Palo Alto Networks expone 20.383 servicios en internet y 613 portales GlobalProtect

Un barrido con el SDK de Python de ZoomEye atribuye 20.383 servicios en internet al patrón de Palo Alto Networks, 613 al patrón GlobalProtect y solo tres a PAN-OS. Los números son del recuento hecho el 26 de septiembre y lo llamativo no es el volumen, sino el reparto: los portales de acceso remoto, que son los que de verdad abren una puerta, forman una población pequeña y por tanto revisable.

Método y ceros

Las consultas se lanzaron con dos variantes de sub_type: all, que cubre cualquier servicio que case con el patrón, y web, que se limita a componentes web identificados. En las tres primeras búsquedas el resultado de web es cero. Eso no quiere decir que no haya interfaces web expuestas, sino que la capa de identificación de ZoomEye no atribuyó ningún componente a esos patrones. Los equipos de borde se suelen reconocer por las firmas que el fabricante deja en sus páginas de login, y esas firmas no siempre encajan en una categoría de componente web.

Qué dice la proporción

El dato que merece atención es la relación entre el patrón de fabricante y los nombres de producto. Si los tres números describieran un mismo parque, habría que concluir que el 97% de los despliegues no usa una nomenclatura reconocible. Eso es casi seguro falso. Lo que refleja es que la identificación de estos aparatos a escala de internet depende de un puñado de firmas, y que la mayoría de las instalaciones responde con algo que el escáner no mapea a la cadena del fabricante.

GlobalProtect es la cifra con significado operativo. Un portal GlobalProtect es un punto de entrada de acceso remoto: autentica usuarios, negocia sesiones VPN y se coloca por delante de la red que protege todo lo demás. 613 portales alcanzables es poco en términos absolutos, y cada uno es una puerta a la red interna de una organización concreta.

El plano de gestión merece una línea aparte. El puerto 9440 es la interfaz de administración documentada de esta familia, y el único resultado que devuelve ese patrón apunta a que exponer la gestión a internet es raro en este parque, sea cual sea el estado del plano de datos.

Qué hacer con esto

Un número pequeño tiene la ventaja de que se puede revisar entero. Quien vigile su exposición a GlobalProtect puede tratar su propio recuento como una cifra exacta y no como una estimación, porque el método de identificación es estrecho y la población es corta. Es lo contrario de lo que ocurre con las huellas genéricas de servidor web, donde los conteos van por cientos de millones y la única pregunta práctica es la escala.

De ahí salen dos acciones. La primera, comprobar si el portal propio aparece en un resultado de ZoomEye con el patrón GlobalProtect: eso responde directamente a si es alcanzable desde fuera. La segunda, tratar cualquier portal que aparezca como sistema de autenticación antes que como dispositivo de red, con la disciplina de parcheo, revisión de cuentas y registro que se aplica a la infraestructura de identidad.