CIEM
La gestión de derechos sobre infraestructura cloud, o CIEM, es el análisis de quién y qué puede hacer qué dentro de un entorno cloud: resolver los permisos concedidos en permisos efectivos y compararlos con los permisos que de verdad se usan. Es la cara de identidad de la postura de seguridad en cloud, y en la mayoría de los entornos es donde está el riesgo explotable.
El problema que resuelve es que nadie puede leer a ojo un modelo de permisos de cloud. Los derechos llegan de varias capas a la vez, vienen matizados por condiciones y se componen de formas que producen accesos que nadie concedió a propósito: una identidad a la que se le permite modificar una política o asumir un rol tiene de hecho todos los permisos alcanzables desde ahí. Responder a qué puede hacer una identidad exige, por tanto, evaluar el grafo, no leer la política que lleva pegada.
La segunda mitad es el uso. Comparar los permisos efectivos con lo que una identidad ha invocado realmente durante un periodo convierte el mínimo privilegio de instrucción general en una lista concreta de derechos que se pueden retirar con la evidencia delante, que es la única versión de esa conversación que sobrevive al contacto con un equipo de ingeniería.
La mayor parte del valor cae sobre identidades que no son personas. Una credencial de tubería o un rol de carga de trabajo tiene un cometido estrecho y estable, así que la distancia entre lo concedido y lo usado es amplia y se puede cerrar sin riesgo, y eso convierte a la identidad no humana en el primer objetivo natural. Lo que hacemos en un encargo es esa misma enumeración desde el lado del atacante: coger la identidad que hemos obtenido y establecer hasta dónde llega, incluida la asunción de roles. Ese camino suele ser más corto de lo que el cliente espera, y trazarlo forma parte del pentesting cloud donde enumeramos hasta dónde alcanza de verdad una identidad.