Cuentas privilegiadas — qué detectar y cómo saber si la regla sirve

En un directorio con acceso justo a tiempo, un rol de administración se activa de forma temporal y con aprobación: en el registro de auditoría aparece como Add member to role in PIM completed (timebound). La otra forma es la asignación directa, Add member to role, que deja el rol puesto sin caducidad y sin pasar por esa aprobación.

La técnica T1098.003 de MITRE ATT&CK, añadir roles de nube a una cuenta, es justo eso: un atacante con permisos suficientes se da o da a una cuenta suya un rol alto. Por eso la regla de privilegios no mira «cualquier cambio de rol», que sería ruido, sino la asignación directa fuera del proceso.

Mira todas las asignaciones de roles de la muestra.

AuditLogs

La asignación directa no siempre es un ataque. A veces es una urgencia legítima con un ticket de cambio. La regla pesa las dos cosas: asignación directa y ticket vacío. Compara las asignaciones directas y deja las que no tienen ticket.

AuditLogs | where OperationName == "Add member to role"

AuditLogs | where OperationName == "Add member to role" and TicketCambio == "sin ticket"

Las cuentas de emergencia son cuentas con rol alto y sin segundo factor habitual, guardadas para cuando el proveedor de segundo factor falla. Su regla es la más simple de todas: cualquier inicio de sesión alerta, porque su uso esperado es casi nulo y cada uno exige un acta.

La tabla cuentas_emergencia declara desde dónde debería usarse. Revisa los inicios de sesión de la cuenta y compara.

cuentas_emergencia

SigninLogs | where UserPrincipalName has "bg-"

Una regla se juzga con dos números que salen de revisar sus alertas: cuántas fueron verdaderas y cuántas falsas. La precisión es el porcentaje de alertas que eran un caso real, es decir, los verdaderos positivos entre el total de alertas. Una regla con baja precisión consume tiempo de quien revisa y enseña a la cola a ignorarla.

La tabla reglas_medidas trae 90 días de resultados de tres reglas. Mira la regla que alerta ante cualquier cambio en un grupo con «admin» en el nombre y calcula su precisión, en porcentaje.

reglas_medidas

Con una precisión tan baja, la regla de los grupos cuesta más de lo que protege. Apagarla sin más deja sin ver los cambios que sí importan; dejarla como está enseña a ignorar la cola. La salida es reescribirla para que mire lo que la hace útil, con los datos que ya tienes.

Las otras dos reglas muestran cómo se ve una buena: una mira un cambio estrecho, la asignación directa sin respaldo, y la otra un evento rarísimo, el uso de la cuenta de emergencia.