Crítica
Cluster interno (kc/kf/ee + VPN principal) publicado en DNS publico
Categoría
API expuesta
Confianza
verified
Observado
2026-04-28
Resumen
kc.cartagena.gov.co, kf.cartagena.gov.co, ee.cartagena.gov.co y vpn.cartagena.gov.co son alcanzables por nombre desde cualquier internet, aunque sus HTTPS hacen timeout.
Por qué importa
Los nombres de los sistemas internos en DNS publico permiten a un atacante con IA inventariarlos en segundos. Bruteforce trivial los descubre incluso si no estan en CT logs.
Cómo mitigar
- •Restringir ambientes de no-producción por IP/VPN, nunca por DNS público.
- •Quitar prefijos identificables (dev, staging, uat) de DNS público — usar nombres opacos si la exposición DNS es necesaria.
- •Aplicar el mismo hardening de prod a dev (cuando sea alcanzable externamente).