Escenario — el clúster compartido por tres equipos

La política dice que una cuenta de servicio solo lee secretos de su propio namespace. La cuenta del equipo de portal pidió listas de secretos en varios namespaces durante la madrugada. Cuenta las solicitudes que el clúster le negó.

Una de las solicitudes de esa misma cuenta recibió un 200 sobre secretos de un namespace que no es el suyo. Los permisos de la cuenta, por sí solos, no lo explican. Cruza el evento con los enlaces de rol de ese namespace.

El sensor de ejecución produjo cuatro alertas esa noche. La política fija una ventana de mantenimiento en la que los intérpretes de órdenes de las tareas programadas son esperables. Descarta lo que cae dentro y quédate con lo que no, y cruza el pod con la auditoría.

Tienes dos hallazgos: una cuenta de servicio de un equipo leyó secretos de otro por un enlace demasiado ancho, y hubo una ejecución de órdenes en un pod de pagos fuera de la ventana, pedida por una persona con su usuario. Tienes también lo que no hay: el contenido de los secretos, lo que se hizo con ellos y cualquier vínculo entre los dos hallazgos.

La jefatura pregunta qué hacer ahora. Ya viste que la regla de acceso de la mutual se incumplió sin que nada lo bloqueara, que las ejecuciones de órdenes sí quedaron registradas y que el sensor distinguió lo que cae fuera de la ventana.