Configuración errónea como exposición

Buena parte de los incidentes en la nube no empiezan con una técnica ingeniosa, sino con una configuración que deja algo abierto: un contenedor de archivos con lectura anónima, una política que excluye a quien no debía, un protocolo viejo que nadie apagó. ATT&CK lo recoge en datos de almacenamiento en la nube (T1530): señala que ese almacenamiento a menudo queda mal protegido, por ejemplo con acceso público sin querer.

Para inteligencia, una configuración errónea es una exposición que los actores ya saben buscar. Por eso se trata como un hallazgo con dueño y plazo, no como una nota de buenas prácticas.

Abre la consola y ejecuta SELECT * FROM contenedores. No todo lo que está abierto es un error: un catálogo de precios que la empresa publica en su sitio web puede estar abierto a propósito. Lo grave es lo que combina acceso anónimo, datos personales y ningún registro de quién lo leyó.

Ejecuta SELECT * FROM acceso_condicional. Una política de acceso condicional dice a quién se le pide qué para entrar: segundo factor, un equipo gestionado, una red conocida. Muchas plataformas permiten dejar una política en modo de solo informe: se evalúa y se registra, pero no bloquea nada. Es útil para probar; olvidada en ese modo, es una política que solo existe en el papel.

La política que exige segundo factor a todos tiene una exclusión: el grupo de excepciones temporales. Ejecuta SELECT * FROM grupo_excepciones y SELECT * FROM roles_privilegiados. Cruza las dos listas: una exclusión pensada para casos puntuales se vuelve un hueco cuando entra en ella una cuenta con poder sobre el inquilino.

El equipo de nube puede corregir hoy una sola cosa antes de la ventana de cambios del fin de semana. Las tres son reales. Ejecuta SELECT * FROM criterio_de_correccion: la casa fija el orden por lo que ya está expuesto sin autenticación y por lo que se podría ver si alguien lo usa.