Comprobación de vulnerabilidades
Cómo encuentra 3R Monitor las vulnerabilidades que afectan al software realmente instalado en sus servidores, y cuándo le envía un correo.
La página Seguridad muestra las vulnerabilidades que afectan a sus servidores: qué servidor, qué software, la versión instalada y la versión que lo corrige. Cada agente envía al servidor principal un inventario del software instalado en su servidor, y el servidor principal lo compara con las vulnerabilidades publicadas más recientes. Solo ve las que le afectan.
Cómo se comprueba el software
Hay tres métodos, uno por cada origen del software, cada uno con los datos más precisos para ese caso:
| De dónde viene el software | Cómo se comprueba | Datos |
|---|---|---|
| Repositorios oficiales de la distribución: PHP, Apache, OpenSSL, el kernel… todos los paquetes del sistema instalados con apt, dnf o apk | Las versiones de los paquetes se comparan con los avisos de seguridad de la distribución. Las distribuciones aplican las correcciones a números de versión antiguos (por ejemplo, 8.2.20-1~deb12u1 de Debian puede estar ya corregida), así que comparar con la versión original daría muchas falsas alarmas. | Registros de OSV.dev para Debian, Ubuntu, AlmaLinux, Rocky Linux y Alpine |
| Servicios principales compilados por usted, instalados con aaPanel o desde repositorios de terceros (ondrej/sury, Remi, el repositorio oficial de MySQL…) | Por versión original (upstream). Las vulnerabilidades nuevas usan los rangos afectados que indica el fabricante en el registro CVE (se revisa cada hora, así que se detectan el mismo día en que se publican); las antiguas usan NVD. | CVE Program (cvelistV5), NVD |
| Dependencias de los proyectos web | composer.lock, package-lock.json y yarn.lock (sin dependencias de desarrollo), que se buscan automáticamente en /var/www, /www/wwwroot, /home/*/public_html y en los directorios de los sitios configurados en Apache y Nginx | Registros de OSV.dev para Packagist y npm |
También avisa cuando una rama del software o el sistema operativo ha llegado al fin de soporte y ya no recibe actualizaciones de seguridad (datos de endoflife.date). En las ramas sin mantenimiento que el fabricante no incluye, las vulnerabilidades críticas se marcan como Posiblemente afectada.
CISA KEV y las evaluaciones propias de CISA marcan las vulnerabilidades explotadas activamente.
Correos
| Vulnerabilidad | Cuándo se envía por correo |
|---|---|
| Explotada activamente, o crítica (CVSS ≥ 9) con versión corregida disponible | De inmediato, en el correo de alertas combinado |
| Las demás que alcancen el nivel configurado (predeterminado: alta o superior) y tengan versión corregida | En un resumen diario a las 8:00, en la zona horaria del panel. El resumen también incluye lo que se corrigió el día anterior. |
| Aún no corregida por la distribución (no hay a qué actualizar) | No se envía por separado y se oculta en el panel de forma predeterminada. Las críticas sí aparecen en el resumen diario. |
Los destinatarios de un grupo solo reciben las vulnerabilidades de los servidores de su grupo. Cambie el nivel y la hora en Configuración → Comprobación de vulnerabilidades.
Las vulnerabilidades que requieren acción inmediata también se desplazan en una barra roja en la parte superior del Resumen, para los usuarios que iniciaron sesión, hasta que se corrigen o se ignoran. × oculta la barra en esta pestaña del navegador hasta que algo cambie.
Con evaluación de IA
Con la evaluación de vulnerabilidades por IA activada, la IA evalúa cada vulnerabilidad alta, crítica o explotada frente a lo que realmente se ejecuta en el servidor y, en su lugar, decide:
- Urgente («Hay que actuar hoy»): se envía por correo de inmediato y se muestra en la barra roja;
- Importante («Corregir en la próxima ventana de mantenimiento»): en el informe diario;
- No urgente («Riesgo bajo en estos servidores»): solo en el panel.
Con los correos de informes de IA activados, el resumen diario forma parte del informe diario de IA. Las urgentes cuentan para los correos por día de la IA, y con la guardia activada se envían solo después de que el técnico de guardia las revise. Si la IA falla o no está disponible, se aplican las reglas anteriores.
Con qué frecuencia
- El agente sube un inventario nuevo cuando el software cambia (se instala o actualiza algo, o cambia un archivo de bloqueo), y el servidor principal lo comprueba de inmediato.
- Comprobación completa con los datos más recientes cada 6 horas; los cambios de CVE se revisan cada hora, y cada registro modificado se descarga una vez al día.
- Analizar ahora, en la página Seguridad, inicia una comprobación de inmediato.
Trabajar con la lista
- Las pestañas muestran las vulnerabilidades Pendientes, las Corregidas (30 días) y las Ignoradas.
- Filtre por servidor, severidad y tipo, o busque por CVE, software o servidor. Ocultar las que aún no tienen versión corregida está marcado de forma predeterminada.
- Cada vulnerabilidad es una tarjeta. A la izquierda, la severidad y la puntuación CVSS. A la derecha: el título, el número CVE (un enlace a su página pública), el tipo y cuándo se encontró; si está Explotada activamente (con la fecha en que se incluyó en CISA KEV), Usada por ransomware o Posiblemente afectada; con la evaluación de IA, la Evaluación de la IA con su motivo y qué hacer (Sugerencia); y los Servidores afectados: el paquete, la versión instalada → la versión corregida (o «Aún no hay versión corregida») y los servidores. Los servidores con el mismo paquete y las mismas versiones comparten una línea. Detalles muestra la descripción, el estado de explotación, las referencias y, por servidor, el componente, las versiones, el origen y la ubicación.
- Los correos de vulnerabilidades usan la misma tarjeta.
- Los paquetes del sistema aparecen con el nombre de su paquete fuente (por ejemplo
perlobrotli); "instalado como …" muestra los paquetes realmente instalados en el servidor (por ejemploperl-baseolibbrotli1). Esos son los que hay que actualizar. La Guardia de IA puede actualizarlos por usted después de su aprobación. - Ignorar una vulnerabilidad que no requiere acción, en todos los servidores o en uno, con un motivo opcional (por ejemplo "no se usa esta función"). No se le volverá a notificar. Dejar de ignorar la vuelve a mostrar.
- Fuentes de datos y cómo se compara muestra cuándo se actualizó por última vez cada fuente.
- Inventario de software muestra el sistema operativo, los paquetes y los proyectos de cada servidor, y cuándo se recibió su inventario por última vez; Inventario muestra los detalles.
Qué se envía
Solo nombres y versiones de software, por ejemplo php8.2 8.2.20-1~deb12u1 o laravel/framework 10.48.2. Nunca nombres de host, IP ni el contenido de archivos. Para desactivar la comprobación: Configuración → Comprobación de vulnerabilidades.
Una Clave de API de NVD opcional (gratuita en nvd.nist.gov), en la misma configuración, agiliza la consulta de vulnerabilidades antiguas.
Notas
- Sistemas compatibles: paquetes del sistema en Debian, Ubuntu, AlmaLinux, Rocky Linux y Alpine. En otros sistemas se siguen comprobando los servicios principales y las dependencias de los proyectos.
- Proyectos en otros directorios: agréguelos en Servidores → Configuración → Directorios de proyectos, o configure
project_dirsen elagent.confdel agente. - El propio servidor principal solo se comprueba si también ejecuta el agente (instálelo como "servidor principal + agente").
- Para ver el inventario que sube el agente de un servidor, ejecute
sudo 3rmonitor inventoryen ese servidor.