Organizaciones, roles y permisos

En MISP cada cuenta pertenece a una organización, y casi todo se decide por organización: quién es dueño de un evento, quién puede editarlo, a quién llega un dato. Una organización es local cuando sus usuarios entran a esta instancia, y externa cuando existe aquí porque sus datos llegan por sincronización desde otra.

Encima de la organización están los roles. MISP trae seis por defecto: admin, Org Admin, User, Publisher, Sync user y Read Only, y cada instancia puede ajustar sus permisos. Dos se confunden a menudo: el administrador del sitio (admin) tiene acceso sin restricción a todos los datos y a toda la configuración de la instancia; el administrador de organización (Org Admin) administra solo las cuentas de su propia organización.

El rol admin debería estar en muy pocas manos, y todas de la organización que opera la instancia: quien lo tiene ve los datos de todas las organizaciones, puede editar y publicar eventos ajenos y cambiar con quién se sincroniza. Que un proveedor necesite dar soporte no es razón para darle el sitio entero; lo prudente es una cuenta de su propia organización con el permiso justo y, si de verdad hace falta más, por un tiempo acotado.

Abre la consola y ejecuta SELECT * FROM usuarios. Cruza la columna del rol con la de la organización: el CSIRT es quien opera la instancia.

Publicar no es guardar: es lo que dispara los avisos por correo y la sincronización con otras instancias. Por eso el número de cuentas que pueden publicar es una de las primeras cifras que se revisan. Para contarlas hay que cruzar dos tablas: qué roles tienen el permiso de publicar, en roles, y cuántas cuentas tienen cada uno de esos roles, en usuarios.

Ejecuta SELECT * FROM roles y luego vuelve a usuarios.

Una cuenta de servicio hace siempre lo mismo, y su rol debe permitir exactamente eso. Si una integración solo descarga indicadores para cargarlos en el SIEM, cualquier permiso de escritura que tenga es superficie de más: su clave de la API vive en un servidor ajeno a la plataforma, y quien la obtenga podría publicar en nombre de la clínica.

En usuarios, lee la fila de la cuenta de integración de la Clínica Riofrío y su uso declarado.

Una instancia remota se conecta con una cuenta de rol Sync user creada en esta instancia para la organización remota; su clave de la API la guarda el administrador de la otra instancia. Esa cuenta habla de máquina a máquina: no tiene por qué iniciar sesión en la interfaz web. Si lo hace, alguien está usando a mano una cuenta que puede publicar y sincronizar, y eso se pregunta de inmediato a la otra instancia.

Vuelve a usuarios y lee la columna de inicios en la web junto con el rol.