Qué contiene una etiqueta SWID
Una etiqueta SWID no es el software en sí. Es un archivo de metadatos que acompaña al programa. El instalador del fabricante suele colocarlo en una ubicación fija durante la instalación. Una herramienta de inventario puede leerlo sin ejecutar el software y sin analizar todo el archivo.
Cada etiqueta registra al editor, la identidad del producto (nombre, versión, edición y arquitectura o plataforma de destino), un identificador único de la etiqueta, separado del nombre del producto, y el tipo de etiqueta. El tipo indica si pertenece a una instalación principal, a un parche, a un componente complementario o a un corpus previo a la instalación. El ejemplo siguiente muestra la estructura de una etiqueta en el esquema ISO/IEC 19770-2, con valores de ejemplo:
<SoftwareIdentity xmlns="http://standards.iso.org/iso/19770/-2/2015/schema.xsd" name="Example Editor" version="5.2.1" versionScheme="multipartnumeric" tagId="example-editor-5-2-1">
<Entity name="Example Corp" regid="example.com" role="softwareCreator"/>
</SoftwareIdentity>Por qué existe el estándar
Antes de SWID, cada herramienta de gestión de activos de TI usaba sus propias heurísticas para reconocer el software instalado. Comparaba nombres de ejecutables, claves del registro o estructuras de carpetas. Estos datos cambian entre versiones y fabricantes, por lo que el método es frágil. Un mismo producto puede aparecer con varios nombres en toda la organización. Un cambio pequeño de nombre o un nuevo empaquetado puede hacer que la herramienta cuente mal las licencias o pase por alto una versión vulnerable.
ISO/IEC 19770-2 ofrece a la industria una fuente común de verdad. El fabricante declara qué se instaló, en un formato estándar que todas las herramientas leen de la misma manera. Así, el inventario y la conciliación de licencias dejan de depender de suposiciones.
Cómo llega la etiqueta al inventario
La etiqueta recorre cuatro pasos, desde el instalador del fabricante hasta el registro de inventario:
- 1
Publicación
El instalador del fabricante escribe la etiqueta junto al producto durante la instalación.
- 2
Lectura
La herramienta de inventario lee el archivo XML sin ejecutar el software.
- 3
Comparación
El producto, la edición y la versión se comparan con los derechos comprados y con las versiones vulnerables conocidas.
- 4
Registro
El resultado se guarda como un registro estructurado, para que cada equipo informe de la misma forma.
Cómo se usan las etiquetas SWID
Las etiquetas respaldan cuatro tareas comunes. Cada una también tiene un límite que se deriva de la cobertura de las etiquetas:
| Uso | Lo que aporta la etiqueta | Límite |
|---|---|---|
| Gestión de activos de software | Un conteo exacto del software instalado, sin comparar nombres de archivo | Solo cuenta los productos cuyo fabricante creó una etiqueta |
| Conciliación de licencias | Identificadores exactos de producto y edición comparados con los derechos comprados | Un producto sin etiqueta queda fuera de la comparación |
| Correspondencia de vulnerabilidades y parches | Producto y versión asociados a versiones vulnerables conocidas; las etiquetas de parche confirman una corrección | Un producto sin etiqueta no puede correlacionarse |
| Cumplimiento gubernamental | Los marcos que citan el protocolo SWIMA mantenido por el NIST esperan que los endpoints reporten el software como etiquetas SWID | El reporte solo está completo donde existen las etiquetas |
Dónde se quedan cortas las etiquetas SWID en la práctica
El estándar depende de la adopción. Una etiqueta SWID existe solo si el instalador del fabricante la crea, así que una herramienta que dependa únicamente de etiquetas tendrá puntos ciegos.
Por eso, la mayor parte del inventario de software todavía se construye con descubrimiento automatizado, a partir de lo que un agente o un escáner ve en el endpoint. Las etiquetas SWID son una señal complementaria, de mayor confianza, donde existen. No son la única fuente de verdad. La evidencia principal proviene de:
- las listas de programas instalados, tal como el sistema operativo las registra
- los archivos y registros que deja la instalación
- los registros del gestor de paquetes
Etiquetas SWID frente al inventario general
Separe el estándar del objetivo. El inventario de software es el objetivo más amplio: un registro actualizado y preciso de cada aplicación instalada en los equipos de la organización. Una etiqueta SWID es una forma estandarizada de identificar con precisión un único producto instalado.
Una organización puede tener un inventario confiable, construido con descubrimiento basado en agentes, y nunca usar etiquetas SWID. También ocurre lo contrario: un equipo puede tener etiquetas SWID para algunos productos, mientras que el inventario general cubre el resto por otros medios. La práctica más amplia se describe en gestión de activos de software.
Cómo se ve en Anexet
La lista de software de Anexet se construye con los atributos que el agente lee en cada estación de trabajo: nombre, empresa, versión y ruta. En Anexet Inventory, la tarjeta de cada estación muestra los programas instalados, así que el software que nadie solicitó se distingue en la lista.
Por dónde empezar
Empiece por los productos con mayor costo de licencias o mayor riesgo para la seguridad, y revise si sus fabricantes crean etiquetas. Cuando lo hacen, la etiqueta confirma el producto exacto. Cuando no, el registro del endpoint sigue siendo la fuente, y el proceso de inventario lo mantiene al día.
Una etiqueta dice qué afirma el fabricante que se instaló. El inventario dice qué hay realmente en el equipo.
Anexet Team