Cuentas de servicio con uso humano

La mayoría de las cuentas de una empresa tienen un comportamiento difícil de resumir: viajan, cambian de dispositivo, trabajan de noche en cierre de mes. Una cuenta de servicio es lo opuesto. Desde un equipo, a unas horas, con un tipo de inicio. Esa regularidad hace que la hipótesis sea barata y precisa: cualquier inicio interactivo, aquel donde alguien escribe la credencial, ya es una desviación de la base, aunque la credencial sea válida y el acceso haya tenido éxito.

Ejecuta inventario_servicio y resumen_inicios. El inventario dice qué uso se espera de cada cuenta y el resumen cuenta qué ocurrió en septiembre.

El resumen deja dos cuentas con inicios interactivos. Contarlos no basta: hay que ver cada uno y preguntar si un cambio aprobado lo explica. Una explicación válida cruza tres datos a la vez, la cuenta, el equipo y el día. Un ticket sobre la misma cuenta pero en otro equipo, o un día distinto, no la explica.

Ejecuta interactivos_servicio para ver cada inicio y cambios_aprobados para ver lo que el equipo autorizó. Lo que queda después de restar lo explicado es el hallazgo de la caza.

El inicio de sesión dice de qué equipo salió, no quién estaba sentado. Antes de hablar con nadie hay que saber de quién es ese equipo, y para eso se usa un inventario, no una suposición. La tabla de equipos da el tipo de máquina y su responsable.

Ejecuta equipos. La caza usa ese dato para saber con quién hablar, no para señalar a esa persona: un equipo asignado a alguien es el primer lugar donde preguntar, y no prueba que esa persona hiciera nada.

Antes de decidir qué significa, conviene medir cuánto pasó. Una sola vez puede ser un descuido; una costumbre es otra cosa. Para esta cuenta, la frecuencia y la hora de esos inicios dicen qué clase de uso es: a qué hora empiezan, si coinciden con el arranque de una jornada laboral, y cuántos días distintos abarcan.

Ejecuta interactivos_servicio | where cuenta == "svc-recibo" y cuenta los días diferentes que aparecen. Fíjate en la hora: es la de una persona que llega y abre su navegador.

Los datos muestran que la cuenta de servicio de Contabilidad se usa a mano, casi cada semana, a primera hora, desde la estación de una persona de ese mismo equipo, sin ningún cambio aprobado. Eso es un hallazgo claro. Lo que los datos no muestran es quién tiene la credencial en realidad ni por qué la usa: puede ser un atajo cómodo de alguien de Contabilidad, y también puede ser que otra persona esté usando ese equipo.

El informe afirma lo que se vio y nada más: uso humano de una cuenta de servicio sin respaldo. Propone lo que corresponde a ese hallazgo: avisar a la dueña de la cuenta, cambiar su credencial y comprobar con la persona. La acusación de intrusión no cabe aquí.