, mapear la propia superficie de ataque con una herramienta como Amass permite descubrir qué activos se han expuesto y quizá olvidado, para poder retirarlos si ya no se necesitan o protegerlos y actualizarlos si siguen en uso, reduciendo así el riesgo antes de que un atacante encuentre esos puntos débiles. En una auditoría autorizada, este descubrimiento proporciona el mapa completo de lo que hay que evaluar. En definitiva, conocer los subdominios es imprescindible porque no se puede proteger lo que no se sabe que existe, y la superficie de ataque real de una organización solo se puede gestionar si primero se descubre en su totalidad.

No es prudente ni, según el modo y la jurisdicción, legal usar Amass sobre cualquier dominio sin autorización, y la regla correcta es emplearlo únicamente sobre dominios propios o para los que se cuente con permiso explícito. Hay que distinguir entre los dos modos de funcionamiento de la herramienta, porque su implicación es diferente. El modo pasivo se apoya en información que ya es pública, como los registros de certificados, los buscadores y las bases de datos de nombres de dominio, y en principio consultar información pública tiene un riesgo legal mucho menor, ya que no se interactúa con la infraestructura del objetivo. Sin embargo, incluso recopilar de forma sistemática información sobre la infraestructura de una organización ajena, aunque sea pública, conviene hacerlo con un mandato claro, especialmente en un contexto profesional. El modo activo, en cambio, consulta directamente el sistema de nombres del objetivo y sondea su infraestructura generando tráfico hacia ella, y realizar este tipo de reconocimiento activo sobre sistemas de terceros sin autorización puede constituir una intromisión ilegal, equiparable en muchas jurisdicciones a las fases previas de un ataque, con las consiguientes consecuencias legales. Por ello, el uso legítimo de Amass es siempre defensivo o autorizado: mapear la propia superficie de ataque de la organización a la que uno pertenece o administra, con el fin de conocerla y reducirla, o auditar la infraestructura de un cliente que ha contratado formalmente el servicio y ha definido con claridad el alcance permitido. Para aprender y practicar sin riesgo, se pueden usar dominios propios. La recomendación general, por tanto, es no dirigir Amass, y menos aún su modo activo, contra dominios que no sean propios ni estén cubiertos por una autorización expresa, entendiendo que la línea entre el reconocimiento legítimo y la actividad ilegal la marca precisamente el permiso y la propiedad. Respetar esta condición no es solo una cuestión legal, sino también ética, y es un principio fundamental de la seguridad informática responsable.

Amass no reemplaza necesariamente a otras herramientas de descubrimiento de subdominios como Subfinder, sino que a menudo se complementan, y de hecho una práctica habitual en el reconocimiento es combinar varias herramientas para obtener resultados más completos. Amass es una de las herramientas más completas y potentes del ámbito, ya que integra tanto el reconocimiento pasivo, reuniendo subdominios de numerosas fuentes públicas, como el reconocimiento activo, consultando directamente el sistema de nombres del objetivo, además de ofrecer capacidades de mapeo de la infraestructura, correlación de datos y construcción de un panorama detallado de la superficie de ataque. Esta amplitud la hace muy potente, pero también puede hacerla más lenta y algo más compleja de manejar, especialmente en sus modos más exhaustivos. Subfinder, por su parte, es una herramienta más ligera y rápida, centrada principalmente en el descubrimiento pasivo de subdominios a partir de fuentes públicas, diseñada para ser muy veloz y fácil de integrar en flujos de trabajo automatizados. Debido a estas diferencias, cada herramienta tiene sus fortalezas: Subfinder destaca por su rapidez y sencillez para obtener rápidamente una gran cantidad de subdominios de forma pasiva, mientras que Amass destaca por su exhaustividad y por sus capacidades adicionales de mapeo y reconocimiento activo. La razón por la que conviene combinarlas es que ninguna herramienta descubre absolutamente todos los subdominios por sí sola, ya que cada una consulta un conjunto de fuentes y usa técnicas que pueden diferir, de modo que al usar varias y unir sus resultados se obtiene una cobertura mayor y más fiable que con cualquiera de ellas por separado. Un flujo de trabajo típico podría empezar con herramientas rápidas y pasivas como Subfinder para obtener velozmente un primer conjunto amplio de subdominios, y complementarlo con Amass para aprovechar su exhaustividad, sus fuentes adicionales y, si procede y hay autorización, su reconocimiento activo. En resumen, más que competir, estas herramientas se sitúan en un mismo ecosistema y la mejor estrategia suele ser aprovechar lo mejor de cada una, combinándolas para maximizar el descubrimiento, en lugar de elegir una sola y descartar el resto.

Descubrir los subdominios es el primer paso del reconocimiento, y lo que se hace después depende del objetivo, pero en general consiste en explorar y evaluar los activos encontrados para entender la superficie de ataque y, en un contexto defensivo, reducirla y protegerla. Una vez que se tiene la lista de subdominios y el mapa de la infraestructura, un paso natural es determinar cuáles están activos y qué servicios exponen, para lo cual se emplean herramientas que exploran los puertos y servicios de cada activo, como los escáneres de red y de puertos, que permiten saber, por ejemplo, qué subdominios tienen servidores web, cuáles exponen otros servicios y qué versiones de software ejecutan. A partir de ahí, en una auditoría autorizada, se puede profundizar analizando las aplicaciones web encontradas con herramientas específicas, buscando vulnerabilidades y evaluando la seguridad de cada activo. Desde la perspectiva defensiva, que es especialmente valiosa, el paso siguiente al descubrimiento es revisar la lista de subdominios con ojo crítico para identificar aquellos que están olvidados, que ya no se usan o que no deberían estar expuestos, con el fin de retirarlos o desconectarlos, reduciendo así la superficie de ataque, y para los que siguen siendo necesarios, asegurarse de que estén actualizados, bien configurados y protegidos, prestando especial atención a los entornos de prueba o desarrollo que hubieran quedado accesibles. También es útil documentar y mantener un inventario actualizado de los activos expuestos, ya que la superficie de ataque cambia con el tiempo a medida que se crean nuevos subdominios, por lo que conviene repetir el descubrimiento de forma periódica para detectar y vigilar las novedades. En un contexto de auditoría profesional, tras el descubrimiento se continúa con las fases de análisis y evaluación de vulnerabilidades y, si el alcance lo contempla, de pruebas de explotación controladas, siempre dentro de los límites autorizados. En cualquier caso, es fundamental recordar que todas estas acciones posteriores deben realizarse únicamente sobre activos propios o con autorización explícita, y que el descubrimiento de subdominios no es un fin en sí mismo, sino la base sobre la que se construye el resto del trabajo de evaluación y protección de la seguridad.