Cuentas de emergencia y su custodia

En condiciones normales, la administración de sistemas debe regirse por el mínimo privilegio y el uso estricto de SSO/MFA centralizado. Sin embargo, si un ataque destruye el controlador de dominio o bloquea el proveedor de identidad en la nube, todos los administradores quedan encerrados fuera de su propia infraestructura. Para este escenario existen cuentas de emergencia (Break-Glass): credenciales altamente privilegiadas, independientes del directorio federado, almacenadas bajo custodia extrema y reservadas para catástrofes.

En el inventario de cuentas de emergencia de Valdeolivo se auditan los alcances y la custodia de cada credencial de contingencia.

Abre el laboratorio y consulta cuentas-break-glass.txt. Identifica la cuenta de emergencia que posee permisos root sobre hipervisores.

La cuenta bg-ad-recovery puede reconstruir el bosque de dominios, por lo que su custodia exige una barrera física desconectada de la red.

Revisa cuentas-break-glass.txt y localiza el mecanismo de custodia de la credencial bg-ad-recovery.

El uso de una cuenta Break-Glass debe ser un evento extraordinario. Su activación debe detonar automáticamente alarmas críticas por canales fuera de banda (SMS, alarma acústica en el SOC, llamada telefónica a la dirección) para descartar que esté siendo utilizada por un atacante interno o externo.