Priorizar cuentas expuestas

El segundo factor protege el inicio de sesión: pide algo más que la contraseña cuando alguien entra. Una cookie de sesión es la prueba de que ese inicio ya ocurrió. Quien tiene la cookie de una sesión todavía válida no tiene que iniciar nada, así que el MFA de esa cuenta no lo detiene (la ficha T1550.004 de ATT&CK lo dice de «algunos» protocolos de MFA, no de todos). Por eso un registro de robo reciente con cookies de servicios propios es urgente aunque la cuenta tenga MFA y aunque la persona ya haya cambiado su contraseña.

Al revés también: una contraseña vigente en una cuenta con MFA y sin cookies recientes es un riesgo real, pero el segundo factor le da a la empresa algo de margen.

Abre la consola y ejecuta SELECT * FROM expuestas y SELECT * FROM reglas_de_prioridad. Aplica las reglas fila por fila, con la fecha de hoy: primero decide qué cuentas caen en P1 por la condición (a), cuáles por la (b) y cuáles no caen en ninguna. Después ordena las de P1 como dice la última fila de las reglas.

Ojo con la columna de vigencia: una contraseña ya cambiada no saca a una cuenta de P1 si hay cookies recientes.

La mesa de ayuda necesita una cifra para organizar la tarde: cuántas cuentas tienen que empezar en las próximas cuatro horas. Una cookie de hace casi dos meses ya no cuenta para la condición (a), y una cuenta de servicio no admite MFA, así que la condición (b) la alcanza sola si su contraseña es vigente.

La primera fila del expediente es un administrador del directorio, y es la que más miedo da. Pero su material es una lista combinada de 2019, la contraseña ya no es la actual y no hay cookies. Una cuenta poderosa con un dato muerto no es una urgencia: es un recordatorio. Ponerla primera le quita la tarde a cuentas que alguien puede estar usando ahora.

La fila de yamaya viene de una lista combinada de enero de 2023 y, aun así, identidad confirmó que la contraseña es la actual. La fecha del material no decidió nada: lo que decidió es que la persona no la ha cambiado en casi cuatro años y que su cuenta no tiene MFA.