Acceso indebido — credenciales, horas y sitios raros

La fuerza bruta (T1110) tiene una silueta inconfundible en los registros de autenticación: una misma cuenta, o un mismo origen, acumula muchos fallos de contraseña seguidos en poco tiempo. No hace falta ver la herramienta del atacante: la forma —decenas de «contraseña incorrecta» apretados en segundos contra la misma cuenta— es la firma. En el servidor de Delta Cargo, la cuenta arios junta cuarenta fallos en menos de un minuto desde un origen de fuera.

Reconocer la silueta es lo que te deja decir «esto es fuerza bruta» sin entrar en detalles. Lo que la distingue de un usuario torpe es el volumen y el ritmo: una persona se equivoca tres veces y para; una herramienta no para.

La fuerza bruta importa de verdad cuando funciona. Una ráfaga de fallos que nunca acierta es un intento fracasado —se anota y se vigila—; una ráfaga de fallos que termina en un «sesión aceptada» de la misma cuenta y el mismo origen es un compromiso. En arios, los cuarenta fallos los cierra un inicio de sesión correcto a los pocos segundos: la contraseña cayó. Ese cambio de «Failed» sostenido a un «Accepted» final es la línea que convierte el intento en incidente.

Por eso no basta con contar fallos: hay que mirar cómo termina la ráfaga. El acierto final es lo que decide si escalas «intento bloqueado» o «cuenta comprometida», que son dos incidentes muy distintos.

El uso de cuentas válidas (T1078) es más silencioso: no hay ráfaga de fallos porque el atacante ya tiene la contraseña —la robó, la compró o la sacó de una filtración—. El inicio de sesión es limpio, correcto a la primera. Lo que delata no es el fallo, sino el contexto: la cuenta mvega, que siempre entra desde la oficina en horario laboral, aparece autenticándose a las 04:00 desde un país donde la empresa no opera. Credenciales correctas, comportamiento imposible.

Esta es la técnica que se escapa al que solo vigila fallos. Contra las cuentas válidas, la detección mira desviaciones del patrón normal de cada cuenta: desde dónde entra, a qué horas, con qué dispositivo. El acierto limpio no es tranquilizador si el resto no cuadra.

Una señal potente del uso de cuentas válidas es el viaje imposible: la misma cuenta se autentica desde dos lugares tan separados que ninguna persona podría desplazarse entre ellos en el tiempo transcurrido. Si mvega entra desde la oficina a las 09:00 y desde otro continente a las 09:20, no es que viajara: son dos manos usando la misma credencial. El SIEM puede calcularlo cruzando la ubicación del origen con la marca de tiempo de cada autenticación.

No siempre hay viaje imposible —el atacante puede usar un origen local—, pero cuando aparece es difícil de discutir. Es el tipo de correlación que un humano tardaría en ver y que el SIEM, con las dos fuentes juntas, señala solo.

Un evento de Delta Cargo muestra algo curioso: jmora demostró ser quien dice —usuario y segundo factor correctos— y aun así el registro marca un intento fallido de abrir una carpeta de nóminas que su puesto no tiene asignada. No hay contradicción: son dos controles distintos actuando. Uno comprueba la identidad al entrar; otro decide, ya dentro, a qué recursos puede llegar esa identidad. Confundirlos lleva a cerrar como «todo en orden» un acceso que la identidad era legítima pero el permiso no.

Separar las dos preguntas —¿es quien dice ser? y ¿esto le está permitido?— es lo que te deja ver el abuso de una cuenta válida que intenta llegar donde no le toca.

En la consola hay una cuenta que aparece autenticada dos veces en 20 minutos desde dos países distintos. No la delata ningún fallo: la delata el viaje imposible. Encuéntrala en los eventos.