Acceso administrativo por sesión gestionada

El acceso tradicional abre un puerto (SSH en 22, escritorio remoto en 3389) y lo protege con una llave o una contraseña. Cualquier cosa en internet puede intentarlo, y quien entra deja un rastro que depende de lo que la máquina registre. En una sesión gestionada es la plataforma quien abre el canal: la persona se autentica con su identidad, un permiso decide a qué máquinas puede entrar, y la plataforma guarda quién, cuándo y, si se configura, qué hizo.

La superficie de ataque deja de ser «un puerto que cualquiera puede probar» para ser «una identidad con un permiso que se puede revocar».

Abre reglas-de-red.csv, estado-del-gestor.csv y politica-acceso-administrativo.txt. La política dice que ninguna instancia registrada debe tener un puerto de administración abierto a internet. Observa un caso más grave: una instancia con el puerto abierto a cualquier origen y que, además, ni siquiera está registrada en el gestor.

La instancia anterior arrastra la imagen heredada que viste en la sala de imágenes. El gestor de la flota solo alcanza máquinas que tienen su agente instalado y un rol que le permita hablar con el servicio. Si la imagen nunca lo trajo, la única forma de entrar es abrir un puerto. La causa no está en la regla de red, está en la imagen.

La política exige tres cosas de cada sesión: ticket, grabación y un máximo de 60 minutos. En sesiones-gestionadas.log cada inicio trae el ticket y la marca de grabación. Una sesión sin grabar no es necesariamente una sesión maliciosa, pero es una sesión que no se podrá reconstruir si algo sale mal.

La sesión s-0002 tiene ticket y está grabada, pero en el registro su inicio y su fin están separados por más tiempo del que permite la política. Calcula la duración total en minutos y réstale el límite de la política: lo que sobra es lo que se pasó.