Aplicaciones con consentimiento, cuentas de servicio y la respuesta

Muchas aplicaciones de terceros se conectan a la cuenta de la empresa pidiendo consentimiento: una pantalla del propio proveedor de identidad que dice «esta aplicación quiere leer tu correo y mantener el acceso» y un botón de aceptar. Quien acepta no le da su contraseña a nadie; le da a la aplicación un token propio, con los permisos que pidió, que la aplicación renueva sola. El permiso de «mantener el acceso» es justo eso: seguir entrando sin volver a preguntar. En la auditoría queda un evento de consentimiento con la aplicación, los permisos y quién los concedió.

Hay dos tipos de permiso y conviene no confundirlos. Los delegados actúan en nombre de una persona y llegan hasta donde llega ella: su buzón, su calendario. Los de aplicación no actúan en nombre de nadie: la aplicación entra como sí misma y llegan a toda la empresa —todos los buzones, todos los archivos—, por eso solo un administrador puede concederlos. Un consentimiento fraudulento casi siempre pide delegados, porque los concede cualquiera con un clic; en ATT&CK, quedarse así con el acceso de una aplicación es T1528.

En el laboratorio, una persona de contabilidad consintió una aplicación por la mañana y la mesa de ayuda le pidió cambiar la contraseña por la tarde. Compara las horas.

Ante un consentimiento, las preguntas son siempre las mismas y salen del inventario de aplicaciones: ¿el editor está verificado por el proveedor?, ¿qué permisos pide y de qué tipo?, ¿cuántas personas la usan y desde cuándo existe? Una aplicación de un editor conocido que consintieron treinta personas a lo largo de un año para ver el calendario es lo que parece. Una registrada hace tres días, de un editor sin verificar, que consintió una sola persona y que pide leer el correo, tiene la forma exacta del consentimiento fraudulento, aunque el nombre suene a herramienta de oficina.

Después se mira qué hizo: el registro de uso de aplicaciones dice qué operaciones hizo cada una, sobre qué buzón, cuántos elementos y desde qué dirección.

Las identidades de servicio son cuentas con las que un programa entra solo: la integración del ERP que lee el buzón de pagos cada noche, la herramienta de respaldo que exporta buzones los domingos. No tienen segundo factor, entran con un secreto o un certificado, y suelen tener permisos de aplicación sobre toda la empresa. Por eso añadirles una credencial es una de las formas más silenciosas de quedarse con un acceso: el secreto nuevo no caduca cuando alguien cambia su contraseña, y nadie recibe una notificación cada vez que se usa. En ATT&CK es T1098.001, credenciales adicionales en la nube.

Lo que delata ese evento está en la auditoría y en la línea de base de la identidad: quién añadió la credencial, cuándo, desde dónde, si hay un ticket de cambio, y qué hizo la identidad después comparado con lo que hace siempre.

Un secreto añadido a una identidad de servicio no lo añade la identidad: lo añade una cuenta de administración. Y el caso se arma con las dos piezas, porque quitar el secreto sin mirar quién lo puso deja abierta la puerta por la que se puso.

El nivel 1 no ejecuta toda la contención, pero sí la pide, y la pide bien o mal. Cada acción de respuesta corta una cosa concreta: restablecer la contraseña corta las entradas nuevas con la vieja; revocar las sesiones obliga a volver a autenticarse a todo lo que estaba abierto; retirar un método de verificación impide que ese aparato vuelva a servir; revocar el consentimiento y deshabilitar la aplicación le quita el acceso a la aplicación; quitar una credencial de una identidad de servicio y rotar las demás le quita el secreto a quien lo puso. Ninguna sirve para todo. La que se aplica por costumbre —cambiar la contraseña— es la que menos corta.

La regla práctica es preguntarse qué le da acceso al otro ahora mismo: una contraseña, una sesión, un método, un consentimiento o un secreto. En la fatiga de la sala anterior, la contraseña y la sesión. En la sesión robada, la sesión, y también la contraseña, porque lo que saca la cookie de un navegador o de una página falsa casi siempre se lleva la contraseña con ella. Aquí, el consentimiento.