Fjordex vs Shodan vs Nessus: ¿para qué sirve cada uno?

Las tres herramientas comparadas en una tabla

Shodan: el motor de búsqueda de internet

Shodan escanea internet constantemente e indexa los dispositivos y los banners de servicio que encuentra. Responde en segundos a una pregunta como «qué IP tienen el puerto 3389 abierto y ejecutan Windows Server 2012». Su punto fuerte es su cobertura: todo internet. Su punto débil es eso mismo: no es específico para usted. Shodan no le dice «esta es su superficie de ataque (attack surface)»; los datos pueden estar desactualizados y la interpretación corre de su cuenta. Como además es el primer lugar donde miran los atacantes, Shodan es una de las fuentes que alimentan el descubrimiento; Fjordex añade encima una validación específica del objetivo, actualizada y autorizada, la correlación de CVE y el informe.

Nessus: el escáner de vulnerabilidades con credenciales

Nessus (Tenable) se conecta a sus propios sistemas, detecta las versiones de los servicios en ejecución y las compara con una base de datos de vulnerabilidades conocidas. Su salida son números CVE, puntuaciones CVSS y una lista de patches pendientes. Da sus mejores resultados en escaneos con credenciales (autenticados), es decir, en la red interna; su salida está en inglés y suele ocupar cientos de líneas. Para un equipo de TI interno es imprescindible. Fjordex no sustituye a Nessus, sino que trabaja junto a él: Nessus para el escaneo profundo de CVE en la red interna, Fjordex para la superficie de ataque (attack surface) externa, la postura de AD y la capa de decisión (priorización, delta, un informe en turco apto para firma). Al tratarse de un escaneo activo, Nessus requiere precaución en sistemas sensibles (equipos hospitalarios, sistemas de control industrial antiguos); en casos poco frecuentes puede provocar una interrupción del servicio.

Fjordex: el motor de evaluación y el connector

Fjordex trabaja en dos planos. El plano externo mapea los activos de la organización expuestos a internet: descubrimiento pasivo (subdominios, logs de Certificate Transparency, SPF/DKIM/DMARC, dominios lookalike) y descubrimiento activo limitado por una autorización por escrito (servicios en funcionamiento, puertos, postura TLS, paneles expuestos, subdomain takeover). Las versiones de servicio descubiertas se comparan con un conjunto de datos de CVE basado en NVD; la severidad se calcula a partir del vector CVSS, nunca se asigna a mano. El plano interno es una revisión autenticada y de solo lectura de la postura de seguridad de Active Directory: política de contraseñas débil, riesgos de Kerberoast / AS-REP, configuraciones incorrectas de ADCS y mapeo de la ruta hasta Domain Admin; ninguna ruta se ejecuta jamás.

Cada ejecución pasa por un único control de autorización: sin una referencia de autorización por escrito y una ventana de pruebas, el escaneo no se inicia, y los activos fuera del alcance nunca se escanean. La salida es un informe en turco apto para firma, un informe delta que muestra qué ha cambiado desde la ejecución anterior y un informe mensual de monitorización; el cuerpo del informe procede únicamente del motor.

El connector de Fjordex (MCP) es la vista previa pasiva de este motor: seguridad del correo, higiene DNS, descubrimiento de subdominios y comprobación de dominios lookalike. No se conecta a sus sistemas ni requiere instalación; funciona con una frase como «revisa la seguridad del correo de arvenova.ai».

Lo que Fjordex no es

Esta es la sección más importante, porque las falsas expectativas son el error más caro en seguridad.

• No sustituye a Nessus. Fjordex realiza correlación de CVE por versión, pero no aspira a la amplia base de plugins internos con credenciales de Nessus. «El connector no ha encontrado nada» no significa «nuestros sistemas no tienen vulnerabilidades»; solo significa que no hay ningún problema visible en los datos públicos de DNS y de certificados.
• No es un SOC ni una monitorización 24/7. No detecta ataques en tiempo real ni ofrece respuesta a incidentes. El producto de monitorización es un reescaneo periódico con un informe delta mensual.
• No es una prueba de penetración. Fjordex evalúa; el complemento de validación manual de hallazgos verifica a mano los hallazgos críticos bajo autorización escrita, con evidencia enmascarada en un anexo firmado. No hay simulación de ataques ni movimiento lateral.
• No es un RMM ni un EDR. No instala ningún agente en sus dispositivos, no monitoriza los endpoints y no despliega patches.
• El LLM no toma la decisión. El escaneo, la severidad y la priorización son totalmente deterministas: misma entrada, mismo informe. Solo se usa un modelo de lenguaje para el resumen ejecutivo opcional, en local y en circuito cerrado; si una IP, un CVE o una severidad del resumen no existe en los datos de origen, esa frase no llega al informe. También en el connector, el asistente solo llama a la herramienta y explica el resultado.
• No es un informe firmado. La salida del connector es una vista previa automatizada. El documento para una auditoría, una aseguradora o una licitación es el informe firmado con revisión humana (Nivel 1 en adelante).

¿Cuál usar y cuándo?

• Tiene sus propios servidores y quiere conocer el estado de sus patches: Nessus o un equivalente, con su propio equipo o un consultor.
• Quiere saber cómo le ve un atacante y qué queda expuesto en internet: consultas en Shodan, idealmente con un experto al lado.
• Quiere toda la superficie externa en un informe firmado y priorizado: la evaluación de Nivel 1 de ArveNova (desde 2.200 €, según el alcance). Para la postura de Active Directory, el Nivel 3.