Contener sin dejar puertas

Tras la desactivación del registro siguen apareciendo eventos desde la misma dirección ajena, con identidades que no son la llave original. Cada credencial de AWS vive por su cuenta: la que se desactiva deja de firmar peticiones nuevas, pero no arrastra consigo lo que ya se emitió con ella ni lo que se creó con ella. Lee los eventos posteriores y fíjate en quién firma cada uno.

Un evento posterior no lo firma una llave de usuario sino una sesión de rol: una credencial temporal que se obtuvo asumiendo el rol de despliegue. Su identidad lleva el nombre del rol y, detrás de la última barra, el nombre que quien la pidió le puso a la sesión. Ese nombre es lo que te permite hablar de esa sesión concreta y no de todo el rol.

El inventario de las 11:50 lista los usuarios con sus claves. Hay una clave de servicio legítima, la original ya inactiva, y otra clave activa que pertenece a un usuario que se creó esta madrugada. Esa es la que seguirá firmando mientras nadie la toque, y esa es la que tienes que poder nombrar en el informe.

Hay cuatro frentes: la llave, lo que ella creó, las sesiones ya emitidas y la otra nube. Hay un quinto que pasa de largo en muchos incidentes: guardar copia de los registros y del estado antes de limpiar. El orden importa, porque cada paso mal puesto o bien deja una puerta abierta o borra lo que luego se necesita para el informe.

La sesión se pidió con una duración de doce horas y el evento en que se obtuvo trae la hora de caducidad. Las credenciales temporales valen hasta que caducan, y cambiar permisos es lo que las corta antes de tiempo. Para dimensionar la exposición, cuenta cuántos minutos le quedaban de vida a esa sesión cuando desactivaste la llave original.