Deduplicación de hallazgos

La deduplicación no es un problema de limpieza, es un problema de identidad. Si la misma inyección SQL aparece como FND-014 en la campaña de marzo y como FND-003 en la de septiembre, se ha perdido la capacidad de demostrar que llevaba seis meses abierta. Que es, exactamente, lo que un auditor quiere saber.

La clave de deduplicación razonable combina activo, ubicación exacta —ruta y parámetro, no sólo host— y tipo de vulnerabilidad. Usar sólo el CVE junta cosas distintas; usar el texto del hallazgo separa cosas iguales porque cada herramienta lo redacta a su manera.

Conviene distinguir dos casos que se confunden: un duplicado es el mismo problema visto dos veces, y debe fusionarse conservando la fecha del primer avistamiento; una reaparición es el mismo problema que se cerró y ha vuelto, y debe abrirse de nuevo enlazando con el histórico. Fusionar el segundo caso borra la información más valiosa que tienes sobre la eficacia de la corrección.