01Qué es el EASM: descubrimiento continuo desde fuera
El EASM designa la identificación, el inventario y la evaluación continuos de todos los activos de una organización accesibles desde Internet – desde la perspectiva externa y sin conocimiento previo del inventario interno. El foco está en los «unknown unknowns»: subdominios olvidados, sistemas heredados, entornos de prueba y staging, recursos cloud adquiridos de forma autónoma por los departamentos (shadow IT), así como servicios expuestos como accesos remotos, interfaces de administración o bases de datos. OWASP describe la superficie de ataque como la suma de todas las vías por las que los datos y los comandos entran y salen de un sistema – el EASM aplica esta mirada de forma sistemática a toda la TI públicamente accesible de una organización.
02Fuentes de datos: cómo se encuentran los activos desconocidos
Partiendo de unos pocos puntos de inicio («seeds» como dominios principales, rangos de IP o nombres de empresa), las técnicas de EASM correlacionan fuentes de datos públicamente disponibles: DNS activo y pasivo, registros de Certificate Transparency (registros públicos, de solo adición, de certificados TLS emitidos según la RFC 9162), datos WHOIS/RDAP, asignaciones de ASN y de IP de los registros de Internet, así como datos de escaneo a escala de Internet sobre puertos y servicios abiertos. Se suman fuentes de filtraciones como los volcados de credenciales y los sitios de tipo paste, para detectar credenciales expuestas de los propios dominios. Como estas mismas fuentes también están abiertas a los atacantes, el resultado muestra exactamente la imagen que un atacante ve durante su reconocimiento.
03Priorización y validación de los hallazgos
No todo hallazgo es un riesgo relevante. Los datos en bruto del descubrimiento deben primero atribuirse: ¿pertenece el activo realmente a la propia organización, a un proveedor de servicios o a una CDN? A continuación, los hallazgos se validan – ¿es el servicio realmente accesible, la configuración efectivamente débil, la vulnerabilidad explotable en la práctica? – y se priorizan según la exposición, la explotabilidad y la criticidad para el negocio. Sin estos pasos, el EASM produce listas largas en lugar de resultados accionables; con ellos, la remediación se concentra en los hallazgos que un atacante utilizaría de forma realista en primer lugar.
04Delimitación: EASM, escaneo de vulnerabilidades, pentest
Un escáner de vulnerabilidades comprueba sistemas conocidos frente a vulnerabilidades conocidas – presupone un inventario bien mantenido y permanece ciego ante los activos que nadie ha registrado. Una prueba de penetración examina un alcance definido de antemano, de forma manual y en profundidad, pero ofrece solo una instantánea. El EASM actúa antes: responde primero a la pregunta del inventario («¿Qué es realmente visible desde fuera?») y proporciona así el alcance que el escaneo y el pentest necesitan. Los tres enfoques no se sustituyen entre sí, sino que se complementan: el EASM encuentra la superficie, el escaneo la comprueba en amplitud y el pentest en profundidad.
05Continuo en lugar de instantánea
Las superficies de ataque externas cambian constantemente: nuevos despliegues cloud, certificados emitidos automáticamente, cambios de configuración, adquisiciones y contratos que expiran modifican el panorama, a veces a diario. Un escaneo o pentest anual no refleja este cambio. La agencia estadounidense de ciberseguridad CISA muestra lo cortos que se han vuelto los intervalos: su directiva BOD 23-01 (2022) obliga a las agencias federales de EE. UU. a realizar un descubrimiento automatizado de activos al menos cada siete días y una enumeración de vulnerabilidades de todos los activos descubiertos cada 14 días. También el NIST Cybersecurity Framework 2.0 ancla los inventarios mantenidos de hardware, software y servicios (categoría ID.AM) como base de la gestión de riesgos.
06Flujo de trabajo típico: del descubrimiento a la remediación
En la práctica, el EASM sigue un ciclo recurrente: a partir de los seeds, el descubrimiento identifica activos, los consolida en un inventario y asigna cada uno a un responsable. Los hallazgos evaluados y validados entran en los procesos existentes (gestión de vulnerabilidades, ITSM) como tickets priorizados y documentados de forma trazable – incluyendo recomendaciones concretas de remediación como desactivar, parchear, endurecer o trasladar detrás de accesos VPN o Zero Trust. Tras la remediación, una nueva comprobación desde fuera confirma que la exposición ha sido realmente eliminada. Indicadores como el tiempo hasta la remediación y el número de activos desconocidos recién descubiertos hacen medible el grado de madurez a lo largo del tiempo.
