Señales para decidir, usuario, dispositivo y contexto

La arquitectura de referencia admite que la política use, además de la identidad, el estado observable del equipo y atributos de comportamiento y de entorno. En la práctica se agrupan así: del usuario (cómo se autenticó, a qué grupos pertenece), del dispositivo (si está administrado, si está actualizado) y del contexto (desde dónde, a qué hora, si la dirección figura en una lista de amenazas).

Cada familia viene de un sistema distinto, y por eso un acceso bien decidido depende de que esos sistemas estén conectados al motor. Abre catalogo.txt y mira de dónde sale cada señal.

En el algoritmo por puntaje, la decisión no es un sí o un no por regla, sino una suma: se parte de 100 y se resta según cada señal. La ventaja es que una señal débil no bloquea por sí sola; el riesgo es que varias señales débiles se compensen entre sí y dejen pasar algo que una regla habría frenado.

algoritmo.txt lista las restas y inicios.txt trae los ocho eventos. Calcula el puntaje del evento E-06, con cuidado de las dos señales que le restan.

Con el umbral de la política, un puntaje igual o superior concede el acceso completo. Calcula los ocho puntajes y cuenta los eventos que lo alcanzan; el que queda justo en el valor del umbral también cuenta.

Un puntaje bajo suele venir de una acumulación de señales. Revisa cuál es el evento con el puntaje menor y qué señales sumó: ahí está el patrón que la política quiere frenar, y también el que un equipo de seguridad debería mirar primero.

Mira el evento con la dirección en la lista de amenazas y el país nuevo: tiene el segundo factor más fuerte y un equipo administrado, y aun así su puntaje queda muy por debajo del umbral. En el otro extremo, un evento con país nuevo y segundo factor débil llega justo al umbral.