Durante años, las operaciones de identidad y seguridad solían tratarse como disciplinas independientes, y los equipos de identidad se centraban en una pregunta habitual: «¿Quién debería tener acceso a qué?». El SOC, por su parte, se centraba en otra pregunta: «¿Qué está ocurriendo en nuestro entorno?», y «¿Es esa actividad maliciosa?».
En un mundo dominado por la nube, el SaaS, el acceso remoto, las cuentas privilegiadas, las API y las identidades de máquina, así como las identidades basadas en IA, los atacantes no siempre necesitan «irrumpir» en el sentido tradicional. A veces, basta con que inicien sesión.
En mi opinión, esto cambia el papel de la identidad. Se ha convertido en una fuente esencial de contexto, control y capacidad de respuesta para el SOC moderno.
Un inicio de sesión satisfactorio confirma que una cuenta se ha autenticado. No determina si la persona o el proceso que la utiliza es legítimo, si sus permisos son adecuados o si se debe confiar en la actividad que sigue a continuación.
Los equipos de operaciones de seguridad recopilan datos de telemetría de terminales, redes, plataformas en la nube y aplicaciones. Las plataformas de gestión de información y eventos de seguridad (SIEM) y de detección y respuesta ampliadas (XDR) ayudan a reunir todas esas señales.
Pero un evento sin contexto de identidad solo puede revelar una parte de la historia.
Imaginemos que una cuenta con privilegios inicia sesión con éxito. La autenticación en sí misma puede parecer legítima, pero los equipos de seguridad deben plantearse preguntas más detalladas:
Las respuestas ayudan a los analistas a evaluar tanto la probabilidad de que se haya producido una violación de seguridad como su posible impacto. Un inicio de sesión inusual en una cuenta con acceso limitado presenta un riesgo diferente al de uno en el que intervenga un administrador con acceso a sistemas críticos.
Los equipos de identidades conocen la autenticación, los derechos, los roles, los privilegios y el ciclo de vida del acceso. Los equipos del SOC aportan su experiencia en detección, investigación, correlación y respuesta. La combinación de esos conocimientos hace que ambos equipos sean más eficaces.
El contexto de identidad ayuda a los analistas a relacionar la actividad con los permisos de una cuenta, su comportamiento esperado y su alcance potencial. Les proporciona una base más sólida para decidir qué investigar y con qué urgencia actuar.
Un simple inicio de sesión puede revelar muy poca información. Sin embargo, un inicio de sesión relacionado con una identidad con altos privilegios, seguido de un acceso inusual a datos sensibles y un comportamiento inesperado, constituye un motivo mucho más claro para investigar.
Los analistas deben determinar si esa actividad tiene sentido para la identidad en cuestión. ¿Se han modificado recientemente sus permisos? ¿Está accediendo a sistemas que no entran dentro de sus responsabilidades habituales? ¿Podría la cuenta servir de vía de acceso a otras partes de la organización?
Combinar la información de identidad con la telemetría de terminales, la nube, la red y las aplicaciones ayuda a responder a esas preguntas.
El objetivo debe ser obtener un mejor contexto. Un mayor número de alertas tiene un valor limitado si los analistas siguen sin poder determinar de quién es la cuenta implicada, a qué tiene acceso o por qué es relevante dicha actividad.
Comprender el acceso y la función empresarial de una identidad ayuda al SOC a elegir una respuesta proporcionada ante una sospecha de compromiso.
Dependiendo del entorno y de los controles disponibles, esa respuesta podría incluir la revocación de sesiones activas, la exigencia de autenticación adicional, la retirada de privilegios, la restricción del acceso o la desactivación de una cuenta.
Esas decisiones deben tomarse con cautela. Desactivar la cuenta de un empleado y desactivar una cuenta de servicio que da soporte a una aplicación crítica pueden tener consecuencias operativas muy diferentes.
Los equipos de identidades pueden ayudar al SOC a comprender esas dependencias. Los equipos de operaciones de seguridad pueden explicar el comportamiento observado, las pruebas de la violación y la urgencia de la contención.
Una atribución clara de responsabilidades y unos procedimientos de respuesta consensuados permiten a los equipos actuar con mayor confianza cuando se produce un incidente.
El beneficio es recíproco. La información sobre identidades refuerza las investigaciones de seguridad, mientras que los hallazgos del SOC pueden revelar riesgos de acceso que los procesos de gobernanza por sí solos podrían pasar por alto.
Históricamente, muchos programas de gestión de identidades se han centrado en las políticas y la gobernanza: ¿debería esta persona tener acceso a este sistema?
Las operaciones de seguridad plantean otra cuestión importante: ¿qué están haciendo realmente con ese acceso?
Un derecho de acceso puede estar aprobado y ser técnicamente válido, pero el comportamiento asociado a él justifica una investigación. Una cuenta podría empezar a acceder a aplicaciones desconocidas, recuperar volúmenes inusuales de datos o utilizar privilegios de formas que no se ajustan a su finalidad.
Incorporar estos hallazgos a los procesos de gestión de identidades puede servir de base para revisiones de acceso, cambios en los privilegios y nuevas investigaciones. También ayuda a las organizaciones a evaluar el riesgo de identidad entre revisiones programadas.
Esto es relevante tanto para las identidades humanas como para las de las máquinas y la IA. Es esencial comprender qué está permitido hacer a una identidad. Comprender cómo utiliza esos permisos aporta una nueva perspectiva.
Una colaboración más estrecha requiere algo más que enviar registros de identidad a un SIEM. Los equipos necesitan un entendimiento común sobre la titularidad de las identidades, los derechos de acceso, el comportamiento esperado y el impacto empresarial de las medidas de respuesta.
Un punto de partida práctico es poner a disposición la información sobre autenticación, derechos y privilegios durante las investigaciones del SOC. Los equipos también deben ponerse de acuerdo sobre cómo se gestionarán los casos de sospecha de compromiso de cuentas y cómo los resultados de las investigaciones se tendrán en cuenta a la hora de tomar decisiones sobre el acceso.
Los equipos de identidad ayudan a definir cómo debe ser un acceso adecuado. Los equipos del SOC ayudan a identificar cuándo el comportamiento real pone en tela de juicio esas suposiciones.
Para mí, este es el cambio fundamental: la gestión de identidades indica al SOC lo que una identidad está autorizada a hacer. El SOC muestra a los equipos de gestión de identidades lo que realmente está haciendo.
Juntas, estas perspectivas ayudan a las organizaciones a tomar mejores decisiones sobre el acceso, la investigación y la respuesta.
Ponte en contacto con Integrity360 para saber cómo estrechar la colaboración entre tus equipos de identidad y de operaciones de seguridad.