Resumen

  • El artículo de 1993 de Dan Farmer y Wietse Venema planteó probar los servicios de red desde la perspectiva de un intruso; SATAN convirtió esa idea en una auditoría utilizable por administradores.
  • CERT describió una herramienta para recopilar datos de hosts y señalar posibles problemas, pero advirtió que el modo exploratorio podía sondear equipos fuera del dominio administrativo del operador.
  • Un escaneo registra lo observado por unos controles concretos, sobre unos objetivos y durante una ventana determinada. No demuestra por sí solo autorización, intención, intrusión ni seguridad de los sistemas que no examinó.

Pensar desde el exterior, trabajar desde dentro

Decir a un administrador que piense como un atacante es sencillo; convertir esa perspectiva en una práctica que pueda repetir y corregir es más difícil. En “Improving the Security of Your Site by Breaking Into It”, publicado en 1993, Farmer y Wietse Venema argumentaron que los defensores debían probar sus propios sistemas a través de los servicios visibles en la red. El objetivo era encontrar debilidades que una lista de comprobación ejecutada solo desde cada máquina quizá no revelara.

Los documentos conservan dos expansiones del nombre SATAN. El artículo de 1993 lo denomina “Security Analysis Tool for Auditing Networks”; el aviso posterior de CERT usa “Security Administrator Tool for Analyzing Networks”. La diferencia refleja etapas de la historia documental. También recuerda que el trabajo fue conjunto: Venema fue coautor del artículo y no debe desaparecer detrás de la fama posterior del programa. En una entrevista de USENIX de 2014, Farmer recordó que la mención de SATAN en el artículo despertó más interés del que ambos esperaban y los llevó a pensar con más detalle cómo construirlo.

Es un recuerdo retrospectivo suyo, no una prueba de despliegue ni de un uso concreto.

CERT lo describió como una herramienta de prueba y generación de informes. SATAN examinaba servicios como finger, NFS, NIS, FTP y rexd; podía resumir datos o aplicar reglas sencillas para investigar posibles problemas, junto con referencias a parches o soluciones alternativas. Además, reunía información general sobre topología, servicios, hardware y software de la red. En vez de dejar el análisis en manos de una inspección manual de cada equipo, ofrecía una forma repetible de observar varios sistemas.

Eso no convertía el informe en una sentencia. Un hallazgo indica que conviene verificar una condición; no prueba que alguien la haya explotado. Un resultado vacío tampoco certifica la seguridad: depende de los equipos, servicios, reglas y momento que cubrió esa ejecución. La utilidad del escáner dependía de que su alcance pudiera leerse junto con sus conclusiones.

El alcance también se ejecuta

El aviso CA-1995-06, fechado el 3 de abril de 1995, se basó primero en la versión beta 0.51 y luego se actualizó tras la versión oficial 1.1.1. CERT explicó que el modo exploratorio permitía sondear hosts que no se habían especificado expresamente, incluso fuera del dominio administrativo del operador. Señaló dos posibilidades: localizar objetivos para un uso malicioso y que un administrador legítimo sondeara otro sitio por accidente.

La advertencia desplaza la discusión desde la intención hacia el comportamiento. Para conocer el alcance hay que saber cuáles eran los destinos iniciales, qué información añadía la exploración y hasta dónde continuaban las pruebas. Un servicio compartido o un sistema vecino podía recibir tráfico sin formar parte del objetivo que el administrador creía haber elegido. “Analizar mi red” no es una descripción suficiente si el software puede extender la búsqueda.

CERT trató por separado otra cuestión. Después del lanzamiento de SATAN 1.0 publicó el aviso CA-95.07a sobre una vulnerabilidad del propio SATAN. Ese defecto no es lo mismo que la posibilidad de que una exploración llegue a un host no especificado. Un problema trata del límite de los objetivos; el otro, de la seguridad de la herramienta que realiza las pruebas.

La evidencia disponible permite decir que SATAN amplió el acceso a la auditoría de red y que su modo exploratorio podía traspasar la lista explícita. No identifica un incidente, no acredita una intrusión ni permite atribuir intención a Farmer o a otro operador. La Nota 65 de Heng Lu, “Running-Code Primacy”, se usa solo como lente editorial: una observación de un sistema en funcionamiento debe ceñirse a lo que la prueba ejecutó realmente. No es una fuente histórica sobre SATAN.

Fuentes