Rutas de ataque y escalada de privilegios

La idea de ruta

Bloques de construcción comunes

• Exposición de credenciales: contraseñas y tokens en archivos, scripts, memoria, historial del shell y configuración, reutilizados entre sistemas.
• Exceso de privilegios: cuentas y roles con mucho más permiso del que su tarea necesita, incluidos administradores que inician sesión en estaciones de trabajo comunes.
• Relaciones de confianza: un sistema en el que confían muchos otros (un servidor de build, un host de administración) se convierte en un pivote hacia todos ellos.
• Cuentas de servicio débiles: de larga duración, altamente privilegiadas, con contraseñas que nunca se rotan.
• Delegación o permisos mal configurados: en Active Directory, en el RBAC de Kubernetes y en el IAM de la nube, donde el derecho de pasar o asumir un rol puede ser el derecho de convertirse en él.
• Fallas locales sin parchear: un punto de apoyo de bajo privilegio que se convierte en administrador mediante una vulnerabilidad conocida.

Ejemplo: un permiso de nube que es más de lo que parece

{
  "Version": "2012-10-17",
  "Statement": [
    { "Effect": "Allow", "Action": ["iam:PassRole", "lambda:CreateFunction", "lambda:InvokeFunction"], "Resource": "*" }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/app-lambda-low-privilege",
      "Condition": { "StringEquals": { "iam:PassedToService": "lambda.amazonaws.com" } }
    },
    { "Effect": "Allow", "Action": ["lambda:CreateFunction", "lambda:InvokeFunction"], "Resource": "arn:aws:lambda:us-east-1:123456789012:function:app-*" }
  ]
}

Defensa contra cadenas

• Mapea las rutas tú mismo: ejecuta una herramienta de rutas de ataque (BloodHound para Active Directory, un analizador de IAM para la nube) y trata las rutas más cortas hacia tus joyas de la corona como correcciones prioritarias.
• Administración por niveles (tiering): las cuentas privilegiadas solo inician sesión en sistemas privilegiados, nunca en estaciones de trabajo ni servidores de un nivel inferior.
• Mínimo privilegio y acceso just-in-time: sin derechos de administrador permanentes, elevaciones cortas con aprobación y registro.
• Protege y rota las credenciales: gestores de secretos, cuentas de servicio administradas o de grupo, ningún secreto en archivos.
• Segmenta la red y reduce la confianza entre sistemas; no dejes que un host alcance todo.
• Detecta los pasos: alerta sobre cambios de privilegio, nuevas asunciones de rol, patrones de autenticación inusuales y acceso a credenciales.
• Valida la detección emulando técnicas de forma segura (por ejemplo, con Atomic Red Team) en un laboratorio o con aprobación.