Escenario, el almacén de datos de Textiles Sutatausa que se abrió un viernes

La alerta habla de lecturas anónimas, pero una lectura anónima solo es posible si alguien dejó el acceso abierto. Esa decisión tiene un autor en el registro de actividad: quien modificó la cuenta de almacenamiento y el contenedor de exportaciones.

El contenedor dejó de ser privado en un momento preciso, y el acceso anónimo se cerró en otro. Entre uno y otro, cualquier persona que conociera la dirección podía leer sin autenticarse. Hay que contar las horas completas de esa ventana, desde el cambio del contenedor hasta el cierre del acceso anónimo de la cuenta.

Que el contenedor estuviera abierto no demuestra que alguien leyera algo: eso lo dicen los registros de recurso del servicio de blobs. Hay que contar solo las lecturas de archivos sin autenticar que se entregaron con éxito. Un listado de contenido no es una lectura de archivo, y una petición que no se entregó no cuenta.

No todos los archivos del contenedor pesan igual. El área de datos clasificó cada uno. De los archivos que se leyeron de forma anónima con éxito, uno contiene información que la empresa debe proteger de forma especial y otros dos no. Hay que cruzar las lecturas con la clasificación.

Hay un cambio aprobado para esa semana: entregar el archivo a un cliente con un enlace temporal firmado, sin acceso anónimo. La persona que lo hizo inició sesión con segundo factor desde la red de la empresa y, esa noche, hizo un cambio distinto del aprobado. Después hubo lecturas anónimas de archivos desde dos direcciones externas, una de ellas del archivo confidencial, y la política que debía impedirlo solo avisó. A la mañana siguiente, el lunes, otra persona cerró el acceso anónimo.