Señales de alerta de usuarios de alto riesgo: lista de comprobación

La mayoría de las brechas no se anuncian con malware. Llegan como un inicio de sesión legítimo desde una cuenta válida que, simplemente, está haciendo algo un poco raro. El trabajo de un SOC o un equipo de IAM moderno no es detectar el evento imposible, sino darse cuenta de cuándo una identidad corriente empieza a comportarse de formas que, en conjunto, ya no parecen las de la persona que hay detrás. Esta es la lista de comprobación de usuarios de alto riesgo: las señales concretas que deberían subir la puntuación de riesgo de una identidad, por qué importa cada una y qué hacer cuando se acumulan.

Para ver cómo se combinan estos factores en una cifra, la calculadora de riesgo de identidades (Pro) de PlayCISO puntúa una identidad a partir de muchas de las señales que siguen.

Por qué una lista de comprobación es mejor que la intuición

El riesgo de una identidad es acumulativo. Casi cualquiera de las señales de abajo tiene, por sí sola, una explicación: una directora financiera viaja, alguien vuelve a registrar la MFA en un teléfono nuevo, se rescata por un motivo real la cuenta inactiva de un contratista. El peligro está en la correlación: un inicio de sesión anómalo y un método de MFA recién añadido y un cambio de privilegios en una cuenta que forma parte de la cadena de aprobación financiera. Una lista estructurada de vigilancia te permite ponderar cada factor, sumarlos y desencadenar una respuesta proporcionada en lugar de ahogar a los analistas en alertas aisladas que, cada una por separado, parecen benignas. Trata el resto de este artículo como entradas para una puntuación, no como un conjunto de alarmas independientes.

La lista de comprobación de usuarios de alto riesgo

Agrúpalas en tres bloques: dónde y cómo se produjo el inicio de sesión, qué cambió en la identidad y quién es la identidad. Los tres alimentan la misma puntuación.

Anomalías de inicio de sesión y de sesión (dónde y cómo)

• Viaje imposible / geolocalización atípica. Dos autenticaciones desde ubicaciones que ninguna velocidad de viaje plausible puede conciliar, o un inicio de sesión desde una región desde la que el usuario nunca ha trabajado. Por qué importa: es uno de los indicadores más limpios de que dos partes están usando las credenciales a la vez. Qué hacer: trata un acierto real como un problema de sesión activa, no histórico; exige de inmediato una autenticación reforzada en la sesión más reciente y prepárate para revocarla.
• Inicio de sesión desde un país, ASN, VPN o nodo de salida de Tor de alto riesgo. Autenticación desde una red de anonimización, un ASN de hosting/VPS desde el que no inicia sesión ningún empleado real, o un país fuera de tu ámbito de operaciones. Por qué importa: los atacantes pasan habitualmente por VPN comerciales y ASN de nube para camuflarse o burlar una geovalla ingenua, y Tor casi nunca es un patrón legítimo de acceso corporativo. Qué hacer: sube mucho la puntuación del tráfico desde ASN de hosting y anonimizadores; plantéate bloquear del todo Tor para los roles privilegiados.
• Inicios de sesión fallidos repetidos, password spray o fatiga de MFA. Una ráfaga de fallos contra una cuenta, una dispersión lenta y discreta entre muchas cuentas (spray) o un flujo de solicitudes push que el usuario no pidió (fatiga/bombardeo). Por qué importa: el spray evita el bloqueo manteniéndose por debajo del límite por cuenta, y la fatiga de MFA desgasta al usuario hasta que pulsa aprobar. Qué hacer: correlaciona los fallos en todo el tenant, no por usuario; si se aprueba una solicitud después de una ráfaga de fatiga, trata esa sesión como comprometida hasta que se demuestre lo contrario.
• Uso de protocolos de autenticación heredados o básicos. Acceso por IMAP, POP, SMTP AUTH u otros endpoints heredados que no pueden aplicar MFA. Por qué importa: los atacantes eligen estas vías a propósito porque se saltan el acceso condicional y la autenticación reforzada moderna. Una cuenta privilegiada que se autentica con autenticación básica es un regalo. Qué hacer: desactiva por completo la autenticación heredada donde puedas; donde no puedas, puntúa cualquier inicio de sesión por protocolo heredado como de alto riesgo por sí solo.
• Horario o volumen de trabajo inusuales. Actividad sostenida muy fuera del patrón establecido del usuario: extracciones de datos a las 3 de la mañana, acciones de administración en fin de semana o un pico en el volumen de objetos tocados. Por qué importa: la desviación respecto a la línea base es el núcleo de la detección de amenazas internas y de toma de cuentas; la cuenta está haciendo el trabajo del usuario a una hora en la que el usuario no trabaja. Qué hacer: pondera por rol; la actividad fuera de horario de un administrador de TI o de un rol con muchos datos merece más escrutinio que la de un equipo de ventas global.

Cambios en la identidad y en las credenciales (qué cambió)

• Método de MFA cambiado hace poco, sobre todo desde una ubicación nueva. Un autenticador nuevo registrado, un número de teléfono cambiado o un método de respaldo añadido, sobre todo cuando el cambio procede de un dispositivo o una geografía desconocidos. Por qué importa: registrar una MFA controlada por el atacante es la forma habitual de hacer duradera una toma de cuenta y dejar fuera al usuario real. Qué hacer: trata un cambio de MFA más una ubicación anómala como un incidente casi seguro; exige una nueva verificación por un canal de confianza distinto antes de aceptarlo.
• Registro de un dispositivo nuevo desde un lugar inusual. Un dispositivo no reconocido vinculado a la cuenta, sobre todo junto a una ubicación atípica o un alta reciente de MFA. Por qué importa: un dispositivo recién marcado como de confianza puede convertirse en la plataforma que satisface en silencio las futuras comprobaciones de acceso condicional. Qué hacer: exige un paso de verificación adicional para los dispositivos vistos por primera vez y muestra los eventos de dispositivo nuevo al propio usuario.
• Coincidencia con credenciales filtradas. La contraseña de la cuenta (o una variante cercana) aparece en un corpus de brechas o en un volcado público. Por qué importa: el credential stuffing es barato y eficaz; una credencial filtrada conocida significa que lo único que se interpone entre el atacante y la cuenta puede ser un segundo factor del que no estás seguro que siga intacto. Qué hacer: fuerza un restablecimiento cuando haya coincidencia y vuelve a comprobar a la vez la integridad de la MFA; una credencial filtrada rara vez viaja sola.
• Concesiones OAuth de terceros arriesgadas. El usuario dio su consentimiento a una aplicación que pide alcances amplios (lectura/escritura del buzón, acceso sin conexión, lectura del directorio), a menudo a través de un señuelo convincente de phishing de consentimiento. Por qué importa: un token OAuth sobrevive a un restablecimiento de contraseña y puede exfiltrar correo o datos en silencio mucho después de que creas que has contenido la cuenta. Qué hacer: inventaría las concesiones, revoca de forma explícita los tokens sospechosos (restablecer la contraseña no basta) y alerta sobre las aplicaciones de alcance amplio recién autorizadas.

Estado de la cuenta y radio de impacto (quién es la identidad)

• Escalada de privilegios, un nuevo rol de administrador o cambios de grupo. La cuenta acaba de añadirse a un rol privilegiado, a un grupo de seguridad o a una aplicación con capacidades de administración. Por qué importa: esto aumenta lo que puede alcanzar un compromiso y es en sí mismo una acción clásica posterior al compromiso: los atacantes se conceden persistencia. Qué hacer: alerta sobre la concesión casi en tiempo real, comprueba que corresponde a un ticket de cambio aprobado y mantén elevada la puntuación de la identidad mientras dure el acceso.
• Rol VIP, de finanzas o de administración de TI: gran radio de impacto. Directivos, cualquiera en la cadena de aprobación de pagos o transferencias y las personas que administran la propia identidad. Por qué importa: la misma anomalía cuesta mucho más en estas cuentas. Un administrador comprometido del servicio de asistencia puede restablecer la MFA de todos los demás; un aprobador financiero comprometido permite el fraude directamente. Qué hacer: aplica a estas identidades un multiplicador base permanente para que señales equivalentes siempre puntúen más alto que en un usuario general.
• Cuenta inactiva que se reactiva de repente. Una cuenta sin actividad durante semanas o meses que de pronto inicia sesión y empieza a hacer cosas. Por qué importa: las cuentas inactivas y huérfanas son objetivos privilegiados precisamente porque nadie las vigila, y su reactivación suele ser el primer movimiento de una toma de cuenta. Qué hacer: trata el primer inicio de sesión tras la inactividad como un evento de autenticación reforzada, y deshabilita o elimina las cuentas que sigan inactivas más allá de tu umbral.
• Recién incorporados o a punto de marcharse (riesgo de salida). Las nuevas incorporaciones aún no han establecido una línea base, y las personas que se marchan, sobre todo durante el preaviso, son la ventana de manual para el robo de datos. También es así como empiezan muchos casos de espionaje corporativo: alguien que se va a la competencia se lleva los archivos. Por qué importa: la intención y la oportunidad alcanzan su máximo en los extremos del ciclo de vida laboral. Qué hacer: aumenta el escrutinio de forma automática en ambos extremos; en las salidas conocidas, vigila las descargas masivas, el reenvío externo y la compartición masiva, y restringe el acceso a medida que se acerca la fecha de salida.

Cómo se convierten las señales en una puntuación de riesgo

Ninguna de estas señales es un veredicto por sí sola. El modelo que funciona en la práctica es aditivo, con ponderación y decaimiento. Cada señal aporta puntos según su severidad: un inicio de sesión desde Tor o una coincidencia con credenciales filtradas valen mucho más que un horario de trabajo ligeramente raro. El rol actúa como multiplicador, de modo que una cuenta de finanzas o de administración de TI cruza tu umbral de actuación con señales más débiles que un usuario general. Las señales recientes cuentan más que las antiguas, así que las puntuaciones decaen en lugar de acumularse para siempre. Y el valor está en la correlación: una ubicación anómala, un método de MFA nuevo y un cambio de privilegios juntos deberían puntuar muchísimo más que la suma de los tres tratados por separado, porque describen una narrativa de ataque coherente y no tres coincidencias.

Si quieres ver cómo interactúan estos factores sin construir antes el modelo tú mismo, la calculadora de riesgo de identidades de PlayCISO (Pro) puntúa una identidad a partir de muchas de estas señales — rol, método de autenticación, confianza del dispositivo, cambios recientes de MFA e inicios de sesión de riesgo —, lo que es una forma útil de comprobar dónde deberían situarse tus propios umbrales.

Cómo responder cuando sube la puntuación

Una puntuación de riesgo solo vale lo que valen las acciones que desencadena. Escalona tu respuesta según la puntuación y deja que las opciones de poca fricción se disparen solas, para que los analistas dediquen su tiempo a los casos realmente ambiguos.

• Autenticación reforzada. Lo predeterminado para una puntuación media. Fuerza una nueva autenticación o un nuevo desafío de MFA antes de permitir acciones sensibles: poca fricción para un usuario legítimo y un muro para un atacante que solo tiene la contraseña.
• Revocar sesiones y tokens. Ante una puntuación alta o un indicador confirmado, cierra las sesiones activas y los refresh tokens y fuerza un nuevo inicio de sesión. Revocar una contraseña no es lo mismo que revocar los tokens OAuth: haz ambas cosas.
• Revisar y contener. Abre una investigación: concilia los cambios recientes con los tickets de cambio, busca MFA y concesiones OAuth registradas por el atacante y confirma el estado de los privilegios y los grupos. En los casos de salidas y de amenaza interna, revisa la telemetría de movimiento de datos, no solo la autenticación.

El hilo conductor es la proporcionalidad. No intentas bloquear cada inicio de sesión inusual, sino asegurarte de que, cuando las señales se acumulan en una historia coherente, la respuesta sea rápida y automática, y cuando no, una persona real no pierda una hora por una falsa alarma. Una puntuación bien ajustada es lo que distingue esas dos situaciones.