Una parte importante de la gestión de vulnerabilidades consiste en conocer qué sistemas están publicados en internet y qué información técnica puede obtenerse sobre ellos. Herramientas como Shodan, Censys, crt.sh o VirusTotal permiten consultar datos recopilados previamente sobre direcciones IP, dominios, certificados, servicios y productos. Estos servicios no confirman por sí solos que una vulnerabilidad pueda explotarse, pero pueden ayudar a identificar activos que requieren una revisión más profunda.
Detección no significa confirmación
Antes de utilizar estas herramientas es importante diferenciar entre exposición (un servicio accesible desde internet), producto detectado, versión observada, vulnerabilidad potencial y vulnerabilidad confirmada. Una versión antigua no siempre implica que exista una vulnerabilidad real — el sistema puede tener parches retroportados, mitigaciones o configuraciones específicas que la neutralicen.
Una versión detectada no confirma una vulnerabilidad, una dirección IP no confirma la propiedad de un sistema, y la ausencia de resultados no demuestra que el activo sea seguro.
Shodan
Shodan es un buscador de dispositivos y servicios conectados a internet, que recopila direcciones IP, puertos, protocolos, productos, versiones, cabeceras HTTP, certificados y ASN. Permite búsquedas combinadas por hostname, rango de red u organización, y también búsquedas dirigidas a un CVE concreto dentro de un rango propio — un resultado así debe tratarse como alerta para validar, nunca como evidencia definitiva.
En cada resultado conviene revisar la fecha de observación, el producto y versión detectados, y las vulnerabilidades relacionadas — un resultado antiguo puede no representar el estado actual del sistema.
Censys
Censys ofrece información estructurada sobre hosts, servicios, certificados y activos web, con búsquedas por puerto, protocolo o certificado TLS. Puede enriquecer determinados servicios con información de CVE, CVSS y el catálogo KEV de CISA, aunque la disponibilidad depende del tipo de cuenta. Como en Shodan, cualquier asociación automática entre producto y CVE requiere validación interna.
crt.sh
Permite consultar registros públicos de Certificate Transparency, revelando subdominios que a veces se olvidan: entornos de desarrollo, paneles VPN, servicios de monitorización. Es especialmente útil para descubrir shadow IT y aplicaciones internas publicadas sin conocimiento del área de seguridad — pero que un nombre aparezca en crt.sh no demuestra que el servicio siga activo, los registros pueden contener certificados antiguos o revocados.
RDAP e ICANN Lookup
RDAP permite consultar información de dominios, direcciones IP, rangos de red y ASN — qué proveedor administra una IP, qué organización tiene asignado un rango, cuándo caduca un dominio. Los datos de contacto pueden estar ocultos por motivos de privacidad.
urlscan.io
Analiza páginas web y registra redirecciones, dominios contactados, recursos JavaScript, certificados y capturas de pantalla.
Debe tenerse especial cuidado al enviar nuevas URLs para analizar — los resultados pueden ser públicos y revelar tokens, direcciones privadas o información sensible que no querías exponer.
VirusTotal
Permite consultar información existente sobre dominios, IPs, URLs, archivos y hashes, y su relación con malware, phishing o infraestructura maliciosa conocida. Un resultado sin detecciones no demuestra que el activo sea seguro, y no deberían subirse archivos corporativos o confidenciales al servicio público.
GreyNoise y AbuseIPDB
GreyNoise aporta contexto sobre direcciones IP que realizan escaneo y actividad automatizada en internet, ayudando a diferenciar el ruido habitual de la red de actividad que sí merece investigación. AbuseIPDB permite consultar si una IP ha sido reportada por fuerza bruta, escaneo o spam — pero al ser reportes de usuarios, pueden incluir falsos positivos, y conviene revisar fecha, número de fuentes y posible uso compartido de la IP antes de bloquear nada.
Metodología básica de análisis
Confirmar el alcance — solo investigar activos propios o expresamente autorizados.
Identificar el activo — IP, dominio, puerto, servicio, propietario, fecha de observación.
Comparar varias fuentes — Shodan, Censys, crt.sh, RDAP, VirusTotal, urlscan.io.
Identificar producto y versión — y de dónde procede ese dato (banner, cabecera, certificado, identificación automática).
Consultar fuentes oficiales — avisos del fabricante, NVD, catálogo KEV de CISA, repositorio de seguridad de la distribución.
Validar internamente — versión instalada, parches, configuración, controles compensatorios.
No es necesario explotar una vulnerabilidad para demostrar su existencia.
Principales falsos positivos
Los resultados pueden ser incorrectos por datos históricos, versiones ocultas o modificadas, parches retroportados, direcciones IP reasignadas, CDN y proxies inversos, alojamiento compartido, o asociación automática errónea de CVE. Cada hallazgo debería llevar un nivel de confianza: alto (confirmado internamente), medio (varias fuentes coinciden), bajo (basado en una única observación externa).
Lo que estas herramientas no sustituyen
No sustituyen a un inventario de activos, un escáner de vulnerabilidades, un test de intrusión, un EDR, un SIEM, ni la gestión de parches. Su función principal es identificar exposición y priorizar revisiones.
