La plataforma de identidad de un proveedor de tecnología para el comercio minorista generaba registros de autenticación exhaustivos: cada inicio de sesión exitoso se registraba con la marca de tiempo, el usuario, la IP de origen y el método de autenticación. Durante la investigación de un incidente tras una violación de datos de clientes, el equipo forense necesitaba reconstruir el patrón de acceso del atacante. La autenticación exitosa que precedió a la violación estaba en el registro. Lo que el registro no capturó: los sesenta y ocho intentos de autenticación fallidos en la misma cuenta durante las cuatro horas anteriores, que habrían revelado un ataque de relleno de credenciales en curso; la alerta de viaje imposible que debería haberse activado cuando la autenticación exitosa llegó desde Singapur cuarenta minutos después de que una sesión anterior estuviera activa desde Londres; las denegaciones de autorización que recibió el atacante al intentar acceder a recursos restringidos antes de encontrar una ruta insuficientemente restringida; y la persistencia del token de sesión que permitió que la sesión del atacante siguiera siendo válida durante once horas sin volver a autenticarse. El registro de autenticación recogía con exactitud los inicios de sesión exitosos. La historia del riesgo de identidad (el ataque en curso, las anomalías, las fallas de autorización, los problemas de gestión de sesiones) estaba repartida entre sistemas de registro que no estaban configurados, no se conservaban o no se correlacionaron en la investigación.
¿Qué son realmente las brechas en los registros de identidad?
El registro de identidad es la captura exhaustiva de todos los eventos relacionados con la identidad en un entorno: intentos de autenticación (exitosos y fallidos), decisiones de autorización (acceso concedido y denegado), eventos del ciclo de vida de las sesiones (creación, extensión, vencimiento y finalización de sesiones), registros de acciones privilegiadas (lo que hicieron los usuarios privilegiados durante las sesiones privilegiadas) y señales de anomalías (viaje imposible, patrones de acceso inusuales, sesiones simultáneas desde distintas ubicaciones). La brecha surge cuando el registro de identidad se limita a los eventos de autenticación exitosa y no captura el panorama de eventos más amplio que aporta el contexto necesario para la detección de amenazas, la investigación de incidentes y la demostración del cumplimiento.
El registro de autenticaciones fallidas es la brecha con consecuencias más inmediatas. El relleno de credenciales, la pulverización de contraseñas y los ataques de fuerza bruta se caracterizan por un gran número de intentos de autenticación fallidos antes de uno exitoso. Una organización que solo registra las autenticaciones exitosas no puede detectar estos patrones de ataque mientras están en curso: el ataque solo es visible en registros de intentos fallidos que no existen. Cuando aparece una autenticación exitosa en el registro, el ataque lleva horas o días en marcha sin ninguna señal de detección. La ausencia de registros de autenticaciones fallidas no impide la violación; impide detectar el patrón de ataque que la precedió.
El registro de autorizaciones, que recoge los eventos de acceso denegado junto con los de acceso concedido, ofrece una capa de visibilidad distinta pero igualmente importante. Cuando un atacante que se ha autenticado con éxito intenta acceder a recursos para los que no está autorizado, esos eventos de denegación son el mapa de su exploración dentro del entorno. Un atacante que recibe una denegación tras otra en recursos de alto valor antes de encontrar una ruta insuficientemente restringida deja un rastro que el registro de autorizaciones captura. Sin ese registro, la investigación solo ve la ruta que el atacante logró recorrer, no las rutas que intentó y que le fueron bloqueadas, un contexto valioso para comprender el alcance del ataque y reforzar los controles de acceso que se interpusieron en su camino.
- Eventos de autenticación fallida no registrados: los ataques de relleno de credenciales y de fuerza bruta son indetectables
- Eventos de denegación de autorización no capturados: la exploración del límite de acceso por parte del atacante es invisible
- Señales de detección de anomalías de sesión no registradas: los eventos de viaje imposible y de sesiones simultáneas no se capturan
- Eventos del ciclo de vida de las sesiones no registrados: la creación y extensión de sesiones y la persistencia de tokens no se registran
- Conservación insuficiente de los registros: registros de identidad conservados durante períodos más cortos que el tiempo de permanencia de las intrusiones, lo que destruye la evidencia para la investigación
Por qué es importante
Las brechas en los registros de identidad son importantes para TPRM porque los proveedores que acceden a los entornos de los clientes necesitan registros de identidad exhaustivos para detectar los ataques contra sus propios entornos antes de que esos ataques lleguen a los datos de los clientes. Un proveedor que solo registra las autenticaciones exitosas no puede detectar en tiempo real el ataque de relleno de credenciales que avanza por su población de usuarios: el ataque es invisible hasta que tiene éxito, y en ese momento el acceso inicial del atacante a los sistemas del proveedor ofrece una vía hacia los entornos de los clientes.
La consecuencia forense es la dimensión más directamente relevante para las obligaciones regulatorias y contractuales. Cuando se investiga una violación de seguridad en un proveedor, el alcance y las conclusiones de la investigación dependen de manera decisiva de la integridad de los registros. Un proveedor que puede reconstruir la cronología completa del ataque (intentos fallidos, compromiso exitoso, movimiento por el entorno, eventos de acceso a datos) entrega un informe de incidente completo. Un proveedor cuyos registros solo capturaron las autenticaciones exitosas ofrece una imagen incompleta de lo que ocurrió, de los datos a los que se accedió y del tiempo que el atacante estuvo presente. La presentación regulatoria que describe un 'alcance desconocido por registros insuficientes' es una consecuencia directa de las brechas en los registros de identidad.
Dónde se equivocan la mayoría de los equipos
La falla más constante es confirmar un 'registro de autenticación exhaustivo' sin especificar si incluye los intentos fallidos, las decisiones de autorización y las anomalías de sesión. El registro de autenticaciones exitosas es un componente del registro de identidad. Tratarlo como un registro de identidad exhaustivo confirma un solo tipo de evento y deja sin abordar el contexto de investigación que requiere varios tipos de eventos.
- Confirmar el registro de autenticaciones sin especificar el alcance de los eventos
- Se da por supuesto que los eventos de autenticación fallida están incluidos, sin confirmarlo específicamente
- Eventos de autorización no evaluados
- Período de conservación de los registros no confirmado frente a los requisitos de investigación
- Correlación de eventos de identidad en SIEM no evaluada: si los registros se correlacionan para detectar anomalías
Cómo se ve una buena práctica
Los programas maduros de registro de identidad capturan todo el panorama de eventos (autenticaciones fallidas y exitosas, concesiones y denegaciones de autorización, eventos del ciclo de vida de las sesiones, registros de acciones privilegiadas y señales de anomalías), los conservan durante períodos suficientes para investigar violaciones con tiempos de permanencia prolongados y los correlacionan en un SIEM para permitir la detección en tiempo real de patrones de ataque.
- Registro de autenticaciones fallidas: todos los intentos fallidos con la cuenta, la IP de origen, la marca de tiempo y el motivo de la falla
- Registro de eventos de autorización: eventos de acceso concedido y denegado con el recurso, el usuario y el motivo de la decisión
- Registro de anomalías de sesión: viaje imposible, sesiones simultáneas, duración inusual de las sesiones
- Registro de acciones privilegiadas: comandos, consultas y cambios de configuración durante las sesiones privilegiadas
- Conservación de los registros calibrada según el tiempo de permanencia: mínimo de 90+ días, más en entornos de alto riesgo
Herramientas
SIEM con analítica de identidades: Microsoft Sentinel, Splunk, Exabeam
Las plataformas de SIEM con capacidades de analítica de identidades correlacionan todo el panorama de eventos de identidad y unen los registros de intentos fallidos, los eventos de autenticación exitosos, los registros de autorización y las señales de anomalías de sesión en una superficie de detección unificada. El componente UEBA de Microsoft Sentinel correlaciona específicamente los eventos de identidad de todas las fuentes de registro para detectar patrones anómalos que los flujos de registro individuales no revelarían. Para los profesionales de TPRM, preguntar si el SIEM del proveedor correlaciona los eventos de identidad entre intentos fallidos, decisiones de autorización y anomalías de sesión plantea una pregunta específica sobre la capacidad de detección de identidades.
Registros de la plataforma de identidad: registros de auditoría de Microsoft Entra ID, Okta System Log, auditoría de Ping Identity
Las plataformas de identidad modernas generan registros de eventos exhaustivos cuando están configuradas por completo: intentos de autenticación, eventos de MFA, decisiones de autorización, eventos de sesión y acciones administrativas. La configuración del registro determina qué eventos se capturan y se envían a SIEM. Para los profesionales de TPRM, preguntar qué tipos de eventos se capturan en los registros de la plataforma de identidad del proveedor y si todos ellos se envían a su SIEM plantea una pregunta específica sobre la integridad de los registros.
Desafíos de gobernanza
El desafío de gobernanza de la integridad de los registros de identidad es el problema del volumen y el costo. Un registro de identidad exhaustivo genera un volumen de registros considerable: solo los intentos de autenticación fallidos pueden contarse por millones al día en entornos grandes que sufren un ataque activo. Los costos de almacenamiento y procesamiento de registros presionan para limitar el registro a los eventos que se revisan con más frecuencia y no a los más críticos para la investigación. La solución es una conservación escalonada según el riesgo y no una reducción uniforme del alcance: conservar todos los tipos de eventos durante el período mínimo necesario para la detección en tiempo real, conservar los eventos de alto valor (intentos fallidos, acciones privilegiadas, denegaciones de autorización) durante períodos prolongados y asegurar que la evidencia de investigación más importante tenga la conservación más larga.
- Confirme los tipos de eventos específicos incluidos en el alcance: intentos fallidos, decisiones de autorización, anomalías de sesión
- Confirme el período de conservación de los registros frente a los requisitos de investigación según el tiempo de permanencia de las intrusiones
- Evalúe la correlación en SIEM de los tipos de eventos de identidad para la detección de anomalías
- Pregunte por la detección de viajes imposibles y sesiones simultáneas: señales de anomalía específicas
- Incluya la integridad de los registros de identidad en la evaluación de la capacidad de respuesta a incidentes
Si usted forma parte de un equipo pequeño
Haga a sus proveedores de mayor riesgo tres preguntas específicas sobre los registros de identidad que van más allá de la confirmación de la autenticación. Primera: ¿se registran los intentos de autenticación fallidos con la IP de origen y el número de intentos, y ese registro se envía a su SIEM con alertas ante volúmenes altos de intentos? Segunda: ¿se registran los eventos de denegación de autorización y, en concreto, cuando a un usuario se le deniega el acceso a un recurso, se captura ese evento de denegación? Tercera: ¿cuál es el período de conservación de los registros de identidad y podría reconstruir una cronología completa de eventos de identidad para un incidente que comenzó hace seis meses? Esas tres preguntas cubren en una sola conversación la brecha de los intentos fallidos, la brecha de la autorización y la brecha de la conservación.
- Pregunte si los intentos de autenticación fallidos se registran y se correlacionan en SIEM con alertas
- Pregunte si se capturan los eventos de denegación de autorización
- Pregunte si podría reconstruirse con los registros disponibles la cronología de un incidente ocurrido hace seis meses
Qué exigir
Pregunte directamente:
"¿Sus registros de identidad capturan los intentos de autenticación fallidos, los eventos de denegación de autorización y las anomalías de sesión como los viajes imposibles, o su registro de identidad se limita principalmente a los eventos de autenticación exitosos?"
"¿Cuál es el período de conservación de sus registros de eventos de identidad, en concreto de los intentos de autenticación fallidos y los registros de autorización, y podría reconstruir una cronología completa de eventos de identidad para un incidente que comenzó hace seis meses?"
Evidencia que debe esperar
- Documentación del alcance de los eventos de los registros de identidad: tipos de eventos capturados
- Confirmación del registro de autenticaciones fallidas con alertas en SIEM
- Confirmación del registro de eventos de autorización
- Período de conservación de los registros calibrado según los requisitos de investigación
A un proveedor que confirma un 'registro de autenticación exhaustivo' se le debe preguntar específicamente si ese registro incluye los intentos fallidos y las denegaciones de autorización. La autenticación exitosa es el evento que confirma que se concedió el acceso. Los sesenta y ocho intentos fallidos son la evidencia de que el ataque estaba en marcha. Sin ambos, el registro cuenta la mitad de la historia.
Cómo demostrarlo
- Documentación del alcance de los registros de identidad: tipos de eventos y conservación
- Confirmación de alertas de autenticación fallida
- Evidencia de correlación en SIEM de los eventos de identidad
- Documentación del período de conservación de los registros
Conclusión clave
El evento de autenticación exitosa le indica que el atacante entró. Los sesenta y ocho intentos fallidos anteriores le indican que el ataque llevaba horas en curso antes de que nadie pudiera saberlo. El evento de viaje imposible entre Londres y Singapur le indica que las credenciales se estaban usando simultáneamente desde dos ubicaciones. Los eventos de denegación de autorización le indican lo que intentó el atacante antes de encontrar una ruta abierta. El registro de autenticaciones sin el contexto de los eventos que lo rodean es el último capítulo de una historia que comienza varios capítulos antes. Un registro de identidad exhaustivo captura toda la historia: el patrón de ataque, el compromiso de credenciales, las anomalías de sesión y la exploración de los límites de autorización. La investigación que necesita entender lo ocurrido lo requiere todo.