Metodología de enumeración
Una metodología indica qué intentamos comprender y cómo se relacionan los resultados. No prescribe una herramienta ni obliga a ejecutar siempre los mismos pasos. La superficie, el acceso disponible y las respuestas del entorno deciden qué comprobación aporta información en cada momento.
Esta metodología divide la enumeración en tres niveles y seis capas. Las capas permiten localizar una laguna sin confundirla con falta de tooling.
Niveles y capas
Sección titulada «Niveles y capas»| Nivel | Capa | Información que buscamos |
|---|---|---|
| Infraestructura | Presencia en Internet | Dominios, subdominios, ASN, netblocks, direcciones, cloud y servicios públicos. |
| Infraestructura | Gateway | Firewalls, proxies, CDN, WAF, IDS/IPS, VPN, DMZ, segmentación y rutas visibles. |
| Hosts | Servicios accesibles | Protocolos, puertos, interfaces, funciones, versiones, recursos y configuración. |
| Sistema operativo | Procesos | Procesos, servicios locales, tareas, datos, orígenes, destinos y dependencias. |
| Sistema operativo | Privilegios | Usuarios, grupos, tokens, permisos, restricciones y contexto de ejecución. |
| Sistema operativo | Configuración del OS | Sistema, parches, red, archivos de configuración, secretos y controles locales. |
Las dos primeras capas dibujan el perímetro. La tercera empieza cuando una interfaz concreta acepta o procesa tráfico. Las tres últimas requieren visibilidad local, una sesión autenticada, ejecución remota u otra posición que permita observar el host desde dentro.
Qué aporta cada nivel
Sección titulada «Qué aporta cada nivel»La enumeración de infraestructura establece qué activos parecen pertenecer a la organización, qué proveedores participan y qué controles median el acceso. Su resultado no es una lista definitiva de targets. Es un inventario con procedencia, fecha y grado de confianza.
Nmap ayuda a pasar de direcciones y redes a hosts y puertos observados. La enumeración de hosts continúa con el lenguaje propio de cada servicio. Un banner SMTP, un certificado TLS o un share SMB pueden devolver nombres y relaciones que amplían de nuevo la capa de infraestructura.
La enumeración del sistema operativo cambia el punto de observación. Ya no se infiere todo desde packets remotos. Se pueden comparar procesos, sockets, permisos y archivos locales con la vista externa. Esa diferencia descubre servicios ligados a localhost, interfaces internas, credenciales de servicio y controles que no eran visibles desde fuera.
Aplicarla como un bucle
Sección titulada «Aplicarla como un bucle»En lugar de cerrar una capa y pasar a la siguiente, se mantiene un mapa vivo:
- registrar lo observado y su procedencia
- formular la explicación más concreta que encaje con la evidencia
- elegir una comprobación capaz de distinguirla de alternativas razonables
- cambiar una variable y conservar el resultado completo
- actualizar activos, relaciones y preguntas pendientes
El orden puede cambiar. Si una fuente pública revela una IP, se valida su propiedad antes de incorporarla al inventario. Si un port scan descubre DNS, se enumera el servicio y sus registros pueden revelar nuevos hosts. Si un foothold muestra una segunda red, el ciclo comienza otra vez desde esa nueva posición.
Metodología y cheatsheet no son lo mismo
Sección titulada «Metodología y cheatsheet no son lo mismo»La metodología mantiene preguntas y relaciones. Una cheatsheet conserva sintaxis para ejecutar comprobaciones conocidas. Mezclarlas produce una lista extensa de comandos sin explicar cuándo usar cada uno ni qué significa la respuesta.
Para cada técnica, la referencia operativa debe indicar:
- condición inicial y punto de observación
- pregunta que intenta responder
- interacción realizada
- señal esperada y posibles ambigüedades
- siguiente paso según el resultado
Ese formato permite sustituir una herramienta sin perder el razonamiento.