Afegir un objectiu de xarxa o un lloc web

1. Feu clic a Gestió d’actius > Objectius de xarxa i llocs web
2. Feu clic al botó Afegeix

3. Ompliu el formulari:

   • «Tipus d’objectiu»: deixeu «Lloc web o objectiu de xarxa»; per a un servidor MCP, vegeu Auditar un servidor MCP
   • «Origen» correspon al node des del qual s’executen les anàlisis
   • «Objectiu» correspon a l’objectiu de xarxa o al lloc web que cal analitzar; podeu indicar un objectiu de xarxa en forma de nom de domini o d’adreça IP, o un lloc web en forma d’URL; en tots dos casos, es fa un escaneig de ports de l’objectiu i un reconeixement dels serveis utilitzats per determinar les versions dels serveis exposats
   • «Àmbit de l’escaneig» defineix l’abast de l’escaneig a partir de l’objectiu:
     • Per defecte: utilitza l’àmbit per defecte (Carpeta)
     • URL: escaneja només l’URL base exacta indicada
     • Pàgina: escaneja cada URL que correspon al camí de l’URL base (cada variació de la cadena de consulta)
     • Carpeta: escaneja cada URL que comença pel valor de l’URL base. Aquesta URL base ha d’acabar amb una barra inclinada (sense nom de fitxer)
     • Domini: escaneja cada URL el nom de domini de la qual coincideix amb el de l’URL base
     • Subdomini: escaneja cada URL el subdomini de la qual coincideix amb el de l’URL base
   • «URL del Swagger» especifica la ubicació del fitxer de descripció de les API (YAML o JSON) per afegir a l’escaneig les URL que s’hi descriuen
   • «URL excloses de l’escaneig» especifica la llista d’URL (una per línia) que cal excloure de l’escaneig; les URL poden contenir comodins
   • «URL addicionals per escanejar» especifica la llista d’URL addicionals (una per línia) que cal incloure a l’escaneig
   • «Tipus d’autenticació» especifica el mètode utilitzat per autenticar-se a l’aplicació web objectiu
     • Cap: no es fa cap autenticació
     • Basic: utilitza l’autenticació HTTP Basic, en què el nom d’usuari i la contrasenya s’envien en clar, codificats en base64, a les capçaleres de la sol·licitud HTTP
     • Digest: una forma més segura que l’autenticació Basic, que utilitza una resposta xifrada per autenticar la sol·licitud
     • NTLM: utilitzat principalment en entorns Windows, NTLM és un protocol de seguretat per a l’autenticació
     • POST: envia les dades d’autenticació al servidor mitjançant una sol·licitud HTTP POST, cosa que permet una autenticació al costat del servidor
     • HTTP Bearer: permet indicar un testimoni d’autenticació JWT que es transmet a cada sol·licitud HTTP a la capçalera Authorization, amb el format Authorization: Bearer <jeton>. Al camp associat de Cyberwatch només cal indicar el testimoni
     • Selenium: s’utilitza per fer una autenticació executant accions automatitzades especificades en un fitxer .side. Un cop fetes aquestes accions, les galetes capturades s’utilitzen per a la resta de l’escaneig. Les accions acceptades són open, type i click. Per a cadascuna de les accions, la definició de l’element objectiu ha de començar per id=, css= o xpath=
     • Cookie: especifica una o diverses galetes que s’afegeixen a cadascuna de les sol·licituds HTTP per permetre una autenticació contínua al lloc web objectiu. Si s’indiquen diverses galetes, es poden separar amb un punt i coma, seguint el format cookie=valeur;cookie=valeur

   Com que les galetes caduquen periòdicament, es recomana associar els actius que utilitzen aquest mètode d’autenticació a una política d’anàlisi manual, per poder garantir la validesa de les galetes abans de cada anàlisi.

4. Confirmeu fent clic a «Desa»

Configurar els paràmetres d’escaneig

Alguns paràmetres avançats es poden configurar per política d’anàlisi, com ara la durada màxima de l’escaneig web per mòdul i la durada màxima del rastreig web. Per fer-ho, aneu a Paràmetres > Polítiques d’anàlisi i editeu les polítiques dels objectius i llocs web afectats. Els paràmetres d’escaneig es troben a la secció «Paràmetres avançats».

Pel que fa a l’escaneig d’aplicacions web, es poden configurar diverses opcions:

• Durada màxima de rastreig: és el temps màxim assignat a l’exploració de la superfície d’atac, com ara el descobriment de les pàgines, dels paràmetres i dels formularis presents

• Durada màxima d'escaneig per mòdul: un cop acabada la fase d’exploració, s’executa un conjunt de mòduls específics que proven vulnerabilitats potencials. Aquest valor controla el temps d’execució màxim assignat a cadascun d’aquests mòduls

• Headless: el mode headless utilitza un navegador sense interfície per provar les vulnerabilitats de seguretat simulant accions d’usuari en aplicacions web, en particular les creades amb frameworks de JavaScript com Angular, React o Vue

Algunes aplicacions que cal escanejar en mode headless poden necessitar més temps i obtenir resultats parcials amb les durades màximes per defecte. En aquests casos, els valors recomanats que cal configurar a la política d’escaneig són de 600 segons per a la durada màxima de rastreig i de 300 segons per a la durada màxima d’escaneig per mòdul.

Escanejos web autenticats

En afegir o editar un objectiu de xarxa, es pot especificar un joc de credencials i un mètode d’autenticació. Aquests paràmetres només s’apliquen quan l’objectiu és un lloc web o té, com a mínim, un port HTTP obert.

Per activar l’autenticació, cal crear prèviament un joc de credencials de tipus Escaneig web des del menú Credencials desades.

Els mètodes d’autenticació corresponen als tipus que admet la capçalera HTTP Authorization, excepte el mètode post, que simula un usuari que introdueix les seves credencials en un formulari d’inici de sessió. L’URL del formulari d’inici de sessió només s’aplica al mètode post.

Auditar un servidor MCP

El tipus d’objectiu «Servidor MCP» audita el punt final (endpoint) HTTP d’un servidor MCP (Model Context Protocol), que exposa eines, recursos i prompts a agents d’IA.

Afegir un servidor MCP

1. Feu clic a Gestió d’actius > Objectius de xarxa i llocs web
2. Feu clic al botó Afegeix

3. Ompliu el formulari:

   • «Tipus d’objectiu»: trieu «Servidor MCP». El tipus d’un objectiu ja no es pot modificar després de crear-lo
   • «Origen» correspon al node des del qual s’executa l’auditoria
   • «Objectiu» correspon a l’URL exacta del punt final MCP, en HTTP o HTTPS, per exemple https://example.com/mcp, sense credencials ni fragment
   • «Eines privades» llista, una per línia, les eines que no han de ser visibles sense autenticació: l’auditoria torna a fer l’inventari sense credencials i assenyala les que hi apareixen
   • «No verifiquis el certificat TLS» desactiva la verificació del certificat del punt final, que es fa per defecte
   • «Tipus d’autenticació» només accepta HTTP Basic, amb un joc de credencials de tipus Escaneig web, i HTTP Bearer, amb el testimoni que cal transmetre al servidor. En un punt final HTTP, les credencials circulen en clar
4. Confirmeu fent clic a «Desa»

Desenvolupament de l’auditoria

L’auditoria la fa Orignal, cada dia per defecte. Inventaria les eines, els recursos i els prompts que anuncia el servidor i, tot seguit, envia algunes sol·licituds de control de només lectura:

• un mètode JSON-RPC desconegut i una capçalera Origin d’un lloc de tercers
• sol·licituds amb una versió de protocol no vàlida o absent, i amb un identificador JSON-RPC nul
• una sol·licitud sense credencials, quan hi ha una autenticació configurada
• la lectura de les metadades OAuth que publiquen el servidor i els seus servidors d’autorització
• per a un punt final HTTPS, una connexió HTTP en clar al port 80 i negociacions TLS, incloses les de TLS 1.0 i 1.1
• per a un servidor amb la revisió 2026-07-28 del protocol, sol·licituds GET i DELETE al punt final

L’auditoria no crida mai cap eina i no llegeix cap recurs ni cap prompt. Tanmateix, les seves sol·licituds de control poden aparèixer als registres del servidor o d’un tallafoc d’aplicacions com a sol·licituds no vàlides.

Resultats de l’auditoria

• La pestanya «Inventari MCP» de l’actiu llista les eines, els recursos, les plantilles de recurs i els prompts del servidor, amb els seus arguments i anotacions, així com la versió del protocol, el transport i la verificació TLS
• Els problemes de seguretat detectats tenen un identificador MCP-*, per exemple MCP-Origin-Validation-Missing o MCP-Anonymous-Tool-Visibility
• L’actiu rep el sistema operatiu «MCP Server», i la seva conformitat amb el CIS MCP Server Benchmark s’avalua a partir de l’auditoria

Productes compatibles amb els objectius de xarxa o llocs web

Cyberwatch admet qualsevol adreça IP, així com qualsevol URL o nom de domini vàlid i resolt.

En tots els casos, Cyberwatch comprova quins ports estan oberts d’entre els 3000 ports més utilitzats. Als ports oberts, s’utilitzen dues estratègies d’anàlisi.

• Un escaneig passiu, que detecta les versions dels serveis exposats a cada port de l’objectiu i identifica les vulnerabilitats que hi estan associades. Quan es tracta d’un port web, també s’executa un escaneig addicional que permet identificar errors de configuració del top 10 d’OWASP. Aquest últim cobreix, entre altres, els errors de configuració de les capçaleres, i identifica les biblioteques utilitzades.

• Un escaneig actiu, que és un examen més exhaustiu segons les característiques específiques de cada port. Si el port admet TLS, es fa una auditoria TLS per identificar si s’accepten suites criptogràfiques febles, si s’utilitzen protocols obsolets o si el certificat no és vàlid. Si el port respon a les sol·licituds http/https, Cyberwatch fa un segon escaneig que té com a objectiu identificar altres errors de configuració del top 10 d’OWASP, com ara la possibilitat de fer injeccions XSS/SQL…

Les dues anàlisis OWASP es descriuen a continuació.

Anàlisis OWASP (Orignal)

Orignal us permet auditar la seguretat de les aplicacions web. Fa escanejos externs de l’aplicació web (autenticats o no segons el mode d’escaneig utilitzat) explorant les pàgines web de l’aplicació desplegada a la recerca de problemes de seguretat. Un cop obté la llista d’URL, de formularis i dels seus camps d’entrada, Orignal actua com un fuzzer: injecta càrregues útils i avalua diverses respostes de l’aplicació.

Perquè l’escaneig de log4j pugui funcionar, cal que Cyberwatch tingui accés al DNS següent: dns.cyberwatch.app

Informació general

L’escaneig d’Orignal es pot dividir en dues grans etapes consecutives:

• L’«escaneig passiu»: aquesta etapa està formada per mòduls que permeten fer un estudi estàtic dels problemes de seguretat potencials
• L’«escaneig actiu»: aquesta etapa està formada per mòduls d’atac que permeten provar activament la superfície d’exposició per identificar determinats problemes de seguretat

Aquestes dues etapes van precedides d’una reconstrucció de la llista d’URL disponibles.

Orignal ofereix dos tipus diferents d’escaneig:

• El «mode normal»: aquest mode fa directament sol·licituds (similars a sol·licituds cURL) a l’objectiu
• El «mode headless»: amb aquest mode, Orignal inicia un navegador sense interfície gràfica per analitzar aplicacions web, en particular les basades en JavaScript. Permet una millor interacció amb les Single Page Applications (SPA) i una detecció òptima dels problemes de seguretat relacionats amb l’execució dinàmica del JavaScript

L’escaneig passiu

Llista no exhaustiva de les accions que fa l'escaneig passiu:

• Anàlisi dels indicadors (flags) de les galetes per detectar configuracions no segures
• Anàlisi de la política de seguretat del contingut (CSP) per detectar possibles febleses
• Anàlisi de les capçaleres HTTP per detectar configuracions no segures
• Detecció de les tecnologies web que utilitza el lloc
• Enumeració dels mòduls de WordPress

L’escaneig actiu

Llista no exhaustiva de les accions que fa l'escaneig actiu:

• Cerca de problemes de seguretat relacionats amb la injecció CRLF (Carriage Return Line Feed)
• Cerca de problemes de seguretat CSRF (Cross-Site Request Forgery)
• Identificació dels possibles punts d’injecció
• Cerca de problemes de seguretat d’injecció SQL
• Descobriment de fitxers de còpia de seguretat que podrien divulgar informació sensible
• Intents d’atac de força bruta contra els formularis d’inici de sessió
• Cerca de configuracions incorrectes o de fitxers .htaccess accessibles que es podrien explotar
• Intents d’injecció SQL
• Avaluació dels mètodes HTTP que autoritza el servidor
• Cerca de problemes de seguretat de redirecció oberta
• Identificació de problemes de seguretat Server-Side Request Forgery (SSRF)
• Cerca de problemes de seguretat de tipus Cross-Site Scripting (XSS)
• Verificació de la presència de la vulnerabilitat Log4Shell

Les metadades

Les metadades poden donar indicacions sobre l’estat de l’escaneig efectuat. Es mostren en dues columnes, anomenades «Clau» i «Valor».

Les pàgines rastrejades

La clau té la forma següent: crawled_pages.[active|passive]. La columna `"Valor"` indica el nombre de pàgines rastrejades en mode actiu o passiu al port indicat.

Per conèixer la llista d’URL que han rastrejat els escanejos actiu i passiu, obriu, des de la pestanya «Anàlisis» de la fitxa de l’actiu corresponent, els detalls de l’script «Escaneig d’aplicacions web (OWASP) - Mode [passiu/actiu]».

Valor 1 o 0

• Si la columna "Valor" indica "0", pot voler dir que hi ha hagut un problema durant l’autenticació a la pàgina sol·licitada
• Si la columna "Valor" indica "1" tot i que heu seleccionat un àmbit d’escaneig més ampli, hi ha diverses interpretacions possibles

És possible que l’adreça objectiu utilitzi diverses redireccions, que alteren el bon funcionament de l’escaneig.

Per exemple, si l’objectiu indicat comença per http però el lloc utilitza https, la redirecció del port 80 al 443 pot interferir amb l’escaneig. Un altre exemple habitual: si l’objectiu és https://www.example.com però el lloc és https://www.example.com, també es produirà una redirecció.

L’adreça d’un objectiu de xarxa ha de ser obligatòriament l’adreça que cal escanejar directament, sense redirecció. Si s’utilitza una adreça que respon amb una redirecció, l’escaneig fallarà.