Claves nuevas en cuentas de servicio

Cada cuenta que entra por clave tiene, o debería tener, una lista corta de claves autorizadas, y cada una de ellas debería estar respaldada por una solicitud de cambio aprobada. Esa lista es la línea de base de esta caza, igual que la lista de procesos habituales lo es en otras: lo normal está escrito, y lo que aparece fuera de la lista es la pista.

El registro de autenticación anota, en cada sesión aceptada por clave pública, la huella de la clave que se presentó. La caza consiste en recorrer esas huellas y apartar las que el inventario no conoce. Que la cuenta sea legítima no dice nada de la clave: una cuenta de servicio real puede estar recibiendo una clave que nadie aprobó.

Abre el laboratorio, lee inventario-de-claves.txt y recorre /srv/cdm-lnx-bast01/auth.log. Hay accesos por clave de administradores desde la red interna, un envío nocturno del servidor de informes y ruido de internet con nombres de usuario inexistentes. Entre las sesiones aceptadas por clave hay una cuya huella no está en el inventario. grep busca una cadena dentro de un archivo, y puedes buscar «Accepted publickey» para quedarte solo con las sesiones por clave.

La primera vez que se usa una clave es el dato que ancla la línea de tiempo: dice cuándo empezó el acceso y permite mirar qué pasó justo antes. También ayuda a separar una clave que lleva meses de una que apareció de madrugada. Ya sabes cuál es la huella; busca ahora su primera sesión en el bastión.

El archivo archivos-de-claves.txt lista la fecha de modificación de cada archivo de claves autorizadas del bastión. La fecha de modificación es un dato cazable de segunda mano: no dice quién escribió el archivo, pero sí cuándo cambió por última vez. Si coincide con el primer uso de una huella desconocida, la hipótesis de que la clave se añadió ahí gana peso; no la confirma sola, porque la fecha se puede alterar y porque un cambio legítimo también la mueve.

Una huella desconocida se busca en toda la flota antes de cerrar nada, porque el alcance cambia la gravedad. En el laboratorio tienes además el registro del servidor de aplicaciones. La caza termina aquí con una entrega: la huella, la cuenta, la hora del primer uso, el origen externo y los servidores donde se vio, para que quien responde decida, con autorización, qué hacer con la clave. Retirarla sin guardar antes la evidencia destruye lo que la investigación necesita.