Auditoria Suprema · Monitoring SA2 (Protocolos/Probes) + SA3 (CNS/IA)

Descripción

Harness de auditoría de seguridad multi-dimensional para las sub-áreas 2 y 3 del módulo monitoring de CreaRack Pro. Ejecuta finders en paralelo por slice de dominio, consolida duplicados inter-slice, y verifica hallazgos con adversarial testing escalonado.

Cobertura

Sub-Área 2 (Protocolos/Probes):

• HTTP service + SSRF (destinos arbitrarios: 169.254.169.254, localhost, RFC1918, file://, DNS rebinding).
• SNMP service + API (inyección de OIDs, credenciales v3, respuestas 200-mintiendo).
• Ping/ICMP (escaneo arbitrario, command injection, privilegios).
• Correlación + grupos (aislamiento multi-tenant, N+1, validaciones).

Sub-Área 3 (CNS/Insights/IA):

• Proveedores IA (prompts, creds, parseo LLM, coste/abuso).
• Insights/Explain/Pattern (prompt injection, aislamiento cross-tenant, fuga de datos).
• CNS feedback loop + Tutor (conversaciones, inyección, feedback envenenado).
• Notification service (SSRF webhook, inyección payload, rate limit).

Arquitectura: 3 fases

Fase 1: Find (Finders paralelos por slice)

Cada sub-área define 4 slices (dominios temáticos):

• SA2: http-ssrf, snmp, ping, correlation-group
• SA3: ia-providers, insights, cns-tutor, notification

Cada finder:

• Lee el código real (Read/Grep/Glob) de sus ficheros scope.
• Produce hallazgos anclados a file:linea con cita textual.
• Cubre 7 dimensiones: seguridad+aislamiento, bugs/correctness, rendimiento, limpieza, pulido, huecos, evolución.
• Schema estructurado: title, dimension, severity (ALTA/MEDIA/BAJA), evidence, proposal, effort (S/M/L), risk, already_known.

Fase 2: Dedup (Consolidación inter-slice)

Agente centralizador:

• Recibe metadatos de todos los hallazgos crudos.
• Identifica grupos de 2+ índices que describen el MISMO problema (mismo file, dimensión, tema).
• Fusiona el grupo, elevando el hallazgo de mayor severidad.
• Output: lista dedupada (deduped) y recuento de grupos.

Fase 3: Verify (Verificación adversarial escalonada)

Cada hallazgo dedupado se verifica por lentes independientes:

• ALTA severity: 3 lentes (precision-codigo, impacto-real, novedad-validez) → necesita 2/3 votes is_real=true.
• MEDIA severity: 2 lentes (precision-codigo, impacto-real) → necesita 1/2.
• BAJA severity: 1 lente (precision-codigo) → necesita 1/1.

Lentes:

• precision-codigo: ¿la cita es exacta y el código hace lo que afirma?
• impacto-real: ¿es alcanzable en runtime o está mitigado ya (RLS, require_perm, net_guard)?
• novedad-validez: ¿es válido o es falso positivo/correcto-por-diseño?

Output final: hallazgos confirmed (votación ganó) + rejected (votación perdió).

Capacidades clave

Anti-duplicación robusta

• Consolidador de grupos dentro de cada auditoría (SA2 y SA3 independientes).
• Dedupación por índices: sólo hallazgos con 2+ apariciones se fusionan.
• Preserva severidad máxima del grupo.

Adversarial multi-lente

• 3 ángulos de ataque (código, impacto, validez) para hallazgos ALTA.
• Votación por mayoría simple: refuta falsos positivos y teoréticos.
• Registro de verdicts: cada refutación anota motivo.

Cap de seguridad

• SA2: máx 60 hallazgos dedupados verificados (prioridad por severidad).
• SA3: máx 30 hallazgos dedupados verificados.
• Hallazgos excedentes sin verificar se anotan en el reporte (abiertos para revisión manual).

Scope y exclusiones

• SA2: audita solo monitoring/services/{snmp,ping,http,correlation,group}_service.py + monitoring/api/snmp.py.
• SA3: audita solo monitoring/services/ai_providers/*.py, {insight,explain,pattern,tutor,cns_feedback,notification}_service.py.
• NO audita: signage, otras sub-áreas, Auto-Plan, blueprints.

Hallazgos esperados

Basado en los focos estrellas:

SA2:

• SSRF en HTTP probe (destinos arbitrarios a metadatos, localhost, RFC1918, servicios internos).
• Inyección de OIDs SNMP o manejo inseguro de credenciales v3.
• Escaneo arbitrario de red interna via ping.
• Aislamiento débil en correlación/grupos (queries sin scope organization).

SA3:

• Prompt injection alcanzable (input de usuario directo a prompt sin encapsular).
• Cross-tenant en conversaciones/insights/patrones (falta de filtro organization).
• Credenciales de proveedores expuestas o logueadas.
• SSRF en webhook de notificación (URL del usuario sin validar).

Implementación

Workflows:

• .claude/workflows/auditoria-suprema-monitoring-sa2.js (192 LOC)
• .claude/workflows/auditoria-suprema-monitoring-sa3.js (200 LOC)

Ambos ejecutables vía MCP o harness local con phase(), agent(), parallel(), log().

Requisitos:

• Claude Sonnet 3.5 (para agents de finders/consolidador/verificador).
• Acceso de lectura a código de monitoring/services/, monitoring/api/.
• Schema JSON estructurado para hallazgos y verdicts.

Próximos pasos

1. Ejecutar SA2 workflow → reporte con hallazgos confirmados + rejected.
2. Ejecutar SA3 workflow → reporte con hallazgos confirmados + rejected.
3. Análisis conjunto → priorizar fixes por severity, calcular effort total, roadmap de remediación.
4. Seguimiento → crear incident_page si hallazgos ALTA críticos; decision_page si requieren refactor arquitectónico.

Véase también

• [[entity—monitoring—service—snmp-service]]
• [[entity—monitoring—service—http-service]]
• [[entity—monitoring—service—insight-service]]
• [[entity—monitoring—service—notification-service]]
• [[entity—monitoring—service—cns-feedback-loop]]
• [[concept—monitoring—ssrf-prevention]]
• [[concept—monitoring—prompt-injection-mitigation]]
• [[concept—saas—multi-tenancy]]
• [[decision—20260605—auditoria-suprema-framework]]