Autorización y privilegios — entrar no es poder

Cada acceso pasa por dos puertas. La primera comprueba la identidad: ¿eres quien dices? Usuario y segundo factor la resuelven. La segunda decide, ya dentro, a qué recursos puede llegar esa identidad: ¿esto le está permitido? Son controles separados, y confundirlos lleva a cerrar como «todo en orden» un acceso donde la identidad era correcta pero el permiso no debía existir. El analista se hace las dos preguntas por separado, siempre.

Que una cuenta pase la primera puerta no dice nada de la segunda. Un atacante con credenciales robadas supera la autenticación limpiamente; su intención se nota en lo que intenta tocar después, no en cómo entró.

Un registro de «acceso denegado» no siempre es un usuario despistado: cuando una cuenta válida insiste en llegar a un recurso que su rol no tiene —la carpeta de nómina para alguien de soporte—, esos rechazos dibujan una intención. La autorización hizo su trabajo y bloqueó, pero el intento quedó escrito. Varios «denegado» seguidos contra recursos sensibles, desde una cuenta que nunca los pidió, es la huella de alguien tanteando hasta dónde llega el permiso.

El analista no descarta los accesos denegados por el hecho de que fallaran: los lee como el mapa de lo que alguien quería alcanzar. El rechazo frenó el acceso, no la señal.

El abuso se consuma cuando un acceso antes denegado pasa a permitido sin que el trabajo de la persona haya cambiado. Si justo antes del «permitido» la cuenta aparece añadida a un grupo con derechos sobre ese recurso, ahí está la escalada de privilegio: alguien le dio a la cuenta un permiso que su rol no contemplaba. La secuencia —denegado, denegado, cambio de grupo, permitido— cuenta la historia completa, y el eslabón que la delata es ese cambio de pertenencia a deshora.

El analista correlaciona el acceso con los cambios de permiso de la misma cuenta. Un recurso que se abre justo después de un cambio de grupo que nadie justificó es una escalada, no una casualidad.

En la consola, la cuenta tmolina superó la identidad con MFA, pero fue rechazada dos veces en la carpeta de nómina… hasta que un cambio de grupo le abrió el acceso. Localiza el grupo al que se la añadió justo antes del «permitido».