Las aplicaciones, las copias y los registros

Autenticar dice quién eres; autorizar por objeto dice si ese objeto es tuyo. Una interfaz que autentica bien pero no comprueba de quién es lo que se le pide deja ver los datos de otra tienda con solo cambiar un número en la ruta. Una interfaz sin autenticación a propósito, como un catálogo público, es otra cosa y no cuenta como falla.

En un pipeline, cada etapa corre con una identidad. Una identidad compartida entre equipos, con permisos de administrador sobre toda la plataforma y sin caducidad, convierte cualquier cuenta de ese pipeline en una llave maestra permanente. El problema no es que exista una identidad de despliegue, sino su alcance y su falta de fecha.

Un tiempo de recuperación prometido solo vale si incluye lo que hay que levantar antes. Si un sistema depende de otro, y ese de un tercero, el tiempo real es la suma a lo largo de la cadena. Calcula el de cada sistema y compáralo con lo que se prometió; el que más se pasa es el que está desinformando a quien lo prometió.

Todas las copias están en el mismo dominio de administración que producción y ninguna es inmutable: quien comprometa las credenciales de producción puede borrar el sistema y su copia. Además, la restauración del directorio de identidades nunca se ha probado, y el directorio es de lo que todo depende. Hay recursos para una sola mejora esta semana.

Un registro que no llega al sitio central se pierde con la máquina que lo generó, o lo borra quien tiene control de ella. De las fuentes que importan para detectar un incidente, la que se queda sola y con poca retención es la primera que un atacante querría cubrir y la última que verías.