# Exposición

> Descubre qué formas de entrar en tus máquinas no pasan por Ironchip: claves SSH ajenas, sesiones abiertas por fuera, sudo sin contraseña y accesos remotos abiertos.

URL: https://docs.ironchip.com/pam/administracion/exposicion/

Esta página explica la exposición: las formas de entrar en una máquina que no pasan por Ironchip, tal como las ve su agente. Sirve para cerrar las puertas traseras que harían inútil el control de acceso. Es para quien administra las máquinas.

## Requisitos

El [agente](https://docs.ironchip.com/pam/administracion/agente/) (osquery) instalado en la máquina. El agente revisa la máquina cada pocos minutos.

## Ver la exposición

Ve a **PAM > Hosts > Exposure** para ver todas las máquinas, o abre la pestaña **Exposure** en la página de un recurso. La lista de **Targets** también avisa de los hallazgos altos y medios.

[Imagen: Página Exposure con cada máquina, la gravedad, el hallazgo y cuándo se comprobó]

## Qué se busca

| Gravedad   | Hallazgo                                                                                                                | Sistemas      | Qué hacer                                                                                   |
| ---------- | ----------------------------------------------------------------------------------------------------------------------- | ------------- | ------------------------------------------------------------------------------------------- |
| **High**   | Una cuenta acepta una clave SSH que no es la del broker                                                                 | Linux y macOS | Quita la clave de `authorized_keys`, o compruébala si es de un proceso automatizado.        |
| **High**   | Alguien tiene sesión iniciada y nadie está conectado a través de Ironchip, o la tiene con otra cuenta que la del broker | Todos         | Averigua quién es y por dónde entró.                                                        |
| **Medium** | Alguien puede ejecutar `sudo` sin contraseña                                                                            | Linux y macOS | Si la máquina tiene el enforcer, baja a **Info**: Ironchip decide igualmente cada comando.  |
| **Info**   | Quién puede convertirse en root                                                                                         | Linux y macOS | Revisa que sean las cuentas esperadas.                                                      |
| **Info**   | Cuántos administradores locales hay                                                                                     | Todos         | Revisa que sean los esperados.                                                              |
| **Info**   | Un programa acepta SSH, RDP, VNC o WinRM en todas las direcciones                                                       | Todos         | Si un cortafuegos solo deja entrar al broker, no hay riesgo, pero el agente no puede verlo. |

La lista también indica las máquinas sin agente (**No agent**), las que aún no han respondido (**Waiting for the agent**) y las que no tienen nada (**Nothing found**).

## Más información

- [Cuentas](https://docs.ironchip.com/pam/administracion/cuentas/): el inventario de cuentas de cada máquina.
- [Agente en las máquinas](https://docs.ironchip.com/pam/administracion/agente/)