Prevención de fuga: dónde se coloca y qué ve

Los analistas legítimos tienen autorización para consultar datos, lo que dificulta distinguir una labor analítica habitual de un intento de exfiltración masiva. Los controles DLP analíticos se colocan en tres puntos estratégicos:

1. Motores de consulta interactiva (Athena, Trino, BigQuery): Supervisan el número de filas exportadas y bloquean descargas masivas no autorizadas.
2. Pasarelas de almacenamiento (S3, Cloud Storage): Escanean clasificaciones de objetos mediante motores de aprendizaje (como Amazon Macie) para detectar datos no inventariados.
3. Puntos de salida de red: Detectan tráfico anómalo hacia buckets de terceros o conexiones externas no homologadas.

El inventario de sensores DLP detalla las capacidades y reglas aplicadas en cada punto de inspección.

Abre el laboratorio y lee sensores-dlp.txt. Identifica qué punto de inspección bloquea descargas si superan las 500 filas con contenido sensible.

La correlación de eventos de seguridad registra intentos frustrados de extracción de información por parte de usuarios comprometidos o desleales.

Examina incidentes-exfiltracion.txt y localiza el código del incidente donde se intentó desviar 120.000 filas hacia un bucket personal y fue bloqueado por el perímetro.

Ante un intento de extracción masiva, el sistema no debe limitarse a bloquear la descarga individual: debe revocar temporalmente la sesión del analista y alertar al equipo de respuesta a incidentes para investigar el dispositivo.