Camino de ataque en cloud (Cloud attack path)
En seguridad cloud, un camino de ataque en cloud es la cadena de permisos y de relaciones de identidad que lleva desde la posición de partida de un atacante hasta los datos o el control que persigue, un permiso cada vez. Presentar el resultado de una prueba cloud como esa cadena, en lugar de como una lista de alertas de escáner, es lo que la distingue de una herramienta de postura.
Cómo funciona
En el cloud el acceso se concede a través de la identidad, y las identidades están conectadas entre sí: un rol puede asumir otro rol, una instancia lleva un rol, una cuenta de servicio puede leer un secreto que abre una tercera identidad. Un camino de ataque en cloud es el recorrido por ese grafo desde donde aterriza el atacante hasta lo que busca. Cada arista es un único permiso, muchas veces de aspecto razonable; el peligro está en la composición. Es la misma idea que un camino de ataque en instalaciones propias, aplicada a los permisos del cloud: el valor no está en ningún nodo suelto, sino en la ruta que une un punto de apoyo con pocos privilegios a un resultado con muchos, y esa ruta solo aparece cuando se analiza el grafo entero.
Qué sale mal
El fallo consiste en revisar la seguridad cloud como una lista de hallazgos independientes, que es lo que produce la mayoría de las herramientas. Cada elemento se prioriza por separado, se marca como bajo o medio, y la escalada que atraviesa tres de ellos no se ve nunca, porque ninguna alerta suelta es alta. Desde el asiento del atacante ese es el método completo: encadenar un punto de apoyo modesto con la asunción de un rol, con un secreto legible, con los datos. Una escalada de privilegios en cloud rara vez tiene aspecto de exploit; tiene aspecto de usar permisos que se concedieron a propósito uno a uno. La organización que no ve el camino no puede priorizar, así que arregla ruido y deja la ruta abierta.
Dónde aparece esto en una auditoría
Entregamos el resultado como caminos de ataque, no como una lista plana. Cada camino es la secuencia de identidades y permisos que va del punto de apoyo al objetivo, con el resultado alcanzable demostrado, de modo que el cliente pueda cortar la cadena por su eslabón más barato en lugar de perseguir todos los hallazgos. El análisis de permisos (CIEM) alimenta el grafo, y por él se trazan relaciones transversales como la confianza entre cuentas y las credenciales expuestas por el servicio de metadatos. Así es como presentamos una evaluación cloud en forma de caminos de ataque, que es justo lo que un escaneo de postura no puede hacer.