Hasta dónde llegaba la llave

La política tiene siete bloques, cada uno con un nombre. Seis tienen que ver con lo que el trabajo hace de verdad: leer y escribir informes, consultar quién es, descifrar, lanzar un despliegue auxiliar. Uno es el que permitió que la llave creara a otra identidad con claves propias. Lee las acciones de cada bloque, no sus nombres.

El cuadro cruza cada servicio con permiso y su último acceso hasta el día anterior al incidente. El trabajo nocturno de conciliación sigue siendo el mismo de hace dos años. Quitar permisos es lo que habría reducido el daño, pero quitar los equivocados rompe el trabajo y se acaba devolviendo el permiso «para que funcione».

El mínimo privilegio se puede contar. Cada fila del cuadro con permiso y sin ningún acceso registrado es un servicio que la identidad podía usar y el trabajo no necesitaba nunca. Es el número que la dirección entiende mejor que cualquier explicación de la política.

El segundo hallazgo del aviso era un secreto de Azure. El registro de inicios de sesión de la entidad de servicio muestra la dirección ajena entrando con él, y el registro de actividad dice qué hizo después. Una de las operaciones devuelve las claves de una cuenta de almacenamiento a quien la ejecuta. Mira a qué cuenta se aplicó.

Una cuenta de almacenamiento de Azure tiene dos claves de acceso y cualquiera de las dos da control total sobre los datos. Que el registro de actividad muestre que se listaron significa que alguien las vio, no que las usó. Pero con las claves en manos ajenas, y sin registro de datos en esa cuenta, la decisión no puede esperar a saber si se usaron.