Cuentas y credenciales que sobreviven

Un programa que se ejecuta solo se puede ver en un proceso, y se puede borrar. Una cuenta no hace ruido: está en una lista y espera a que alguien la use. Mientras exista, quien la conozca puede volver, esté o no el programa. Por eso se considera persistencia aunque no ejecute nada, y por eso se busca con la misma disciplina: cada cuenta del sistema se compara con el inventario de quien la autorizó.

La pregunta de siempre sigue siendo la misma: ¿quién responde por esta cuenta? Si nadie responde, es un hallazgo.

Compara windows-cuentas.txt con inventario-cuentas.txt. La cuenta que no está en el inventario, que se creó hace horas y que ya es administradora, junta las tres señales a la vez. Un nombre que imita a un servicio de base de datos es justo lo que se esperaría: el nombre es elección de quien la crea.

Los eventos de eventos-cuentas.txt dicen además con qué cuenta se hizo y a qué hora; esos son los datos que se copian al hallazgo.

En Linux, quien tiene el identificador de usuario 0 tiene todos los privilegios, sea cual sea su nombre. Normalmente solo lo tiene root. Una segunda cuenta con ese identificador es una forma de dejar otro root con otro nombre, que no aparece en la lista de administradores y que un revisor apresurado confunde con una cuenta de sistema. En el extracto de /etc/passwd el identificador es el tercer campo.

Los eventos permiten medir lo que tardó el paso de «cuenta nueva» a «cuenta con todos los privilegios». Ese intervalo cuenta una historia: si pasan segundos, alguien lo hizo de corrido; si pasan días, alguien esperó. Se calcula con las horas de los eventos de creación de la cuenta y de alta en el grupo de administradores.

Remediar una cuenta no es borrarla. Si se borra primero, se pierde lo que dice quién la creó, cuándo se usó y desde dónde; y si la usó un tercero, el cliente necesita esa evidencia. El orden razonable que recomienda el evaluador es: conservar la evidencia, deshabilitar la cuenta (sin borrarla), cambiar las credenciales de la cuenta que la creó, revisar qué hizo con ella y, solo después, eliminarla con la aprobación del cliente.