Cómo realizar un análisis de vulnerabilidades con OpenVAS

OpenVAS, cuyas siglas corresponden en inglés a sistema abierto de evaluación de vulnerabilidades, es una herramienta de código abierto ampliamente utilizada para realizar análisis de vulnerabilidades, actualmente integrada dentro del marco de trabajo conocido como Greenbone. Su función principal es escanear de forma automática los equipos, servidores y servicios presentes en una red y compararlos con una gran base de datos actualizada de vulnerabilidades de seguridad conocidas, identificadas mediante códigos estándar, para producir un informe que indica qué fallos tiene cada sistema analizado y cuál es su gravedad. La idea central que persigue es permitir que los responsables de unos sistemas encuentren ellos mismos los agujeros de seguridad antes de que lo haga un atacante, de manera que puedan corregirlos a tiempo. OpenVAS es, por tanto, una pieza clave dentro de la llamada gestión de vulnerabilidades, que es el proceso continuo de descubrir, priorizar y corregir los puntos débiles de una infraestructura antes de que sean explotados. Su naturaleza de código abierto y gratuita lo ha convertido en una de las opciones de referencia para quienes quieren auditar la seguridad de sus propios sistemas sin recurrir a soluciones comerciales costosas, y es muy popular tanto en el ámbito del aprendizaje y los laboratorios como en entornos profesionales. Conviene tener claro que OpenVAS realiza un análisis automático y amplio, es decir, revisa muchos sistemas e identifica fallos potenciales basándose en versiones de software, configuraciones y servicios expuestos, pero sin explotar esas vulnerabilidades, a diferencia de una prueba de penetración, que es manual y busca demostrar el impacto real explotando los fallos. También es importante subrayar desde el principio que el uso de OpenVAS, como el de cualquier herramienta de escaneo, debe ser siempre autorizado, realizándose únicamente sobre sistemas propios o con permiso explícito del responsable, ya que escanear infraestructura ajena sin autorización es ilegal. Usado de forma legítima y responsable, OpenVAS es una herramienta muy valiosa para conocer y reducir la superficie de ataque de los propios sistemas de manera eficiente y sistemática.

La diferencia entre un análisis de vulnerabilidades y una prueba de penetración, comúnmente llamada pentest, es fundamental y a menudo se confunde, aunque ambos son actividades complementarias dentro de la seguridad ofensiva y defensiva. Un análisis de vulnerabilidades, que es lo que realiza una herramienta como OpenVAS, es un proceso automático y amplio, en el que un escáner revisa de forma sistemática muchos sistemas y servicios y los compara con una base de datos de vulnerabilidades conocidas, produciendo una lista de fallos potenciales; su característica clave es que identifica y reporta esas vulnerabilidades pero no las explota, es decir, señala que un determinado servicio tiene una versión con un fallo conocido, pero no intenta aprovecharlo para entrar en el sistema. Es un enfoque rápido, económico, repetible con frecuencia y de gran cobertura, ideal como primer paso para tener una visión general de dónde están los puntos débiles. Una prueba de penetración, en cambio, es un proceso manual y profundo, llevado a cabo por profesionales que actúan como lo haría un atacante real, intentando explotar activamente las vulnerabilidades para demostrar hasta dónde se puede llegar, qué información o accesos se pueden obtener y cuál es el impacto real de los fallos; incluye creatividad, encadenamiento de vulnerabilidades, técnicas que un escáner automático no realiza, y una evaluación del riesgo mucho más contextualizada. Es un enfoque más costoso, puntual y focalizado, que aporta una comprensión mucho más rica de la seguridad real de un sistema. La relación entre ambos es de complementariedad y secuencia lógica: el análisis de vulnerabilidades suele ser el primer paso, amplio y frecuente, que indica dónde mirar y qué fallos potenciales existen, mientras que el pentest es la investigación a fondo que confirma cuáles de esos fallos son realmente explotables y cuál es su impacto, y que además descubre problemas que un escáner no detectaría. Una estrategia sensata consiste en realizar análisis de vulnerabilidades de forma regular para mantener controlada la superficie de ataque, y recurrir a pruebas de penetración periódicas o ante cambios importantes para obtener una evaluación profunda y realista. Confundir ambos lleva a errores, como creer que un simple escaneo automático equivale a una auditoría de seguridad completa, cuando en realidad cada uno cumple un papel distinto y necesario.

No, no es legal usar OpenVAS ni ninguna otra herramienta de escaneo de vulnerabilidades para escanear cualquier sistema, y esta es probablemente la advertencia más importante que hay que tener presente al trabajar con este tipo de herramientas. El escaneo de vulnerabilidades solo debe realizarse sobre sistemas de tu propiedad o sobre sistemas para los que cuentes con una autorización explícita y, preferiblemente, por escrito, del responsable legítimo de esa infraestructura. Escanear los sistemas de un tercero sin su permiso, ya sea una empresa, un servidor ajeno, una página web que no te pertenece o una red que no es tuya, constituye una actividad ilegal en la mayoría de las jurisdicciones, con independencia de que tu intención sea únicamente mirar o comprobar la seguridad sin causar daño. El motivo es que un escaneo no es una acción inocua ni invisible: genera tráfico dirigido a los sistemas objetivo, deja rastro en sus registros, puede ser interpretado como el paso previo de un ataque, y en ciertos casos, especialmente con configuraciones agresivas, puede afectar al rendimiento o la disponibilidad de los servicios escaneados. Por todo ello, las leyes suelen equiparar el escaneo no autorizado con el acceso o la intromisión no consentidos en sistemas informáticos ajenos. El uso legítimo y legal de OpenVAS es siempre defensivo y autorizado, y abarca situaciones como auditar tus propios equipos y redes personales, analizar la infraestructura de la organización para la que trabajas cuando tienes el mandato y la autorización para hacerlo, o evaluar los sistemas de un cliente que te ha contratado formalmente para ello mediante un acuerdo que define claramente el alcance permitido. Para practicar y aprender sin riesgo legal, la opción recomendada es montar un laboratorio propio, con máquinas virtuales de tu propiedad, donde puedes escanear cuanto quieras sin afectar a nadie. Esta condición de autorización no es un mero formalismo burocrático, sino la línea que separa la práctica profesional y ética de la seguridad informática de la comisión de un delito, y respetarla es imprescindible tanto por razones legales como éticas. En resumen, OpenVAS es una herramienta poderosa y valiosa, pero su uso conlleva la responsabilidad ineludible de emplearla únicamente donde se tiene derecho a hacerlo.

El flujo de un escaneo con OpenVAS, integrado en el marco Greenbone y operado habitualmente desde su interfaz web, sigue una serie de pasos bien definidos que van desde la preparación hasta la obtención del informe de resultados. El primer paso es definir el objetivo del escaneo, es decir, especificar qué sistemas se van a analizar, indicando las direcciones de red, el nombre del equipo o el rango de direcciones correspondiente; en este punto es imprescindible asegurarse de que se trata de sistemas propios o para los que se cuenta con autorización explícita, ya que escanear sin permiso es ilegal. El segundo paso es crear una tarea de escaneo, que consiste en asociar el objetivo definido con una configuración de escaneo determinada; estas configuraciones permiten elegir entre análisis más rápidos y ligeros, que revisan lo esencial en menos tiempo, o análisis más completos y profundos, que examinan de forma exhaustiva pero tardan más y son más intensivos, debiendo elegirse según las necesidades y el contexto, con especial cuidado en entornos de producción. El tercer paso es ejecutar el escaneo, momento en el cual la herramienta contacta con cada uno de los objetivos, identifica los servicios y aplicaciones que exponen, detecta versiones y configuraciones, y compara todo ello con su amplia base de datos de vulnerabilidades conocidas para determinar cuáles están presentes. Durante esta ejecución, que puede prolongarse considerablemente cuando hay muchos sistemas o se usa una configuración profunda, conviene revisar el progreso de la tarea. El cuarto y último paso es obtener y revisar el informe de resultados, que se genera al finalizar el escaneo y que recoge todos los hallazgos encontrados, presentándolos ordenados por severidad y permitiendo filtrarlos, consultarlos en detalle y exportarlos en distintos formatos. A partir de ese informe se realiza el trabajo posterior de interpretación, verificación de posibles falsos positivos, priorización según la gravedad y la exposición de cada fallo, y planificación de las correcciones. Este flujo de objetivo, tarea, ejecución e informe constituye el ciclo básico de un análisis de vulnerabilidades con OpenVAS, y aunque la herramienta ofrece muchas opciones avanzadas de configuración, calendarización de escaneos periódicos y personalización, comprender y dominar este flujo esencial es suficiente para empezar a auditar de forma eficaz los propios sistemas, siempre dentro del marco de la autorización correspondiente.

Interpretar los resultados de un escaneo de OpenVAS consiste, ante todo, en priorizar correctamente los hallazgos, ya que un informe puede contener muchísimas líneas y no todas tienen la misma importancia, y la herramienta que permite ordenar ese trabajo es la severidad de cada vulnerabilidad. La severidad es una medida de la gravedad de un fallo de seguridad, que se calcula habitualmente según un sistema de puntuación estándar de la industria, y se presenta en niveles como crítica, alta, media y baja o informativa. Una vulnerabilidad de severidad crítica indica un fallo muy grave, a menudo explotable de forma remota y con un gran impacto potencial, que debe atenderse de inmediato. Una de severidad alta representa una vulnerabilidad seria que conviene corregir en el corto plazo. Una de severidad media supone un riesgo moderado o que requiere ciertas condiciones para ser explotado, y suele planificarse su corrección. Y una de severidad baja o meramente informativa tiene poco impacto o simplemente aporta información, y se revisa según el contexto. La severidad es, por tanto, la primera guía para decidir por dónde empezar. Pero no es el único criterio: también hay que considerar la exposición de cada sistema, ya que un fallo crítico en un servidor accesible desde internet es mucho más urgente que el mismo fallo en una máquina interna aislada que solo es alcanzable dentro de la red local; la combinación de severidad alta y exposición elevada marca las máximas prioridades. Además, al interpretar los resultados es crucial tener en cuenta los falsos positivos, que son hallazgos que la herramienta reporta como vulnerabilidades pero que en realidad no aplican, por ejemplo porque la versión afectada ya estaba corregida o porque la configuración concreta no es la vulnerable; por ello, antes de actuar sobre los hallazgos importantes conviene verificarlos, comprobando la versión real del software y leyendo el detalle de la vulnerabilidad, para no perder tiempo ni, peor aún, romper algo intentando corregir un problema inexistente. Finalmente, hay que recordar que un informe sin hallazgos graves no garantiza seguridad total, sino únicamente que la herramienta no encontró vulnerabilidades conocidas, ya que ningún escáner detecta absolutamente todo. En conjunto, interpretar bien los resultados significa priorizar por severidad y exposición, verificar los hallazgos relevantes para descartar falsos positivos, y entender el alcance y las limitaciones del análisis.

La frecuencia con la que conviene escanear los sistemas en busca de vulnerabilidades depende del contexto, la criticidad de la infraestructura y el ritmo de cambios, pero la idea de fondo es que el análisis de vulnerabilidades no debe ser un acto puntual, sino una actividad periódica y continua, porque el panorama de la seguridad cambia constantemente. Hay dos razones principales que justifican la regularidad. La primera es que continuamente se descubren y publican nuevas vulnerabilidades en software que hasta ese momento se consideraba seguro, de modo que un sistema que hoy aparece limpio en un escaneo puede tener mañana un fallo conocido recién divulgado sin que nada en él haya cambiado, simplemente porque la vulnerabilidad se ha hecho pública y se ha incorporado a las bases de datos. La segunda es que los propios sistemas cambian con el tiempo, al instalar nuevo software, actualizar componentes, modificar configuraciones, abrir servicios o desplegar nuevas aplicaciones, y cada uno de esos cambios puede introducir nuevas vulnerabilidades. Por ello, la recomendación general es realizar escaneos con una periodicidad regular, que muchas organizaciones establecen de forma mensual o incluso semanal para los sistemas más críticos o expuestos, y realizar además escaneos adicionales tras cambios significativos en la infraestructura o cuando se anuncian vulnerabilidades importantes que puedan afectar a los sistemas propios. Muchas herramientas, incluida OpenVAS, permiten programar escaneos automáticos periódicos, lo que facilita mantener esta disciplina sin depender de acordarse manualmente. La periodicidad concreta debe equilibrarse con los recursos disponibles y con el posible impacto de los escaneos en los sistemas, especialmente en entornos de producción, donde conviene planificar los análisis en momentos adecuados y con configuraciones apropiadas. Lo importante es entender que la gestión de vulnerabilidades es un ciclo continuo de descubrir, priorizar, corregir y volver a comprobar, y no una tarea que se completa una vez y se olvida; un único escaneo ofrece solo una fotografía del momento, que queda desactualizada rápidamente. Integrar los escaneos periódicos en la rutina de seguridad, junto con la aplicación diligente de las correcciones y actualizaciones, es lo que mantiene realmente controlada y reducida la superficie de ataque a lo largo del tiempo, adaptando la frecuencia al nivel de riesgo y a la naturaleza cambiante tanto de las amenazas como de los propios sistemas.