Autorización y Control de Acceso — Fundamentos para Gobernar el Uso de los Recursos

1️⃣ Explicación en Profundidad

¿Qué es la Autorización?

→ La autenticación responde a la pregunta ¿Quién eres tú?.
→ La autorización responde a la pregunta ¿Qué puedes hacer tú dentro del sistema?

Una vez que un usuario o servicio ha sido autenticado, la autorización determina:

✅ A qué datos o servicios puede acceder.
✅ Qué acciones puede ejecutar (leer, escribir, modificar, borrar, etc).
✅ En qué momento o bajo qué condiciones puede hacerlo.

La autorización es esencial para:

• Limitar el daño potencial en caso de que una cuenta sea comprometida.

• Mantener el principio de menor privilegio (PoLP), que indica que cada usuario solo debe tener el acceso mínimo necesario para cumplir con sus funciones.

2️⃣ Ejemplos Prácticos

🔹 Empleados normales de oficina → Solo pueden leer documentos generales, acceder a su correo, e imprimir.
🔹 Equipo de Recursos Humanos → Puede acceder a datos sensibles como salarios y contratos, pero no a configuraciones de servidores.
🔹 Administradores de IT → Pueden modificar configuraciones críticas y gestionar cuentas de usuario.
🔹 Auditores externos → Solo tienen acceso de lectura a registros durante auditorías programadas.

3️⃣ Aplicaciones y Herramientas

🔧 Active Directory (Windows) → Permite asignar permisos y privilegios granulares.
🔧 Role-Based Access Control (RBAC) en Azure o AWS IAM → Otorga permisos basados en roles predefinidos.
🔧 ACL (Listas de control de acceso) en routers/firewalls → Define qué tráfico está permitido o denegado.
🔧 Linux (sudo, chmod, chown) → Controla acceso a archivos y ejecución de comandos.

4️⃣ ¿Qué hace un Líder de Red, Blue y Purple Team al respecto?

🔴 Red Team (Cómo podría explotarse)

• Escalada de privilegios si los permisos están mal configurados.

• Uso de cuentas con permisos excesivos para moverse lateralmente en la red.

• Abuso de cuentas de servicio mal protegidas o sin rotación.

🔵 Blue Team (Cómo se protege)

• Aplicar el principio de menor privilegio en todas las cuentas.

• Revisar y auditar regularmente los permisos otorgados.

• Implementar controles como RBAC o ABAC (Attribute Based Access Control).

• Desactivar cuentas inactivas o huérfanas (orphaned accounts).

🟣 Purple Team (Cómo se valida y ajusta)

• Realizar ejercicios de simulación para probar accesos no autorizados.

• Evaluar la efectividad de los roles y políticas en el día a día.

• Asegurarse que ningún usuario tenga privilegios excesivos sin justificación.

5️⃣ Purple Team → ¿Cómo se ataca y cómo se defiende?

Ataque posible:

• Un atacante obtiene credenciales válidas mediante phishing o brechas.

• Prueba acceder a servicios sensibles.

• Intenta moverse lateralmente explotando permisos excesivos.

Defensa:

• Implementar autenticación multifactor (MFA).

• Segmentar accesos con RBAC/ABAC para limitar daños.

• Hacer seguimiento mediante SIEM de eventos sospechosos relacionados con accesos.

✅ Resumen práctico

📌 Autorización → Define qué recursos puede usar un usuario o servicio autenticado. 

📌 Modelos de control → Basado en roles (RBAC), atributos (ABAC) o listas de control (ACL). 

📌 Ejemplos reales → Active Directory, Azure IAM, sudo en Linux. 

📌 Red Team → Puede explotar permisos excesivos o configuraciones erróneas. 

📌 Blue Team → Debe proteger aplicando PoLP, revisiones regulares y desactivación de cuentas inactivas. 

📌 Purple Team → Evalúa ataques simulados, ajusta roles y valida que las defensas sean efectivas.