Agentes, extensiones y su superficie

Un agente es un programa permanente, con acceso al sistema operativo y una conexión saliente hacia un servicio. Para que cumpla su función necesita privilegios altos; para que sea seguro necesita que lo haya publicado alguien confiable, que esté actualizado y que no pueda hacer más de lo que se espera de él. Si falla alguna de las tres, el agente deja de ser parte de la defensa y se convierte en el camino más cómodo para quien entre a esa máquina.

Por eso una política de agentes fija publicadores permitidos, versiones mínimas y revisión previa. Abre politica-de-agentes.txt antes de seguir.

Compara el inventario con la política. Los publicadores permitidos son dos; cualquier otro agente instalado sin revisión es un hallazgo, sea cual sea su propósito. Fíjate en el campo publicador y en los privilegios con los que se ejecuta.

El agente de la tarea anterior vive en una instancia con un rol propio. Un rol de instancia da permisos a todo lo que corra en esa máquina, así que lo que el rol permita lo puede usar cualquiera que controle un proceso en ella. Los permisos con comodines en la acción y en el recurso son el patrón típico que se revisa: «todas las acciones del servicio de almacenamiento sobre todos los recursos».

Abre roles-de-instancia.json y lee los permisos de cada rol.

La política fija la versión mínima del agente de seguridad. Un agente desactualizado puede no reconocer detecciones nuevas o arrastrar una vulnerabilidad propia. Cuenta cuántas instancias tienen ese agente en una versión anterior a la mínima. Cada instancia cuenta una vez, aunque tuviera más de un agente.

En Azure, una extensión de máquina virtual es un componente que la plataforma instala y ejecuta dentro de la máquina; algunas ejecutan un script descargado de una dirección. Que la dirección sea de un tercero significa que el contenido del script puede cambiar sin que la empresa lo sepa. Abre extensiones-azure.csv y observa la columna del origen del script.