Claves nuevas y credenciales adicionales

Crear una clave de acceso o añadir una credencial a una aplicación es una acción de gestión normal: las canalizaciones rotan claves, los administradores renuevan secretos. Por eso no se alerta por cada creación. Pero para un adversario es de las pocas maniobras que lo dejan dentro aunque lo echen por la puerta principal: la clave nueva sigue valiendo aunque se cambie la contraseña de quien la creó. Es la técnica de credenciales adicionales en la nube.

Lo que distingue la rotación legítima de la creación sospechosa no es el evento, sino su contexto: quién lo hizo, para quién se creó, desde dónde y si alguien lo había pedido. La caza compara cada creación con lo que es habitual y con el libro de solicitudes.

AWSCloudTrail
| where EventName == "CreateAccessKey"
| summarize creaciones = count() by SourceIpAddress

La línea base de este caso es simple: la red de Varadero es 192.0.2.166 y las rotaciones salen de ella, la mayoría desde la canalización. Una creación de clave desde una dirección que no es de la empresa merece una segunda mirada, igual que una creación para un usuario que no es quien la pide. La columna parametros resume a quién se le creó la clave.

Filtra las creaciones y quédate con la que no sale de la red de la empresa.

Una clave que se crea y no se usa es un riesgo; una que se crea y se usa a los pocos minutos desde la misma dirección ya cuenta una historia. El tiempo entre la creación y el primer uso, y que ambos salgan de la misma dirección, es lo que une los dos eventos como una sola maniobra. La clave aparece en los registros con un marcador ficticio: sigue el marcador, no el nombre.

Abre todo lo que hizo esa dirección y calcula el tiempo.

En Azure el equivalente a la clave de acceso es la credencial de una aplicación. El registro de auditoría de Entra guarda cada vez que se añade una: quién, a qué aplicación y desde dónde. Para saber si fue legítimo se cruza con el libro de solicitudes: una renovación aprobada tiene su solicitud, su ventana y su responsable; una que no tiene nada de eso es la que hay que seguir.

Mira los eventos que añaden credenciales y compáralos con las solicitudes.

Lo hallado se vuelve entregable: las filas que lo prueban, el cruce que lo distingue de la rutina y lo que no se sabe todavía. El cazador describe con evidencia lo que ocurrió y quién lo vio, y pasa el caso a quien responde incidentes. No decide por su cuenta desactivar una clave ni cerrar una cuenta, y tampoco llama «intrusión confirmada» a lo que aún solo es un patrón.