Ciberseguridad centrada en la identidad

Lunes, 7:43 de la mañana

David trabaja en finanzas en una fintech mediana de Centroamérica, con 400 empleados y 200.000 clientes activos. La empresa usa Microsoft Entra ID como proveedor de identidad, los empleados aprueban los inicios de sesión con una notificación push en una app del teléfono y un proveedor regional de seguridad lleva un SOC compartido. A las 7:43 de un lunes, un correo que parece de RR. HH. llega al buzón de treinta empleados con un PDF sobre una “actualización de beneficios”. Tres hacen clic. David es uno de ellos, y escribe sus credenciales en una página idéntica a la pantalla de inicio de sesión de Entra ID.

A las 7:51 el atacante está iniciando sesión como David desde una dirección IP de otro país. Entra ID le pide MFA, así que el atacante manda una notificación push tras otra al teléfono de David. A la quinta seguida, medio dormido y pensando que el sistema está fallando, David pulsa “aprobar”. A las 7:55 el atacante está leyendo el correo de David en busca de algo útil, y encuentra un hilo en el que unos compañeros hablan de las credenciales del sistema de tesorería. A las 9:12 entra en ese sistema con treasury_app, una cuenta de servicio cuya contraseña no ha cambiado en cuatro años.

Nadie se da cuenta hasta el martes por la tarde. Todo lo que pasó está en los registros, pero nadie los estaba mirando. Guarda esta historia; volveremos a ella poniéndole nombre a cada paso.

Los dos artículos anteriores pusieron la base: qué es una identidad digital y los cuatro tipos modernos de identidad, personas, dispositivos, workloads y agentes de IA, y terminaron con la afirmación de que la identidad es hoy el “nuevo perímetro”. Es una afirmación atrevida, y este artículo la respalda desde tres miradas. La primera es un marco organizativo, el NIST Cybersecurity Framework, que muestra dónde encaja IAM dentro de la disciplina. La segunda es un catálogo del comportamiento de los atacantes, MITRE ATT&CK, que enseña a pensar como quien está al otro lado y a ver por qué las credenciales son su objetivo favorito. La tercera son dos informes del sector, el Verizon DBIR y el Mandiant M-Trends, que aportan datos sobre lo que ocurre de verdad. Saber moverse entre las tres es buena parte de lo que separa a quien “sabe de IAM” de quien sabe explicárselo a auditores, reguladores y consejos de dirección.

NIST CSF: el idioma común

El NIST Cybersecurity Framework, o CSF, es probablemente el marco más adoptado para hablar de ciberseguridad en términos de organización. Nació en 2014 a petición del gobierno de Estados Unidos para las infraestructuras críticas y pronto se convirtió en el idioma compartido de empresas, auditores y reguladores en buena parte del mundo. Cuando un CISO pregunta “¿cómo estamos cubriendo Detectar?”, está hablando en CSF.

Se hizo tan popular por una razón práctica: no te dice qué herramienta comprar ni qué proceso seguir. Te da un mapa de las funciones que cualquier programa de seguridad tiene que cubrir y te deja decidir cómo cubrirlas en tu contexto. Te dirá que necesitas cubrir Identificar, no si lo haces con SailPoint, con una hoja de cálculo o con un script tuyo, y por eso le sirve igual a una startup de cinco personas que a un banco global.

Hasta 2023 el CSF tenía cinco funciones: Identificar, Proteger, Detectar, Responder y Recuperar. En febrero de 2024, el NIST publicó la versión 2.0 y añadió una sexta, Gobernar, que se sitúa por encima de las otras cinco. El motivo fue que muchas organizaciones tenían las capacidades técnicas pero no el gobierno necesario para sostenerlas.

Pantalla completa

La flecha discontinua que vuelve de Recuperar a Identificar importa: cada incidente alimenta el siguiente ciclo, y si no aprendes de lo que pasó, lo volverás a vivir. En términos de identidad, cada función tiene una cara concreta. Gobernar es una política como “el MFA es obligatorio para todo acceso a producción”, aprobada por el comité de dirección. Identificar es conocer todas las identidades, humanas y no humanas, y a qué llega cada una. Proteger es MFA, inicio de sesión único, un gestor de contraseñas, mínimo privilegio y separación de funciones. Detectar es alertar de inicios de sesión desde lugares imposibles, de MFA bombing y de escaladas de privilegios inesperadas. Responder es revocar sesiones, desactivar cuentas comprometidas y aislar una identidad. Recuperar es emitir credenciales nuevas, restaurar accesos limpios y escribir un post-mortem que lleve a mejoras reales.

Dónde encaja IAM en el CSF

Esta es la frase que vale la pena recordar: IAM cubre sobre todo las tres primeras funciones, Identificar, Proteger y Detectar, e ITDR, la detección y respuesta a amenazas de identidad, cubre las dos últimas, Responder y Recuperar, cuando la amenaza tiene que ver con la identidad.

Pantalla completa

En la realidad las fronteras se difuminan. Una herramienta de gobierno de identidades puede ayudar a Detectar con analítica, y un proveedor de identidad puede ayudar a Responder revocando sesiones. Pero como mapa mental, esta división es la que más usa el sector.

Identificar responde a “¿qué tengo y qué le puede pasar?”. Para IAM eso significa un inventario de identidades, humanas y no humanas, con sus atributos, sus responsables y su ciclo de vida; un inventario de aplicaciones y de quién llega a qué; un mapa de las cuentas privilegiadas y de dónde viven, y una puntuación de riesgo por identidad que muestre quién está más expuesto. Si tu organización no puede decir en 24 horas cuántos exempleados siguen teniendo acceso a alguna aplicación, Identificar tiene un hueco.

Proteger responde a “¿qué pongo en medio para que el daño no ocurra?”. Autenticación fuerte, con MFA en todas partes, passkeys y cada vez menos contraseñas. Autorización fina, con mínimo privilegio y separación de funciones. Aprovisionamiento automático, para que la gente reciba el acceso correcto al entrar y lo pierda al irse. Gestión del acceso privilegiado, con las cuentas de administración en una bóveda, sesiones grabadas y acceso concedido justo a tiempo. Y formación, con simulacros de phishing incluidos. La mayoría de los programas de IAM gastan aquí la mayor parte de su dinero, porque es donde se ven los resultados: “hemos desplegado MFA en cincuenta aplicaciones”.

Detectar responde a “¿cómo me entero rápido cuando algo va mal?”. Registros de cada autenticación, de cada decisión de autorización y de cada cambio de configuración. Alertas ante patrones raros: un inicio de sesión desde Madrid a las 14:00 y otro desde Tokio a las 14:05, diez notificaciones push en sesenta segundos, cuentas que aparecen de la nada, escaladas de privilegios a las tres de la madrugada. E integración con el SIEM y el SOAR, para cruzar los eventos de identidad con los de red, endpoint y datos. Aquí es donde el IAM clásico, un proveedor de identidad más una herramienta de gobierno, deja de bastar por sí solo. Los registros existen, pero alguien tiene que mirarlos.

Ese alguien es ITDR. Gartner puso nombre a la categoría hacia 2022, y la idea es que la infraestructura de identidad, Active Directory, Entra ID, Okta y similares, se ha convertido en un objetivo de primer orden y necesita su propia capa de detección y respuesta, igual que los endpoints tienen EDR. Una herramienta de ITDR busca exposiciones, como golden tickets de Kerberos falsificados en uso, caminos de Kerberoasting, administradores ocultos y cuentas con permisos inflados. Aplica analítica de comportamiento a la capa de identidad para detectar lo que las reglas fijas no ven. Cuando salta una alerta puede actuar sola, revocando sesiones, desactivando cuentas, obligando a volver a iniciar sesión y avisando al SOC. Y después permite reconstruir qué identidad hizo qué y cuándo. Microsoft Defender for Identity, CrowdStrike Falcon Identity Protection, Silverfort, Semperis y Quest funcionan así: instrumentan la infraestructura de identidad y detectan anomalías que el proveedor de identidad no marca por sí solo (se citan como ejemplo, no como recomendación).

Una forma sencilla de distinguirlos: IAM son los vigilantes que dejan entrar y salir a la gente del edificio, que revisan las acreditaciones, apuntan la hora de llegada y entregan las llaves de cada planta. ITDR son las cámaras y los sensores de movimiento que notan que algo no cuadra: alguien merodeando a las tres de la madrugada donde no debería, alguien probando veinte puertas seguidas, la misma llave usada en dos plantas a la vez. Los vigilantes son imprescindibles, pero no pueden estar en todas partes. Las cámaras son lo que permite ver a escala, y un buen equipo de seguridad necesita las dos cosas. Sin ITDR, el IAM es un edificio lleno de cámaras que nadie mira; las grabaciones existen, pero una persona tendría que revisar millones de eventos al día para encontrar el que importa. Es exactamente lo que le pasó a la fintech de David.

MITRE ATT&CK: pensar como un atacante

Si el CSF es el idioma de quien defiende, MITRE ATT&CK es el de quien ataca. ATT&CK, Adversarial Tactics, Techniques and Common Knowledge, es un catálogo enorme que mantiene la MITRE Corporation desde 2013 y que documenta tácticas, los objetivos que persigue un atacante, y técnicas, los métodos concretos que usa para alcanzarlos.

Importa para IAM porque te deja mirar tu programa desde el otro lado de la mesa. En lugar de preguntar “¿tenemos MFA?”, preguntas “¿cómo se saltaría nuestro MFA un atacante real, según casos documentados?”. Eso lleva tu forma de pensar de una defensa estática a una construida sobre escenarios.

ATT&CK agrupa el comportamiento de los atacantes en 14 tácticas. Visto desde la identidad, el recorrido suele ser este: entrar, mirar alrededor, conseguir más llaves, moverse, esconderse y, al final, llevarse o romper algo. Los incidentes reales nunca son tan ordenados, pero las etapas sirven de mapa.

Pantalla completa

Cada técnica tiene un identificador estándar, un número T, y verás estos códigos sin parar en los informes de inteligencia de amenazas. No hace falta memorizarlos; usa la tabla como un glosario al que volver.

Lee cualquier informe de incidentes y encontrarás T1078, T1098 y T1110 en casi todos. No es casualidad: son la base de los ataques modernos, y si tu programa de IAM no tiene una defensa explícita contra esas tres, esa es tu primera prioridad.

En el sector circula una frase: “los atacantes ya no hackean, inician sesión”. El razonamiento es sencillo. Explotar un fallo técnico, un desbordamiento de búfer o una inyección SQL, exige encontrar el error, escribir el exploit y esperar que la víctima no haya parcheado. Una credencial válida abre la puerta sin que salte ninguna alarma, porque para el sistema quien tiene la credencial correcta es legítimo por definición. Por eso la economía criminal se volcó en las credenciales. Hay un mercado negro maduro donde los “brókeres de acceso inicial” venden credenciales que funcionan para empresas concretas, desde diez dólares hasta varios miles según el objetivo, y los grupos de ransomware cada vez se saltan más la búsqueda de vulnerabilidades y compran el acceso ya hecho.

Vuelve al lunes de David con estos nombres en la mano. El correo falso de RR. HH. fue T1566, Phishing. Iniciar sesión como David y mandar notificaciones hasta que cedió fue T1078, Valid Accounts, con la ayuda del MFA bombing, que es más presión psicológica que tecnología. Leer su correo en busca de hilos útiles fue el reconocimiento, la parada de “mirar alrededor”. Y entrar en el sistema de tesorería con una cuenta de servicio que nadie había tocado en cuatro años fue T1078 otra vez, ahora a través de una identidad no humana mal gestionada. Con ITDR vigilando Entra ID, habrían saltado alertas al menos en cuatro puntos: el inicio de sesión desde otro país, la ráfaga de notificaciones push, el comportamiento raro de David leyendo un buzón entero en una hora y una cuenta de servicio usada fuera de su patrón normal. La diferencia entre “lo detectamos en cinco minutos” y “lo detectamos cuando los datos ya se habían ido” es si alguien estaba mirando con la lente adecuada.

Los informes detrás de la conversación

Para que las conversaciones sobre IAM se apoyen en datos y no en opiniones, hay dos informes anuales que conviene leer cada año, al menos sus resúmenes ejecutivos.

El Verizon DBIR, el Data Breach Investigations Report, sale cada primavera desde 2008 y es el estudio más amplio que existe sobre brechas de datos. La edición de 2024 analizó más de 30.000 incidentes y casi 11.000 brechas confirmadas aportadas por 94 organizaciones de todo el mundo, incluidos CSIRT nacionales y proveedores de seguridad. Sus conclusiones recientes son constantes. El factor humano está presente en el 68 % de las brechas, no siempre con mala intención; puede ser una mala configuración, un correo de phishing que funcionó o un simple descuido. Las credenciales robadas son la vía de entrada más común a las aplicaciones web, siguiendo una cadena conocida: phishing, credencial robada, acceso a una aplicación SaaS, datos fuera. El ransomware no desaparece nunca, pero cada vez va más unido a la extorsión, cifrar los datos y además amenazar con publicarlos. Y el tiempo que se tarda en detectar una intrusión se sigue midiendo en semanas, no en minutos, lo que da al atacante mucho margen. Si solo lees una parte cada año, lee el resumen ejecutivo y el capítulo de ataques a aplicaciones web, donde está casi todo lo relacionado con identidad. Es gratuito y apenas pide nada para descargarlo.

El M-Trends de Mandiant lo complementa. Si el DBIR es amplio y estadístico, M-Trends viene de la investigación forense: Mandiant, parte de Google Cloud desde 2022, investiga incidentes en grandes empresas y cada año publica las tendencias que ve en sus casos. Varias tienen que ver con la identidad. El tiempo de permanencia, los días que un atacante pasa dentro antes de que lo encuentren, bajó a unos diez días en sus mejores años y desde entonces ha vuelto a subir, sobre todo cuando la entrada fue una credencial válida, porque es más difícil de notar. El abuso de cuentas válidas, T1078, aparece en algún momento en la mayoría de los casos que investiga. Los ataques a la propia infraestructura de identidad, proveedores de identidad, directorios federados y flujos de inicio de sesión único, son una categoría propia, donde entran el Golden SAML de SolarWinds y la brecha de Okta. Y las formas de saltarse el MFA no dejan de crecer, con la fatiga de notificaciones como la de David, kits de phishing con intermediario como Evilginx y tokens de sesión robados.

El DBIR te da amplitud, la foto completa; M-Trends te da profundidad, lo que encuentran las investigaciones reales. Una buena costumbre es buscar en el M-Trends del año siguiente una brecha grande que hayas leído en las noticias, donde verás el patrón desmenuzado. Y cuando un CISO tiene que justificar el gasto en MFA, poner delante del comité el “68 % de las brechas implican un factor humano” del DBIR suele convencer más que cualquier diapositiva.

Okta, a través de las tres miradas

En enero de 2022, el grupo Lapsus$ comprometió a una empresa que daba soporte técnico subcontratado a Okta. Desde la cuenta de un ingeniero de soporte, los atacantes llegaron a una consola interna de administración que podía llegar a ver los tenants de los clientes. Una respuesta rápida limitó el alcance final, pero el incidente sacudió al sector, porque demostró que la propia infraestructura de identidad puede ser el objetivo.

Con la mirada de ATT&CK, los atacantes dieron cinco pasos que ya reconocerás: le hicieron phishing al ingeniero (T1566), se quedaron con su credencial (T1078), la usaron para llegar a la consola interna (T1078.004, cuentas válidas en la nube), cambiaron el flujo de inicio de sesión para restablecer el MFA de una víctima (T1556) y manipularon cuentas para ampliar su alcance a los tenants de clientes (T1098). Una organización con alertas explícitas para T1078.004 y T1556 habría tenido la oportunidad de pillarlo antes.

Con la mirada del CSF, cada función tuvo un punto débil. En Identificar, el riesgo de subcontratar el acceso administrativo no estaba mapeado; un modelo de amenazas que incluyera a los proveedores habría ayudado. En Proteger, el acceso administrativo no tenía MFA resistente al phishing, y passkeys o llaves físicas para los administradores habrían marcado la diferencia. En Detectar, el abuso de la cuenta de soporte tardó demasiado en verse, algo que ITDR vigilando la consola podría haber acortado. En Responder, los clientes sintieron que se les avisó tarde, el tipo de cosa que evita un plan de comunicación ensayado. Y en Recuperar, hubo que revisar cada tenant potencialmente afectado, seguido de un post-mortem público y de cambios estructurales.

Con la mirada de los informes, el patrón “entrar a través de un proveedor, abusar de una cuenta válida, ampliar el acceso” aparece en los M-Trends de 2022 y 2023 como uno de los más frecuentes en incidentes de alto impacto, y el DBIR de 2023 dedicó una sección a las conexiones de la cadena de suministro por casos como este. La lección es estructural: la seguridad de tu identidad no termina en tus empleados. Termina donde termina la cadena de organizaciones con acceso administrativo a tu infraestructura.

Resumen

Hay tres miradas que conviene llevar a cualquier conversación sobre seguridad centrada en la identidad. El NIST CSF te da el idioma de la organización: IAM cubre sobre todo Identificar, Proteger y Detectar, e ITDR cubre Responder y Recuperar cuando la amenaza tiene que ver con la identidad. MITRE ATT&CK te da el idioma del atacante, y T1078, T1110, T1098 y T1556 son las técnicas que más conviene conocer porque aparecen en casi todos los incidentes de identidad modernos, el de David incluido. Y el DBIR y el M-Trends te dan los datos: un factor humano en el 68 % de las brechas y las credenciales como la vía de entrada más explotada, no porque la tecnología sea débil, sino porque la economía criminal se reorganizó en torno a ellas. Con esas tres miradas puedes traducir trabajo técnico, un despliegue de MFA o un proyecto de gobierno, a impacto en la organización para un CISO, un auditor o un cliente, y eso importa más que cualquier certificación.

Tres preguntas para ponerte a prueba

1. Te piden rediseñar el programa de seguridad de una fintech regional. En menos de un minuto, ¿cómo describirías el papel de IAM en las seis funciones del CSF ante un comité de dirección sin formación técnica?
2. Si solo pudieras desplegar defensas contra tres técnicas de MITRE ATT&CK en los próximos 90 días, ¿cuáles elegirías y por qué? Apóyalo con datos del DBIR si puedes.
3. Tu proveedor de identidad empieza a ver MFA bombing contra varios usuarios privilegiados. ¿Qué función del CSF está fallando, qué técnica de ATT&CK están usando los atacantes y qué capacidad de ITDR ayudaría más a responder?