Seguridad

Problema En entornos de Azure AD (ahora Entra ID) es habitual que, con el tiempo, el número de App Registrations, Enterprise Applications y Managed Identities crezca sin control. Cada nueva aplicación lleva credenciales, permisos y, a menudo, un propietario que nunca se registra formalmente. Cuando el catálogo supera cientos de objetos, la consola nativa obliga a abrir múltiples blades para responder preguntas básicas: ¿Quién es el propietario? ¿Qué secretos expiran pronto? ¿Cuál es la última fecha de inicio de sesión? ¿Qué aplicaciones tienen permisos de alto riesgo sobre Microsoft Graph? La falta de una vista única dificulta la higiene periódica, genera licencias innecesarias de Entra ID Governance y aumenta el riesgo de que credenciales caducadas o permisos excesivos permanezcan sin supervisión. ...

Problema Los entornos de Active Directory (AD) son objetivo frecuente de ataques de movimiento lateral y recolección de credenciales. Los equipos de detección suelen depender de firmas estáticas (Event IDs) y, cuando el atacante usa técnicas conocidas, la señal llega tarde o se pierde entre ruido. La necesidad es disponer de “trampas” dentro del propio dominio que generen eventos claros y de alto valor sin requerir mantenimiento constante. En la práctica, muchos laboratorios de detección carecen de honeypots que cubran los vectores más explotados: Kerberoasting, AS‑REP Roasting, acceso a SYSVOL y extracción de LSASS. Sin esas trampas, los analistas pueden pasar horas revisando logs sin encontrar la pista que indique que un atacante está probando credenciales falsas. ...

Problema En entornos donde Azure actúa como hub de integración (por ejemplo, conectando Salesforce o ServiceNow), los equipos suelen mezclar dos patrones de OAuth 2.0 sin entender sus implicaciones. El resultado típico es: Un backend que usa Authorization Code para llamadas entre servicios, generando refresh tokens que expiran y no se actualizan correctamente. Un servicio que usa Client Credentials pero intenta reutilizar un token de usuario, provocando errores de autorización. La validación del JWT se hace sin revisar la firma ni los claims críticos, lo que abre la puerta a accesos no deseados. El síntoma más frecuente es que la integración funciona en pruebas, pero falla silenciosamente después de unos días o semanas, con errores como 401 Unauthorized o invalid_grant sin una pista clara del origen. ...

Problema En entornos macOS donde se usan herramientas de JavaScript (npm, node) es posible observar la aparición de procesos node -e que ejecutan código ofuscado cada vez que se lanza cualquier script de npm. El proceso escribe un archivo temporal bajo /Library/Preferences/Logging/, lo elimina inmediatamente y mantiene el código en memoria mediante un descriptor de archivo colgante. La carga realiza conexiones salientes a direcciones IP sospechosas y persiste después de reinstalar node o limpiar los módulos del proyecto. Dado que el artefacto nunca queda en disco de forma permanente, los escáneres tradicionales basados en firmas (por ejemplo, Malwarebytes) no lo detectan y las herramientas de diagnóstico como dtrace o gcore son bloqueadas por System Integrity Protection (SIP). El síntoma típico es la aparición de un proceso node -e con una cadena de rotación y decodificación atob() cada vez que se ejecuta npm run …. ...

Problema En entornos con cientos de usuarios y varios roles críticos, la combinación de Azure Privileged Identity Management (PIM) y Conditional Access (CA) debería garantizar que cada elevación requiera una autenticación fuerte. En la práctica, muchos equipos observan que, al activar un rol privilegiado, la sesión existente se reutiliza y la política de MFA no se dispara. El resultado es que un usuario puede activar dos o más roles sin volver a aprobar MFA, lo que debilita la premisa de “least‑privilege” y expone a la organización a ataques de phishing o de sesión comprometida. ...

Problema Muchos ingenieros especializados en Azure IAM, Microsoft Entra ID y seguridad en la nube dedican tiempo a construir infraestructuras complejas, pero cuando publican su curriculum, la respuesta de los reclutadores es escasa o nula. El patrón es recurrente: el CV contiene mucha jerga técnica, listas extensas de herramientas y logros cuantificados, pero sigue sin generar entrevistas. El problema no es la falta de experiencia; es la forma en que esa experiencia se comunica y se alinea con los criterios de selección de los equipos de contratación de Azure. ...

Problema En entornos con controladores de dominio Windows Server 2022 o superiores, Microsoft está eliminando RC4 como algoritmo de cifrado para Kerberos. La directiva RC4DefaultDisablementPhase = 2 indica que el controlador ya no debe generar claves de sesión RC4, pero en la práctica se siguen observando eventos 4769 donde el Ticket Encryption Type es AES (0x12) y el Session Encryption Type es RC4 (0x17). Este comportamiento se produce típicamente cuando un equipo (a menudo un appliance o un servidor Linux con Kerberos cliente) solicita un ticket TGT (krbtgt) y, pese a que la cuenta de equipo está configurada para AES‑128/256 únicamente (msDS-SupportedEncryptionTypes = 0x18), el controlador devuelve una clave de sesión RC4. El síntoma más visible son los eventos 4769 con “Session Encryption Type = 0x17” y la imposibilidad de pasar a una fase de pruebas sin RC4 sin que el cliente falle. ...

Problema En entornos híbridos o 100 % cloud, muchos equipos intentan montar Azure Files mediante SMB 3.0 con autenticación Kerberos gestionada por Azure AD Domain Services (Azure AD DS). La configuración funciona cuando se asignan permisos a usuarios individuales, pero los grupos creados exclusivamente en Azure AD (cloud‑only groups) no se reflejan en las listas de control de acceso (ACL) del recurso compartido. El resultado es un acceso denegado aunque la pertenencia al grupo sea correcta. ...

Problema En muchas organizaciones el personal de Recursos Humanos (HR) considera que las credenciales de los usuarios corporativos son un “activo de IT” que pueden y deben centralizarse en un archivo accesible. La petición suele venir acompañada de argumentos como “facilita la recuperación” o “evita tickets repetidos”. En la práctica, esa práctica rompe con los principios básicos de security y privacy, genera un punto único de falla y expone a la empresa a auditorías negativas. El problema se vuelve crítico cuando: ...

Problema Los entornos empresariales reciben, casi a diario, vulnerabilidades catalogadas con CVE que pueden comprometer la disponibilidad, confidencialidad o integridad de los sistemas críticos. Cuando varios CVEs aparecen simultáneamente y algunos ya están en la lista KEV de CISA, el reto no es solo aplicar parches, sino hacerlo de forma coordinada, sin interrumpir servicios y con visibilidad de posibles explotaciones en curso. El patrón recurrente es una combinación de: Explotación activa (p.ej., ataques contra DHCP o GlobalProtect). Impacto amplio (afecta a controladores de dominio, gateways o servidores de aplicaciones). Plazos de cumplimiento (deadlines de CISA, actualizaciones de Patch Tuesday). Cualquier equipo que dependa de Windows, appliances de red o soluciones de gestión de identidades se encontrará bajo presión para cerrar la brecha antes de que el atacante tenga tiempo de moverse. ...