Auditoría Suprema · Módulo network sub-área 1 (Discovery/Auto-Provision) — Etapa 3

Resumen ejecutivo

Sesión s113 (2026-06-07): auditoría exhaustiva del motor de descubrimiento de dispositivos de red (Auto-Provision) de CreaRack Pro. La sub-área 1 comprende 4 slices funcionales y toca la mayor superficie de seguridad del módulo network (interacción con redes, manejo de credenciales SNMP/SSH, escaneos nmap).

Resultado: 37 hallazgos confirmados (11 ALTA / 16 MEDIA / 10 BAJA) auditorios en una tanda única (Regla 22), alineados con el plan de hardening. Sin migraciones de datos.

Alcance auditado

Slices analizados

1. discovery-api: endpoints Ninja (discover, bulk_enrich, bulk_discover, deep_discover, deep_discover_status) + esquemas de Auto-Provision.

   • Foco crítico: autorización (require_perm faltante), SSRF/escaneo red interna, IDOR, fuga de credenciales, validación de inputs.

2. orchestrator-snmp: orquestador central (service.py) + stages de provisión (provision_stages.py).

   • Foco crítico: inyección de argumentos a nmap, redirects sin control en HTTP, bulk sin límite, fugas de credenciales SNMP, trabajo síncrono pesado.

3. snmp-auth-ssh: autenticación SNMPv3 (snmp_auth.py), helpers SNMP + SSH + LLDP (ssh_stage.py, lldp_stage.py).

   • Foco crítico: verificación de host-key SSH, credenciales en logs, inyección en comandos, parseo frágil de datos no confiables del dispositivo.

4. classify-scoring-stencil: clasificación automática, scoring, matching de plantillas (auto_classifier.py, scoring.py, stencil_matching.py, constants.py).

   • Foco crítico: ReDoS en regex, aislamiento cross-tenant de stencils, lógica de confianza, rendimiento.

Hallazgos confirmados

ALTA severidad (11)

MEDIA severidad (16)

BAJA severidad (10)

Fixes aplicados en esta tanda

Seguridad (atacante)

• A1 · require_perm: Los 5 endpoints Auto-Provision ahora validan permisos. Un usuario readonly ya no puede lanzar escaneos ni persistir DeviceProfiles.
• A2 · scan_guard: Nuevo módulo network/services/device_discovery/scan_guard.py que bloquea loopback/link-local/169.254.169.254 (metadata AWS/GCP)/unspecified/multicast. Permite RFC1918 (la LAN del cliente es el caso legítimo).
• A3 · no redirects: detect_vendor_http ya no sigue redirects (allow_redirects=False).
• A6 · IDOR status: deep_discover_status carga el profile por org antes de consultar caché.
• A7 · argument injection: IP validada como literal seguro (regex ^[0-9.]+$ + ip_address() check) en schema + validador.
• A10 · SNMPv3 fixes:
  • build_snmp_auth lanza ValueError ante protocolo desconocido o key sin protocolo (no degrada en silencio).
  • Import roto corregido: pysnmp.hlapi.v3arch.auth → pysnmp.hlapi.v3arch.asyncio (SNMPv3 nunca funcionaba).
• A11 · stencil isolation: match_stencil filtra org propia + globales; nunca sugiere stencil de otra org.

Validación (inputs)

• M2 · validadores Pydantic:
  • ip: literal seguro (sin ranges).
  • subnet: formato correcto + ≤1024 hosts (cierra bulk de /16).
  • snmp_version: solo {v2c, v3}.
  • max_concurrent: 1–50.
  • hosts (bulk-enrich): ≤1024.

Auditoría + observabilidad

• M5 · log_action: Cada discover/bulk/deep registra la acción (actor, organización, IP/subnet, timestamp) en el log de auditoría.
• M3 · error genérico: {"error": "Discovery failed"} en lugar de {"error": str(e)}.
• M4 · org validation: org or raise 403 explícito antes de instanciar servicio.

Robustez

• M10 · LLDP/CDP v3: discover_neighbors_snmp ahora acepta auth_data; no cae silenciosamente.
• M8 · parsing robusto: parse_sys_descr, walk_if_table con try/except + aviso al truncar.
• M9 · logs limpios: Niveles ajustados; SSH usa logger.debug, no str(exc) a ERROR.
• B2–B9 · limpieza menor: Sanitización MAC, OIDs, device_type, ternarios muertos, imports lazy.

Deuda explícita (PRs propios)

Cuatro mejoras requieren cambios de contrato o migración, así que van por separado:

Estado en CHANGELOG: “audit-only” (sesión s111, 2026-06-05). Las rectificaciones se planifican en sesión aparte por decisión de Edu.

Cobertura de tests

Nuevo fichero: tests/api/test_network_sa1.py (23 tests)

• ✅ Autorización (readonly no puede discover).
• ✅ Validación IP/subnet (bloques de seguridad).
• ✅ IDOR en status (cross-tenant).
• ✅ scan_guard (loopback, metadata, RFC1918).
• ✅ build_snmp_auth v3 (v3, protocols, degrado).
• ✅ match_stencil isolation (org).
• ✅ Parsing MAC/OID (robustez).

Suite completa: 349 passed, 1 skipped (network completo en verde).

Arquitectura tocada

network/
├── api/
│   ├── discovery.py          [MODIFICADO] — autorización + error genérico + log_action
│   └── common.py             [MODIFICADO] — validadores Pydantic (ip, subnet, snmp_version, max_concurrent)
├── services/device_discovery/
│   ├── service.py            [MODIFICADO] — nmap arg validation, http no-redirects, bulk cap
│   ├── provision_stages.py   [MODIFICADO] — cross-tenant checks reforzados
│   ├── snmp_auth.py          [MODIFICADO] — v3 fallback removed, import fixed
│   ├── ssh_stage.py          [MODIFICADO] — logs limpios, device_type sanitizado
│   ├── lldp_stage.py         [MODIFICADO] — SNMPv3 auth_data
│   ├── auto_classifier.py    [MODIFICADO] — dead code nmap-only
│   ├── scoring.py            [MODIFICADO] — ternario muerto
│   ├── stencil_matching.py   [MODIFICADO] — tenant_id filtering, cap 200
│   ├── scan_guard.py         [NUEVO] — bloquea loopback/metadata/unspecified, permite RFC1918
│   └── constants.py          [MODIFICADO] — COMMON_SNMP_COMMUNITIES cap
├── models.py                 [SIN CAMBIOS] — credenciales en claro (deuda A8)
└── tests/
    └── test_network_sa1.py   [NUEVO] — 23 tests de cobertura

core/
└── utils.py                  [POSIBLE] — log_action (puede existir ya)

Reglas y principios aplicados

• Regla 22 (auditoría en tanda): 37 hallazgos auditados y corregidos en una sola PR, minimizando overhead de integración.
• Aislamiento multi-tenant: Todos los arreglos respetan RLS por organización (checks de org explícitos, filtros en queries).
• Defensa en profundidad: Validación en schema (Pydantic) + servicio (guard) + persistencia (queries filtradas).
• Deuda explícita: Las 5 mejoras que cruzan contrato/migración van documentadas en “Deuda explícita”, no bajan la calidad de esta tanda.

Sesión de contexto

• Auditoría: s111 (2026-06-05) — hallazgos documentados
• Ejecución (esta PR): s113 (2026-06-07) — fixes aplicados
• PR: #76 edu/network-sa1-fixes
• Commit: 6c19df6a665ca7541ad31777f16a5a0173a56c1a

Véase también

• [[concept—saas—multi-tenancy]]
• [[entity—network—model—device-profile]]
• [[feature—monitoring—sa1-audit-fixes]]
• [[concept—security—ssrf]]
• [[concept—security—broken-access-control]]
• [[entity—network—service—device-discovery]]
• [[decision—20260607—network-audit-phase3]]
• [[concept—infra—async-task-queue]]