Cambios de permisos y llamadas poco frecuentes

Lo normal se repite miles de veces; lo raro, casi nunca. Si se ordenan las llamadas de gestión de menos a más frecuentes, lo que usó el adversario por primera vez queda en la cola larga, entre acciones que nadie había llamado en meses. Es una técnica de caza muy barata: no necesita una hipótesis sobre una acción concreta, solo una línea base de frecuencia y una pregunta honesta sobre lo que apareció de nuevo.

La cola larga no es culpable por existir: una auditoría programada también llama cosas raras. Por eso se cruza con quién llamó y desde dónde.

AWSCloudTrail
| summarize llamadas = count(), identidades = dcount(UserIdentityArn) by EventName
| order by llamadas asc

Una acción con cero llamadas en los 90 días anteriores y varias esta semana es un cambio de conducta, aunque sea una sola identidad. La lectura útil es doble: qué hace esa acción y quién la llamó. Algunas acciones de gestión descargan una vista completa de identidades y permisos de la cuenta, y para un reconocimiento de la nube es el atajo.

Busca en la tabla de frecuencias lo que esta semana apareció sin ningún uso previo.

Cambiar permisos es lo más cómodo para quedarse con más alcance. En Azure cada asignación de rol queda en el registro de actividad con quién la hizo, a qué ámbito y desde dónde. Para separar lo legítimo se mira el libro de solicitudes: el cambio aprobado tiene su responsable y su ventana; el que no tiene nada de eso, y sale de una dirección ajena a la empresa, es el que se sigue.

Lee las asignaciones de la semana y compáralas con las solicitudes.

Una asignación de rol sin solicitud no demuestra por sí sola una intención: puede ser una urgencia que nadie documentó. Lo que sí demuestra es que el control de cambios no la vio, y eso es un hallazgo. La anotación del cazador separa los hechos —quién, qué rol, a quién, desde qué dirección, sin solicitud— de la interpretación, y deja la pregunta abierta para quien tenga el contexto.