Rutas de privilegio en el grafo de permisos

Un grafo de permisos tiene nodos (personas, grupos, roles, cuentas de servicio, recursos) y aristas (relaciones como «es miembro de», «tiene el rol», «puede asumir», «puede suplantar», «administra»). Una ruta de privilegio es una secuencia de aristas que lleva desde una identidad hasta un recurso o un poder que no tiene de forma directa. Cada arista es un salto.

El informe es un mapa de lo que sería posible según los permisos. No prueba que alguien lo haya hecho ni lo hará: dice dónde está el camino. Quien lo lee no lo recorre; decide qué arista conviene cortar para que el camino deje de existir.

ls grafo
cat grafo/leeme-del-grafo.txt

Cuanto más corta es una ruta, más fácil de abusar y de pasar por alto. Una ruta de tres saltos entre una cuenta de servicio de despliegue y un depósito de datos de clientes parece lejana, pero una cuenta que despliega la tienda no debería llegar a los datos de ventas por ningún camino.

Abre la tabla de aristas. Sigue la ruta que empieza en la cuenta de servicio de despliegue de AWS y cuenta cuántas relaciones la separan del depósito de ventas de clientes.

cat grafo/aristas.csv

Las rutas más difíciles de ver son las que pasan por un grupo. La persona no aparece con ningún rol sensible, pero el grupo al que pertenece sí lo tiene, y el rol lo hereda a todos sus miembros. Para encontrarlas hay que seguir la cadena nodo por nodo y no quedarse con el primer salto.

En la tabla hay una persona de soporte de Azure con una cadena de cuatro relaciones que termina en un dato que la empresa declaró restringido. El archivo de lectura dice cuáles son esos datos.

Cuando dos rutas distintas pasan por el mismo nodo, ese nodo es un punto de paso. Cortar una sola arista que sale de él, o quitarle el poder que concentra, cierra las dos rutas a la vez. Es la razón por la que el grafo ahorra trabajo frente a revisar permiso por permiso: señala el cambio que más rinde.

En la parte de Google Cloud de la tabla, dos identidades distintas llegan al mismo conjunto de datos de clientes. Busca el nodo por donde pasan las dos.

El grafo dice lo posible; los registros dicen lo ocurrido. Cruzar una con otro ordena el trabajo: una ruta cuya primera relación se usó la semana pasada pide una conversación inmediata con su dueño; una ruta que nunca se usó pide un cambio planificado. Ninguna de las dos se resuelve probándola.

Abre el archivo de uso de las aristas. Entre las dos identidades que suplantan a la cuenta de servicio de Google Cloud, solo una ejerció la relación en la ventana.

cat grafo/uso-de-las-aristas.csv