Leer la salida de un grafo de privilegio

En la salida de una herramienta de grafos de privilegio, cada nodo es un objeto del directorio —un usuario, un grupo, un equipo, una unidad organizativa— y cada arista es una relación entre dos nodos con un verbo concreto: «es miembro de», «puede reescribir la contraseña de», «tiene sesión abierta en», «puede controlar completamente». El grafo entero no es una lista de permisos sueltos: es un mapa de qué nodo puede llegar a qué otro nodo, y por qué camino.

La utilidad real de un grafo de privilegio es calcular el camino más corto entre un nodo de partida (la cuenta comprometida o la que entrega el cliente) y un nodo objetivo (típicamente, el grupo de administradores del dominio o un activo crítico declarado en el alcance). Ese camino casi nunca es el que un analista adivinaría mirando permisos uno por uno: puede atravesar dos o tres saltos de grupos con nombres que no sugieren nada peligroso por separado.

En la exportación de Cuenca Minerales, el camino desde la cuenta de prueba entregada por el cliente hasta el grupo Administradores-SCADA pasa por un único grupo intermedio.

No todas las aristas del grafo representan un camino igual de confiable. Una arista de tipo «GenericAll» (control total sobre el objeto) es un camino casi seguro; una de tipo «WriteOwner» o «ForceChangePassword» depende de pasos adicionales y de que la cuenta objetivo no esté protegida de otra forma (por ejemplo, un grupo marcado como protegido contra herencia de permisos). Leer el grafo con criterio es distinguir el camino que casi siempre funciona del que requiere condiciones que hay que verificar aparte, antes de darlo por válido en el informe.

Una herramienta de grafos suele marcar ciertos nodos como de «alto valor» por defecto —administradores del dominio, controladores de dominio, cuentas con privilegios de confianza entre dominios—, pero esa lista por defecto no sustituye el criterio del evaluador: el cliente puede tener activos críticos que la herramienta no conoce, como el grupo que administra los sistemas SCADA de una minera, que no es «alto valor» para la herramienta pero sí lo es para el negocio. Parte del trabajo de leer el grafo es añadir esos nodos al análisis aunque no vengan marcados.

El camino completo desde el punto de partida hasta el activo crítico es lo que se documenta en el informe, no cada arista por separado. Abre el laboratorio y recorre el grafo entero, desde la cuenta de prueba hasta el grupo que controla los sistemas SCADA, contando cuántos saltos (aristas) tiene la cadena completa.