Revocación en 4.2 segundos: anatomía de una contención
Medimos la ruta desde la anomalía hasta la revocación total en cada sistema que un agente podía alcanzar. Aquí es donde se van los segundos, y por qué importan.
La contención es un problema de latencia
El valor de la revocación se mide en segundos, porque el valor de un atacante se mide en segundos. Entre el momento en que decides que un agente está comprometido y el momento en que su acceso desaparece en todas partes, todavía puede actuar. Esa ventana es todo el juego.
Instrumentamos la ruta completa — detectar, decidir, propagar, confirmar — y la redujimos a una mediana de 4.2 segundos para la revocación total en cada sistema descendente para el que el agente tenía una credencial.
Adónde van los segundos
La detección no está dentro de los 4.2 segundos; ese es el problema de tu monitorización y varía. Nuestro reloj comienza en la acción de revocar. La mayor parte del presupuesto es propagación: decirle a cada emisor y puerta de enlace que rechace esta identidad, y confirmar que lo hicieron.
Las credenciales de corta duración ayudan enormemente aquí. Como los tokens ya expiran en minutos, la revocación solo tiene que superar el TTL restante y bloquear la reemisión. No hay una clave de un año que rastrear en sistemas olvidados.
Revoca primero, investiga después
El principio de diseño es que la contención debería ser lo suficientemente barata como para ser tu primer movimiento, no tu último recurso. Si revocar un agente es una operación cuidadosa y multiequipo, la gente duda — y la duda es en lo que cuenta el atacante.
Una acción invalida la identidad, las credenciales y los alcances del agente a la vez, y escribe todo en el registro de auditoría. Contienes ahora y reconstruyes después, en el registro, en lugar de debatir en el momento mientras corre el reloj.
- #revocación
- #respuesta a incidentes
- #contención
More field notes
El problema 80:1: la identidad de máquina es ahora el perímetro
Por cada humano en tu equipo hay aproximadamente ochenta identidades de máquina actuando en su nombre. Casi ninguna tiene un dueño. Esa proporción es todo el problema de seguridad.
Daniel Osei · Ingeniero de seguridad
6 min de lectura