Llevamos años centrándonos en la seguridad de la identidad en el contexto de las personas: quién tiene acceso, qué pueden hacer y cómo controlarlo. Ese modelo tenía sentido cuando la mayor parte de la actividad en el entorno la realizaban usuarios humanos. Pero ya no es así.
Las identidades de máquina —aplicaciones, servicios, API y cargas de trabajo automatizadas— desempeñan ahora un papel fundamental en el funcionamiento de los sistemas modernos. Se autentican, se comunican y ejecutan tareas, a menudo sin supervisión directa. Y en muchos entornos, ya superan en número a las identidades humanas por un amplio margen.
En este episodio de STRIVE, hablo con Dan Conrad, tecnólogo principal y codirector técnico de campo en Commvault. Analizamos más a fondo lo que significa ese cambio, no solo desde el punto de vista de la seguridad, sino también desde la perspectiva de la gobernanza. Y exploramos por qué tantas organizaciones siguen tratando esto como una cuestión secundaria. Mira el episodio completo.
Puntos clave: ¿Hacia dónde se está desplazando el riesgo?
- Las identidades de las máquinas están creciendo más rápido que las identidades humanas, a menudo en órdenes de magnitud.
- Los modelos de gobernanza no han avanzado al mismo ritmo, lo que ha generado lagunas en materia de acceso y control.
- La visibilidad es el principal reto. Muchos equipos no comprenden del todo cómo se comportan las identidades de las máquinas.
- La proliferación de privilegios va más allá de los usuarios, ya que las identidades de las máquinas suelen tener acceso permanente.
- La resiliencia depende de que comprendamos y gestionemos el ámbito de actuación de estas identidades de máquina antes de que se conviertan en un problema.
El modelo de identidad ha cambiado
Durante mucho tiempo, la gestión de identidades fue relativamente sencilla. Se podían asignar usuarios a roles, definir políticas de acceso y establecer controles en torno a un comportamiento predecible. A pesar de su complejidad, el modelo seguía basándose en la actividad humana. Las identidades de las máquinas han roto ese modelo. Se crean de forma dinámica, a menudo como parte de los procesos de desarrollo o implementación. Interactúan entre sistemas de formas que no siempre son visibles, están bien documentadas o se someten a auditoría. Y, a diferencia de los usuarios humanos, no siguen un ciclo de vida claro: no se incorporan ni se dan de baja de la misma forma estructurada.
Esto plantea un tipo de reto diferente. Ya no se trata solo de controlar el acceso. Se trata de comprender cómo se utiliza ese acceso, cómo evoluciona y cómo se conecta en todo el entorno.
Avance: No se puede suplantar una identidad no humana
En este fragmento del debate de STRIVE, Dan explica que los atacantes no se centran directamente en identidades no humanas mediante el phishing, sino que son actores maliciosos que utilizan cuentas humanas comprometidas —mediante ingeniería social— como trampolín para escalar privilegios y suplantar identidades de máquinas con gran poder. Una vez dentro, técnicas como «pass-the-hash» y las cuentas de servicio con privilegios excesivos permiten a los atacantes moverse lateralmente y verticalmente, incluso después de que se hayan restablecido las contraseñas.
La brecha en la gobernanza
El verdadero problema no es que existan las identidades de las máquinas, sino cómo se gestionan. En la mayoría de las organizaciones, existe un proceso claro para gestionar el acceso de las personas:
- Se aprueban las solicitudes.
- Se revisan los permisos.
- Se realiza un seguimiento de los cambios.
Existe un nivel de disciplina que proviene de años de atención a la identidad de los usuarios. Sin embargo, las identidades de las máquinas suelen quedar al margen de esa estructura. Se crean rápidamente para dar soporte a aplicaciones o a la automatización. Se les conceden los permisos necesarios para funcionar, a veces más de los necesarios. Y, con el tiempo, esos permisos persisten. Estos accesos con permisos excesivos rara vez se auditan, se revisan y, lo que es más importante, rara vez se reducen.
Ahí es donde se abre la brecha. Resulta difícil responder a preguntas básicas sobre el acceso. No porque la información no exista, sino porque no se ha organizado ni gestionado de forma que resulte útil.
La visibilidad antes que el control
Cuando las organizaciones empiezan a abordar este problema, lo primero que se les ocurre suele ser endurecer los controles.
- Limitar los permisos
- Restringir el acceso
- Aplicar nuevas políticas
Pero el control sin visibilidad no sirve de mucho. Si no entiendes cómo se utilizan las identidades, ni el contexto empresarial en el que se enmarcan —es decir, dónde se conectan, con qué interactúan y cómo se mueven entre los sistemas—, cualquier intento de restringirlas se convertirá en una medida reactiva y podría ralentizar las operaciones de la empresa. Por eso la visibilidad tiene que ser lo primero.
Una vez que se puede observar cómo se comportan las identidades de las máquinas, empiezan a surgir patrones. Se puede empezar a comprender dónde el acceso es excesivo, dónde existen dependencias y dónde se concentra el Risk. A partir de ahí, la gobernanza puede volverse más precisa y eficaz.
Un problema de privilegios diferente
La proliferación de privilegios no es nada nuevo. La mayoría de las organizaciones llevan años intentando gestionar el exceso de accesos de los usuarios.
Las identidades de las máquinas plantean un problema similar, pero con una dinámica diferente. Su acceso suele estar integrado en los sistemas. Es persistente, automatizado y, una vez establecido, rara vez se cuestiona. Eso hace que sea más difícil de detectar y más fácil de pasar por alto. Y cuando algo sale mal, esas identidades pueden convertirse en una vía que los atacantes pueden aprovechar
Por dónde empezar
Para la mayoría de las organizaciones, el reto no es la concienciación, sino saber por dónde empezar. El primer paso no es una transformación a gran escala. Se trata de aportar claridad. Comprender cuántas identidades de máquina existen. Dónde se crean. Qué permisos tienen. Cómo se utilizan. Y, lo más importante, confirmar que a cada usuario humano le corresponde un conjunto de identidades no humanas a efectos de auditabilidad y rendición de cuentas.
Esas preguntas parecen sencillas, pero a menudo son difíciles de responder. Y precisamente por eso son importantes. Porque, una vez que seas capaz de responderlas, ya no estarás actuando a ciegas.
Mira el episodio completo
En esta entrega de STRIVE, profundizamos en cómo las identidades de las máquinas están cambiando la forma en que las organizaciones deben plantearse el acceso, la gobernanza y la resiliencia. Es una charla práctica sobre lo que está sucediendo ahora mismo y lo que hay que cambiar de cara al futuro. Ver ahora.
Recursos
Si te interesa saber más sobre este tema, échale un vistazo a este libro electrónico sobre identidades no humanas.
Preguntas frecuentes
P: ¿Qué es una identidad de máquina?
R: Una identidad de máquina es una identidad no humana que utilizan las aplicaciones, los servicios o los sistemas para autenticarse e interactuar con otros recursos.
P: ¿Por qué las identidades de las máquinas suponen un riesgo cada vez mayor?
R: Porque cada vez son más, suelen tener acceso permanente y no siempre se les controla con el mismo rigor que a los usuarios humanos.
P: ¿En qué se diferencian de las identidades de usuario?
R: Funcionan de forma continua, están integradas en flujos de trabajo automatizados y, a menudo, carecen de una gestión estructurada de su ciclo de vida.
P: ¿Cuál es el mayor reto al que se enfrentan las organizaciones a la hora de gestionar las identidades no humanas?
R: La visibilidad. Muchos equipos no tienen una idea clara de cuántas identidades de máquinas se crean, se utilizan o están interconectadas.
P: ¿Cómo afecta esto a la resiliencia?
R: Si se ven comprometidas, las identidades de los equipos pueden facilitar que un atacante se mueva rápidamente por los sistemas, lo que hace que sea más difícil contener los incidentes y recuperarse de ellos.
P: ¿Por dónde deberían empezar las organizaciones?
R: Identificando las identidades de las máquinas, comprendiendo sus permisos y creando prácticas de gobernanza que se adapten a su escala y complejidad. Y lo más importante: asegurándonos de que a cada usuario humano le corresponda un conjunto de identidades no humanas, para garantizar la auditabilidad y la rendición de cuentas.
Vidya Shankaran es directora técnica de operaciones de Commvault.
