Sala 4 · Detección, respuesta e informe a la dirección

Los administradores no tienen el rol puesto: lo activan cuando lo necesitan. La política solo admite activar un rol de administración dentro de una ventana de cambios aprobada o con una emergencia aprobada, y una activación que cumple ninguna de las dos es un privilegio fuera de proceso.

Las ventanas pueden cruzar la medianoche. Los roles que no son de administración no caen bajo esta regla, aunque se activen a cualquier hora.

Un token vigente sigue abriendo puertas aunque el riesgo de la persona haya cambiado. La ventana expuesta es el tiempo que pasa entre el momento en que llega la señal y el momento en que la sesión queda revocada; mientras dura, el acceso sigue abierto.

Se mide en minutos completos y se compara cada sesión por separado. Cuidado con las sesiones cuya señal llegó un día y cuya revocación consta al siguiente: el reloj no se reinicia a medianoche.

Para que la revocación funcione, la aplicación tiene que enterarse. Una que valida el token por su cuenta y no está conectada al flujo de avisos seguirá aceptando la sesión hasta que el token venza, y cuanto más largo sea su token, mayor la exposición.

Una aplicación que valida en local pero sí recibe el aviso tiene un límite menor, y otra con sesión propia necesita su propio mecanismo. Aquí importa la que queda fuera del flujo.

Tras un compromiso del directorio no se restaura cualquier copia. Una posterior al compromiso trae consigo lo que el atacante dejó; una que nunca se probó puede no restaurar; y una en línea pudo ser alterada por quien tenía acceso al directorio.

La política pide la copia verificada, fuera de línea, más reciente que sea anterior al inicio del compromiso. Hay que cruzar la fecha de inicio con las tres condiciones de cada copia.

Un informe a la dirección se sostiene por sus cifras. Cada afirmación debe poder comprobarse contra los datos del caso; una cifra citada de memoria, o redondeada hacia lo tranquilizador, hace dudar de todo lo demás, también de lo que sí es cierto.

El borrador cita cuatro afirmaciones. Tres coinciden con los datos; hay que contar de nuevo cada una desde las tablas del caso y no fiarse de que el texto suene razonable.