Modelo cliente-servidor y permisos

Una plataforma de recolección remota como Velociraptor tiene dos partes. El servidor guarda las definiciones de lo que se puede preguntar, reparte las preguntas y recibe las respuestas. El cliente o agente vive en cada equipo: se conecta al servidor, ejecuta lo que le toca y devuelve las filas. Una consola web habla con el servidor para que las personas lancen recolecciones y lean resultados.

La consecuencia práctica es de custodia: lo que se recolecta no se queda en el equipo consultado, llega al servidor. Quien administra el servidor administra la evidencia de todas las cazas, y quien tiene acceso a la consola alcanza, según su rol, a todos los equipos con agente.

La consola asigna roles a cada cuenta: la documentación de la herramienta nombra, entre otros, reader, analyst, investigator, artifact_writer, administrator y api. Los roles son aditivos: una cuenta con dos roles tiene los permisos de ambos. Para una cuenta de programa que solo consulta por la interfaz de programación, la documentación dice que basta el rol api y desaconseja dar administrator a programas externos.

El criterio de revisión no se aprende de memoria de qué hace cada rol: se compara lo concedido con lo que la función de la cuenta necesita. Cualquier permiso por encima de la función es una superficie que alguien puede usar, por error o por robo de la cuenta. En el laboratorio tienes las siete cuentas de la consola con su función.

Un permiso alto que nadie usa es más peligroso que uno que sí se usa, porque nadie nota si alguien más lo usa. La revisión trimestral mira el último acceso de cada cuenta privilegiada y contesta cuánto tiempo lleva dormida. Se cuenta en días corridos hasta la fecha de la revisión.

Entre las cuentas de personas con rol administrator, la que menos se conecta es la que primero se revisa. La cifra no está escrita: se calcula con la fecha de su último acceso y la fecha de hoy.

Encontrar un permiso de más no es el final: hay que quitarlo de forma que la integración que depende de la cuenta siga funcionando, y que quede escrito. Un cambio de permisos en la plataforma de evidencia es un cambio de control y se registra como tal.

Piensa en lo que la cuenta de integración necesita: leer resultados por la interfaz de programación. Todo lo demás sobra, y quitarlo no debe dejar al SIEM sin sus copias ni dejar el cambio sin firma.