ACAS explicado: el escáner Tenable del DoD en lenguaje claro

ACAS (Assured Compliance Assessment Solution) es el programa obligatorio de escaneo de vulnerabilidades y evaluación del cumplimiento del Departamento de Defensa (DoD) de EE. UU., gestionado por la Defense Information Systems Agency (DISA) y construido sobre productos comerciales de Tenable como el escáner Nessus y la consola Tenable Security Center (antes Tenable.sc). Su finalidad es sencilla: encontrar de forma continua los activos de una red, escanearlos en busca de vulnerabilidades conocidas y configuraciones incorrectas, y reportar los resultados para que el riesgo pueda verse, priorizarse y corregirse. Este artículo es información general; los requisitos oficiales proceden de la guía vigente del DoD.

Qué es ACAS

En el fondo, ACAS responde a una pregunta que toda gran organización tiene que responder y que el DoD tiene que responder a una escala enorme: ¿cuáles son ahora mismo las debilidades conocidas de nuestros sistemas y cuáles importan más? Lo hace descubriendo los dispositivos conectados a una red, escaneándolos contra un catálogo actualizado de forma continua de vulnerabilidades conocidas y comprobaciones de configuración, y centralizando los hallazgos en paneles e informes. El sentido de imponer una única solución definida en todo el Departamento es la coherencia: los datos de vulnerabilidades producidos de la misma forma en todas partes pueden agregarse y compararse, de modo que los responsables obtienen una imagen coherente en lugar de un mosaico de herramientas e informes incompatibles.

Un punto clave: ACAS no es un producto que el DoD haya escrito desde cero. Es una solución definida, construida sobre un conjunto de herramientas comerciales de gestión de vulnerabilidades de la familia de productos de Tenable, seleccionadas y empaquetadas para su uso en el Departamento. La distinción importa: ACAS es la capacidad obligatoria y la forma en que se despliega, implementada con herramientas comerciales probadas.

Qué incluye un despliegue de ACAS

Un despliegue típico de ACAS reúne varias piezas complementarias para que la cobertura sea continua y no una foto periódica:

• Escaneo activo. Un escáner de vulnerabilidades de red que se conecta a los activos y los comprueba contra vulnerabilidades conocidas y líneas base de configuración.
• Gestión y reportes centralizados. Una consola que agrega los resultados de todo el entorno, los analiza y produce los paneles, tendencias e informes que usan realmente los responsables del riesgo.
• Monitoreo pasivo y basado en agentes. Como los escaneos activos se ejecutan a intervalos, el monitoreo pasivo de la red y los agentes en los endpoints ayudan a detectar activos, cambios y exposiciones que de otro modo serían invisibles entre una ventana de escaneo y la siguiente.

En ACAS estas funciones las han cubierto productos de Tenable: el escáner Nessus para el escaneo activo, Tenable Security Center (antes Tenable.sc y, antes aún, SecurityCenter) para la gestión y los reportes centrales, y Tenable Network Monitor (antes Nessus Network Monitor y, antes aún, Passive Vulnerability Scanner) junto con Nessus Agents (que Tenable documenta ahora como Tenable Agent) para la cobertura pasiva y basada en agentes. Muchos documentos del DoD siguen usando los nombres antiguos.

Los componentes concretos y sus nombres han cambiado con el tiempo a medida que evolucionaban los productos subyacentes, así que la lista vigente oficial debe confirmarse con la documentación del DoD y del fabricante en lugar de suponerla a partir de un momento concreto.

Quién tiene que usarlo

El uso de ACAS es, en general, obligatorio en todo el Departamento de Defensa: se espera que los servicios militares, las agencias y componentes del DoD, y los sistemas y contratistas que operan en redes del DoD hagan la evaluación de vulnerabilidades con ACAS. La idea que lo impulsa es la estandarización: cuando todas las organizaciones producen los datos de vulnerabilidades de la misma forma, esos datos pueden consolidarse, compararse y usarse en los niveles superiores del mando. Exactamente qué sistemas y entornos están en el alcance, y cualquier excepción, lo fijan la política del DoD y los responsables de autorizar cada sistema, así que una organización debe confirmar su obligación concreta con la guía aplicable en lugar de generalizar.

Cómo encaja ACAS en el cumplimiento del DoD: STIG y RMF

ACAS no funciona de forma aislada. Es uno de los tres pilares complementarios que, juntos, definen buena parte de cómo el DoD protege y autoriza sus sistemas.

• STIG: Security Technical Implementation Guides. Definen cómo debe configurarse un sistema de forma segura: la línea base endurecida, hasta ajustes concretos de sistemas operativos, aplicaciones y dispositivos. Las STIG fijan el estándar.
• ACAS. Mide el cumplimiento y la exposición. Escanea en busca de vulnerabilidades conocidas y comprueba la configuración contra las líneas base esperadas, produciendo la evidencia de si los sistemas están realmente parcheados y bien configurados.
• RMF: Risk Management Framework. Es el proceso de gobierno general por el que los sistemas se categorizan, se seleccionan e implementan sus controles de seguridad, se evalúan y se autorizan para operar con un nivel conocido de riesgo residual.

Vistos juntos, la relación es limpia: las STIG fijan la línea base segura, ACAS aporta la evidencia continua de en qué medida los sistemas la cumplen y dónde están expuestos, y el RMF es el proceso que consume esa evidencia para tomar decisiones de autorización y de aceptación del riesgo. Los datos de vulnerabilidades sin un proceso de gobierno son solo ruido; un proceso de gobierno sin datos son conjeturas. Los tres cierran ese ciclo.

Dónde encaja ACAS en las buenas prácticas de seguridad

Aunque ACAS es una obligación específica del DoD, la lógica que lo sustenta es universal. Todo programa de seguridad maduro necesita un descubrimiento continuo de activos y una evaluación de vulnerabilidades que alimenten un proceso de gestión de riesgos: el mismo instinto que, en el mundo comercial, recogen marcos como el NIST Cybersecurity Framework en sus funciones Identify y Protect. ACAS también es una expresión de la defensa en profundidad: el escaneo y el aseguramiento de la configuración son una capa entre muchas, valiosa precisamente porque detecta las exposiciones que otros controles no detectan. Y como ACAS trabaja con una evaluación continua y no con comprobaciones puntuales, refleja la realidad de que la postura de seguridad de un sistema se desvía en cuanto se le deja solo: se divulga una vulnerabilidad nueva, cambia una configuración, se salta un parche. Los equipos que construyan sus propias canalizaciones de evaluación y reportes en torno a datos similares pueden explorar la integración programática mediante las API de seguridad de PlayCISO.

La conclusión

ACAS es la forma estandarizada en que el DoD sabe, de forma continua, dónde son vulnerables sus sistemas y si cumplen sus líneas base de configuración. Construido sobre herramientas comerciales basadas en Tenable, obligatorio en todo el Departamento y conectado a las STIG y al RMF, convierte resultados de escaneo dispersos en información de riesgo organizada sobre la que pueden actuar los responsables de autorizar. Para cualquiera fuera del DoD, es un caso claro de un principio que se aplica en todas partes: no puedes gestionar el riesgo que no ves, así que mide tu exposición de forma continua y aliméntala a un proceso que tome decisiones.

Preguntas frecuentes

¿Qué es ACAS? La Assured Compliance Assessment Solution: la capacidad obligatoria del DoD de escaneo de vulnerabilidades y evaluación del cumplimiento que descubre activos, busca vulnerabilidades y configuraciones incorrectas y centraliza los resultados.

¿Sobre qué está construido? Sobre un conjunto de herramientas comerciales de gestión de vulnerabilidades de la familia de productos de Tenable, seleccionadas y empaquetadas para el uso del DoD, que combinan escaneo activo, reportes centralizados y monitoreo pasivo o basado en agentes.

¿Quién debe usarlo? En general, los servicios militares, las agencias y componentes del DoD, y los sistemas y contratistas en redes del DoD, con un alcance concreto fijado por la política del DoD y los responsables de autorizar.

¿Qué relación tiene con las STIG y el RMF? Las STIG fijan la línea base de configuración segura, ACAS mide el cumplimiento y la exposición, y el RMF es el proceso de gobierno que consume esa evidencia para autorizar sistemas y aceptar riesgos.

¿ACAS es solo un escáner de vulnerabilidades? Incluye escaneo, pero se describe mejor como una solución empaquetada de gestión de vulnerabilidades y cumplimiento, que añade gestión centralizada, reportes y monitoreo al escaneo en bruto.