Escenario, la llave de pedidos de Distribuciones Ocarina

La alerta habla de una integración que trabajó de noche. Pero hay más de una cuenta de servicio que trabaja de noche en este proyecto, y que una llave se use de madrugada no es por sí solo una anomalía. Hay que encontrar la llave cuyo uso no cuadra con el origen que su integración tiene registrado.

El uso inusual no empezó con la alerta. Hace falta la hora exacta de la primera lectura hecha con esa llave desde la dirección no habitual, porque de ahí se cuentan la ventana del incidente y todo lo que se compare después.

El código de esa integración vive en un repositorio de la plataforma de código. Su registro de auditoría dice si estuvo abierto y quién lo abrió. Otro repositorio de la organización también cambió de visibilidad en esas semanas, pero no es el de la integración de pedidos.

La tabla de lecturas por ventana agrupa las solicitudes de cada llave en franjas de media hora. Solo cuentan para el alcance las de la llave de la tarea 1 desde la dirección no habitual; las demás son las habituales de esa u otras integraciones.

Hay una llave de cuenta de servicio creada en mayo, sin rotar, con un hallazgo activo de Security Command Center, que se usó de madrugada desde una dirección de documentación que no es la de su integración y leyó el bucket de pedidos de clientes. Un repositorio de esa integración estuvo público unas horas el fin de semana anterior y volvió a ser privado antes de ese uso. La persona que lo abrió inició sesión en el proveedor de identidad con su segundo factor desde la oficina de siempre, y su cuenta no muestra nada anómalo. Hay que escribir el cierre.