El portal y la base de datos

Una consulta grande no es sospechosa por ser grande: una cuenta de analítica puede mover cientos de miles de filas cada día. Lo que no encaja es lo que una cuenta hace fuera de lo suyo, y para saberlo se compara cada consulta con la línea base de esa misma cuenta y no con las de las demás.

La base ve a la aplicación, no a la persona: todas las consultas del portal vienen del servidor del portal. Para saber quién pidió los datos hay que ir al registro de acceso de la aplicación y cruzar las horas, recordando que un estado 200 dice que el servidor respondió, no que la petición fuera legítima.

Un privilegio puede llegar de forma directa o por herencia a través de otro rol, y esto último no se ve mirando solo la fila de la cuenta. Para explicar por qué una cuenta pudo leer una tabla entera se sigue la cadena de roles hasta el privilegio que lo concede.

El número de filas devueltas no es el número de registros que salieron: si las consultas pidieron rangos que se solapan, algunas filas son las mismas leídas dos veces. La cota que se informa es la de registros distintos, con el límite honesto de que la auditoría dice lo que se pidió y se devolvió, no lo que se hizo con ello.

El alcance de un privilegio mal concedido no es solo la cuenta que se usó: son todas las que lo tienen. Para rotar credenciales y revisar la auditoría hay que contar a quienes, por herencia o por asignación, pueden leer la misma tabla, y distinguir cuentas de roles.