Repensar la seguridad de identidades para una superficie de ataque sin fronteras

La seguridad de identidades se ha convertido en el principal campo de batalla de la ciberseguridad. En un escenario donde los atacantes ya no “entran” rompiendo defensas, sino iniciando sesión con credenciales robadas o abusadas, la visibilidad, el monitoreo continuo y la respuesta en tiempo real son hoy más importantes que nunca.

La seguridad de identidades se ha consolidado como uno de los ejes centrales de la ciberseguridad moderna. Así lo expusieron Ben Goodman, vicepresidente de Strategic Alliances and Corporate Development en Silverfort, y Adrian Sanabria durante una conversación en la que analizaron cómo han cambiado las tácticas de los atacantes y por qué las organizaciones deben replantear sus defensas.

La idea principal es clara: los atacantes actuales rara vez dependen de técnicas “cinematográficas” de intrusión. En su lugar, aprovechan credenciales robadas o mal utilizadas para iniciar sesión y moverse lateralmente dentro de los entornos corporativos. Como resumió Goodman, “la gente no hackea para entrar; inicia sesión”.

Una vez dentro, el objetivo suele ser explotar sistemas heredados y cuentas con permisos excesivos. Entre los activos más valiosos para un atacante están las cuentas de servicio, que en muchas organizaciones han permanecido sin una gobernanza adecuada durante años. A esto se suma la expansión descontrolada de identidades en entornos cloud, on-premises, SaaS e híbridos, lo que genera puntos ciegos que los atacantes saben detectar y aprovechar.

El problema es que las técnicas tradicionales de detección no responden bien frente a ataques basados en identidad. Si un inicio de sesión es legítimo, normalmente no genera alertas. Por eso, los defensores deben apoyarse en análisis de comportamiento y en la correlación de señales, en lugar de depender de eventos aislados.

Goodman y Sanabria insistieron en la necesidad de definir primero qué significa “normal” dentro de cada entorno. A partir de esa línea base, es posible detectar anomalías mediante patrones de señales débiles que, por separado, pueden parecer irrelevantes, pero que en conjunto revelan actividad sospechosa.

Un ejemplo citado fue el de una cuenta inactiva que de pronto se activa y luego crea un token persistente. Ninguno de esos eventos, por sí solo, puede parecer alarmante. Sin embargo, la combinación de ambos resulta altamente significativa. Este enfoque cobra aún más importancia en entornos donde los silos organizativos y la fragmentación de herramientas impiden a los defensores ver el panorama completo.

La complejidad también aumenta con la presencia de identidades no humanas y agentes de inteligencia artificial. Las cuentas de servicio, históricamente un riesgo oculto, ahora conviven con agentes que actúan en nombre de los usuarios pero con comportamientos menos predecibles. Esto difumina los límites tradicionales de la identidad y obliga a replantear los mecanismos de autenticación, monitoreo y control.

En ese contexto, la seguridad de identidades debe evolucionar hacia un marco unificado capaz de manejar tanto sistemas deterministas, como las cuentas de servicio, como sistemas no deterministas, como los agentes de IA. Esa evolución refuerza la necesidad de defensas en capas, combinando autenticación robusta con monitoreo continuo de la actividad posterior al inicio de sesión.

Pero la detección por sí sola no alcanza. Goodman y Sanabria subrayaron que las organizaciones deben responder en tiempo real bloqueando accesos, activando autenticación adicional y generando fricción cuando aumenta el riesgo. Del mismo modo, es fundamental probar y ajustar continuamente las defensas.

Sanabria lo resumió con una recomendación práctica: entender primero cómo luce el comportamiento normal. Si la primera vez que el equipo revisa logs y sistemas es durante un incidente, el volumen de señales, desvíos y pistas falsas puede complicar seriamente la respuesta.

En definitiva, la seguridad de identidades ya no depende solo de herramientas, sino de disciplina operativa: conocer la línea base, validar controles de forma continua y mantener visibilidad integrada sobre todo el ecosistema de identidades.

Fuente:
https://www.scworld.com/resource/rethinking-identity-security-for-a-borderless-attack-surface

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.