Secretos, llaves y huellas de un acceso ajeno

Un inicio de sesión se compara con el patrón conocido: desde qué direcciones trabaja la empresa y a qué horas. Lo que no encaja con ninguno de los dos no se descarta por ser un solo evento: se anota con su hora, su origen y lo que vino después.

Después de entrar, el registro dice qué pidió esa identidad. Una lectura de secretos es de las que más pesan: un secreto de base de datos leído desde fuera obliga a tratar la base como expuesta, aunque no se vea ningún dato salir.

El servicio de detección dio una gravedad media al hallazgo de acceso a credenciales. La gravedad es la de un catálogo; lo que decide es el contexto: la persona se fue en marzo, la dirección no está entre las que la empresa reconoce y la clave no se rotaba. La recomendación debe cortar el acceso sin destruir lo que luego hará falta para entender qué pasó.

Una clave de cifrado es tan segura como su política. Si el principal de una sentencia que permite descifrar es un comodín y no lleva ninguna condición, cualquier identidad de AWS con ese permiso puede descifrar lo que protege, y el cifrado deja de ser una barrera.

Un secreto sin fecha de expiración se queda para siempre: quien lo copia una vez lo tiene mientras nadie lo cambie. Revisa los secretos de los dos almacenes de Azure y cuenta los que no tienen fecha.