La visibilidad de identidad constituye un pilar fundamental para la seguridad moderna de identidades, ya que las credenciales robadas o mal utilizadas son uno de los vectores de acceso iniciales más comúnmente reportados en investigaciones de brechas de seguridad, como se detalla en el informe anual de investigaciones sobre brechas de datos de Verizon. Este artículo se adentra en el significado de la visibilidad de identidad dentro de la gestión de identidades y accesos (IAM), así como en las complicaciones que presentan los entornos en la nube y multicloud, las capacidades que son esenciales en las herramientas de visibilidad de identidad y cómo se puede construir un programa práctico y efectivo.
La visibilidad de identidad se refiere a la capacidad de observar cada identidad dentro de un entorno, qué puede acceder y cómo se utiliza ese acceso en tiempo real. Esto implica una combinación de inventario, mapeo de derechos de acceso y telemetría de comportamiento, creando una imagen continua que va más allá de una mera instantánea periódica.
Es crucial diferenciar entre la intención y la ejecución en este contexto. Las plataformas de gestión de identidades y accesos (IAM) definen la intención de las políticas: quién debería tener acceso, bajo qué condiciones y durante cuánto tiempo. Por otro lado, las aplicaciones e infraestructuras revelan la ejecución: qué credenciales han sido autenticadas, qué permisos han sido utilizados y qué rutas han sido recorridas.
El espacio entre estas dos capas es donde se encuentra lo que se denomina "materia oscura de identidad": cuentas de aplicaciones locales, credenciales de servicios incrustadas, flujos de autenticación heredados e integraciones que nunca fueron registradas en un proveedor de identidad central (IdP). Esta superficie oculta transforma la visibilidad en un problema de seguridad en lugar de uno meramente administrativo.
La materia oscura de identidad rara vez es un caso aislado; es un subproducto común de más de una década de adopción de software como servicio (SaaS), migraciones a la nube y automatización. Cuando las organizaciones implementan sistemas a un ritmo más rápido del que sus programas de identidad pueden asimilar, la brecha entre el acceso documentado y el acceso real se amplía.
Los atacantes han sabido adaptarse a esa brecha. En lugar de desplegar malware que las herramientas de seguridad en los endpoints pueden detectar, muchas intrusiones ahora comienzan con credenciales legítimas comprometidas, utilizadas dentro de los permisos que esas credenciales ya poseen. La actividad resultante puede parecerse mucho al comportamiento operativo normal.
Las intrusiones basadas en credenciales, como el phishing, el robo de tokens y el secuestro de sesiones, generan eventos de autenticación que se asemejan al comportamiento normal de los usuarios en los registros del IdP. Además, las identidades de máquina y no humanas, como cuentas de servicio, claves de API y credenciales de carga de trabajo, a menudo superan en número a las cuentas de empleados en entornos con alta carga en la nube y, muchas veces, carecen de fecha de caducidad.
Las cuentas locales de aplicaciones, que se autentican fuera de un sistema de inicio de sesión único (SSO), pueden no aparecer nunca en las revisiones de acceso centralizadas. Asimismo, las cargas de trabajo de inteligencia artificial autónoma actúan con permisos delegados a través de múltiples sistemas, a menudo a un ritmo y volumen que revisiones manuales no pueden igualar.
La mayoría de los informes de IAM describen configuraciones tales como membresías de grupos, asignaciones de roles y catálogos de derechos de acceso. Esta información responde a la pregunta de qué acceso fue concedido, pero no aclara si la aplicación hizo cumplir ese acceso, si la cuenta sigue teniendo un propietario humano o si el permiso ha sido utilizado en el último año.
Las plataformas de gobernanza también tienden a informar sobre las aplicaciones conectadas a ellas, en lugar de verificar la cobertura de manera independiente. Si una aplicación nunca fue integrada, no aparecerá en el informe y esa ausencia puede ser malinterpretada como cumplimiento.
La verificación, y no la suposición, es el principio organizador detrás de la visibilidad de identidad en IAM. Tres conceptos hacen posible esa verificación: inventario preciso, relaciones de acceso mapeadas y análisis contextual continuo.
Un inventario de identidades enumera a los actores. Un mapa de derechos de acceso explica qué puede hacer cada actor. Las relaciones de acceso conectan ambos elementos a través de sistemas, revelando permisos efectivos en lugar de nominales.
El acceso efectivo es a menudo más amplio de lo que se pretendía. Un usuario asignado a un rol modesto en una aplicación puede heredar capacidades administrativas a través de un grupo anidado, una cuenta de servicio compartida o una relación de confianza entre cuentas de nube. El mapeo de relaciones expone esos caminos encadenados, que son precisamente los que los atacantes recorren durante sus movimientos laterales.
El descubrimiento plantea una pregunta más difícil que el inventario: ¿qué existe que nadie ha registrado? El descubrimiento continuo extrae datos de identidad directamente de las aplicaciones y la infraestructura, sacando a la luz cuentas locales, credenciales incrustadas y métodos de autenticación que las plataformas de IAM centralizadas nunca registraron.
El contexto, por su parte, convierte los hallazgos en prioridades. Una cuenta inactiva con acceso de lectura a un sistema de pruebas representa un ruido de baja consecuencia. En cambio, una credencial de automatización que no expira y que tiene acceso de escritura a un entorno de producción, sin un propietario asignado y sin autenticación multifactor (MFA), conlleva un riesgo materialmente más alto.
El contexto fragmenta el momento en que los datos de identidad cruzan las fronteras de los proveedores. La visibilidad de identidad en la nube es complicada no porque las plataformas en la nube carezcan de registros, sino porque cada una modela la identidad de forma diferente y ninguna describe lo que ocurre en las demás.
Cada plataforma expresa los permisos en su propio vocabulario. La visibilidad de identidad en entornos multicloud es la práctica de normalizar esos vocabularios para que una única identidad pueda ser rastreada a través de cada entorno que toca.
En AWS, los roles, las políticas basadas en identidad y recursos, así como la asunción de roles entre cuentas, definen a qué puede acceder un principal. En Azure/Entra ID, los principales de directorio, las asignaciones de roles de Azure RBAC y los permisos de aplicación consentidos (alcances delegados y de aplicación) son fundamentales. En Google Cloud, las cuentas de servicio y las vinculaciones de IAM heredan el alcance a través de la jerarquía de organización, carpeta y proyecto. Por último, en las aplicaciones SaaS, existen niveles de administración propietarios, roles personalizados y cuentas locales que nunca llegan al proveedor de identidad.
Sin una normalización adecuada, los equipos de seguridad revisan cada plataforma de forma independiente y pueden pasar por alto el tejido conectivo: la confianza federada, la asunción entre cuentas y las credenciales compartidas que permiten que una identidad en una nube actúe dentro de otra. Los movimientos laterales en la nube suelen seguir estas relaciones de confianza de IAM en lugar de los caminos de red.
Las identidades de máquina constituyen un subconjunto de identidades no humanas y, en entornos de nube, a menudo representan la mayoría de los principios de acceso. Estas identidades surgen a través de la automatización de la infraestructura —por medio de pipelines, ejecuciones de Terraform y herramientas de orquestación— en lugar de ser generadas por eventos relacionados con la gestión de recursos humanos como la incorporación, el traslado o la salida de empleados. Como resultado, frecuentemente escapan del ciclo de gobernanza diseñado para los trabajadores humanos.
Las identidades de plano de control merecen una atención especial. Dado que son responsables de la configuración de la infraestructura, una credencial de automatización comprometida puede abrir nuevas vías de acceso, alterar la configuración de registros o desactivar los controles destinados a detectar tales intrusiones. Cada identidad no humana debería beneficiarse de los mismos atributos de gobernanza que se aplican a las cuentas humanas: un propietario designado, un propósito específico, un calendario de expiración o rotación, y un monitoreo activo.
El monitoreo de identidades, tanto humanas como de máquina, a gran escala corresponde a las plataformas de visibilidad e inteligencia de identidad (IVIP, por sus siglas en inglés), una categoría que ha emergido porque las herramientas de gobernanza, postura en la nube y detección abordan diferentes aspectos del problema. Los proveedores que se detallan a continuación abordan esta cuestión desde distintos enfoques arquitectónicos.
Es importante señalar que esta lista es meramente ilustrativa y no exhaustiva, y no está ordenada por rendimiento. Los conjuntos de capacidades se superponen y cambian con frecuencia, por lo que es fundamental evaluarlos en función de su propio entorno y requisitos. Cabe destacar que esta información es presentada por Orchid Security, que aparece entre los proveedores mencionados.
Orchid Security: Esta plataforma descubre identidades, derechos y flujos de autenticación directamente desde aplicaciones e infraestructura, en lugar de depender únicamente de los datos de configuración de gestión de identidades (IAM). Convierte esta telemetría en evidencia de cumplimiento lista para auditorías, enfocándose en los puntos ciegos a nivel de aplicación.
Veza: Su enfoque se centra en un gráfico de acceso orientado a la observabilidad que mapea los permisos efectivos en sistemas de datos, plataformas en la nube y SaaS, con énfasis en el análisis de relaciones de derechos.
SailPoint: Esta plataforma de seguridad de identidad centrada en la gobernanza se especializa en la gestión del ciclo de vida, campañas de certificación y aplicación de políticas a gran escala empresarial.
Saviynt: Combina la gestión de gobernanza e identidades en la nube, integrando flujos de trabajo de gobernanza y administración de identidades (IGA) con análisis de gestión de derechos de infraestructura en la nube (CIEM).
Silverfort: Ofrece visibilidad y aplicación de autenticación en tiempo de ejecución, abarcando sistemas heredados y no gestionados que no pueden ser fácilmente integrados en un sistema de inicio de sesión único moderno (SSO).
Semperis: Proporciona protección centrada en la postura para Active Directory y Entra ID, enfatizando la higiene de configuración, análisis de rutas de ataque y recuperación.
CrowdStrike Falcon Identity Protection: Se centra en la detección de amenazas a la identidad y la respuesta (ITDR), estrechamente vinculada a la telemetría de puntos finales y cargas de trabajo.
Independientemente de la arquitectura inicial, la capacidad básica es la misma: un inventario autoritativo que reconcilia identidades a través de proveedores de identidades (IdPs), plataformas en la nube, aplicaciones e infraestructura, para luego mapear el acceso efectivo entre ellos.
Una prueba útil de este inventario es si incluye identidades que nadie ha registrado. Una plataforma que solo lee la configuración de IAM reproducirá los puntos ciegos ya existentes en dicho sistema. La detección a nivel de aplicación distingue un informe de un inventario real.
Contar con un inventario sin análisis solo produce una lista más larga, no un entorno más seguro. La calidad de la detección depende de la línea base del comportamiento: es fundamental conocer cómo se ve el uso normal para una identidad dada antes de juzgar cualquier desviación.
El establecimiento de líneas base comportamentales permite diferenciar la actividad de automatización rutinaria del uso anómalo de privilegios por parte de la misma credencial. El análisis de rutas de ataque evalúa si una mala configuración es explotable en función de los permisos, la capacidad de alcance y el contexto en tiempo de ejecución. La alineación de hallazgos con las técnicas relacionadas con la identidad de MITRE ATT&CK, como las cuentas válidas (T1078), permite a los analistas razonar sobre el comportamiento del adversario en lugar de centrarse en alertas aisladas. La asignación de hallazgos a los equipos responsables, junto con la evidencia necesaria para actuar, es crucial para la remediación efectiva, en lugar de enviarlos a una cola compartida.
La visibilidad e inteligencia de identidad no son una capa de reemplazo, sino la capa de observabilidad que hace que las inversiones existentes en identidad sean verificables. Las plataformas de IAM suelen operar en dos dimensiones: el tiempo de diseño, que abarca el ciclo de vida, políticas y aprovisionamiento, y el tiempo de ejecución, que cubre la autenticación y la aplicación de autorizaciones. Las plataformas de visibilidad observan ambos aspectos y reportan las diferencias entre ellos.
Esta información se alimenta de manera diferente a cada sistema vecino. La gestión de gobernanza e identidades (IGA) recibe evidencia de que las certificaciones reflejan el acceso real. La gestión de acceso privilegiado (PAM) descubre cuentas privilegiadas que operan fuera de los límites de seguridad. Las operaciones de seguridad reciben contexto de identidad que puede acortar la reconstrucción de la cronología durante una investigación, en lugar de requerir que los analistas unan eventos a través de varias consolas.
El enfoque de "zero trust", tal como se describe en el NIST SP 800-207, asume una verificación continua, y esta requiere una observación constante. Las decisiones de acceso son tan buenas como la señal que las respalda: el contexto de la sesión, el tipo de credencial, el comportamiento histórico y la sensibilidad del sistema objetivo.
La inteligencia de identidad proporciona esa señal, así como la contrapartida: evidencia de dónde la aplicación de controles no está ocurriendo realmente, como aplicaciones que aún aceptan protocolos de autenticación heredados o cuentas administrativas sin autenticación multifactor (MFA).
La priorización es donde muchos programas triunfan o se estancan. Las organizaciones maduras tienden a considerar la visibilidad de identidad como un viaje hacia la madurez: desde una gobernanza manual y estática, hasta un control automatizado y continuo, y finalmente, hacia una observabilidad comportamental a través de aplicaciones e infraestructura.
La proliferación de permisos es un hallazgo común en entornos de nube, a menudo debido a que las políticas de IAM fueron provisionales de manera amplia durante el despliegue y no se ajustaron posteriormente. Es recomendable comenzar donde el privilegio excesivo se cruza con la exposición.
Los primeros objetivos prácticos en una estrategia de ciberseguridad deben incluir cuentas de servicio no reclamadas que posean acceso de escritura en entornos de producción, cuentas administrativas que se autentiquen sin la implementación de autenticación multifactor (MFA), credenciales que no han sido rotadas en un largo período y cuentas inactivas pertenecientes a personal que ya no está en la organización. Cada uno de estos casos representa hallazgos concretos y solucionables, con propietarios claramente identificados, lo que contribuye a fomentar la credibilidad del programa de seguridad a gran escala.
La secuenciación en el proceso de descubrimiento es crucial, dado que la generación de datos puede resultar en un volumen considerable de información. Sin embargo, si este volumen no cuenta con un camino claro hacia la remediación, puede dar lugar a la fatiga por alertas, lo que podría llevar a una desatención de las verdaderas amenazas.
Definir el alcance de la auditoría es fundamental; es necesario identificar cuáles son las aplicaciones y cuentas en la nube que se consideran los "joyas de la corona", ya que una posible violación de identidad en estos activos podría causar un daño significativo a la organización.
El descubrimiento directo implica extraer datos de identidad y derechos de acceso no solo desde el Proveedor de Identidad (IdP), sino también desde las aplicaciones y capas de infraestructura correspondientes. Un mapeo efectivo del acceso debe incluir la resolución de grupos anidados, relaciones de confianza y permisos heredados, transformando todo esto en capacidades reales que se pueden gestionar y auditar.
Además, es fundamental asignar la propiedad de cada cuenta, incluyendo aquellas que no son humanas, a un responsable humano designado, así como establecer una fecha de revisión o caducidad. Este enfoque garantiza que cada cuenta esté bajo supervisión y que se tomen las medidas adecuadas para su mantenimiento.
En cuanto al monitoreo del comportamiento, es esencial establecer una línea base del uso normal para poder alertar sobre cualquier desviación en los patrones de uso de privilegios y autenticación. La automatización de la evidencia también juega un papel crucial, ya que la generación de artefactos de cumplimiento debe realizarse a partir de telemetría en tiempo real, en lugar de depender de la recolección manual de datos en hojas de cálculo para cada ciclo de auditoría.
Es importante tener en cuenta que los plazos para llevar a cabo estas implementaciones pueden variar considerablemente, dependiendo de la complejidad del entorno, la cantidad de aplicaciones involucradas y la disponibilidad de los propietarios de dichas aplicaciones. La atención a estos detalles no solo mejora la seguridad, sino que también optimiza la capacidad de respuesta ante incidentes en el futuro.