Informes de auditoría de cuentas privilegiadas, en la nube y en on-premises
- El problema
- Responder a «¿quién tiene permisos de administrador?» costaba una tarde de exportaciones, y en dos directorios.
- Qué construí
- Dos automatizaciones mensuales, nube y on-premises, que producen un único informe cifrado con su diff.
- Qué salió de ahí
- Un administrador nuevo o modificado se detecta en días, no en la siguiente auditoría.
Toda auditoría, toda revisión de incidente y todo responsable de seguridad recién llegado empiezan por la misma pregunta: ¿quién tiene permisos de administrador? En un entorno híbrido, la respuesta sincera es «depende de qué directorio me hables», y a continuación alguien se pasa una tarde exportando pertenencias a grupos.
Esa tarde debería ocurrir sola, el día uno de cada mes, y aterrizar en el buzón correcto. Este es el formato que nos ha funcionado: no es la única manera de resolverlo, pero funciona sin intervención y el informe llega puntual el día uno de cada mes.
Informa del cambio, no solo del estado
Un correo, dos secciones.
Entra ID: todas las asignaciones de rol en PIM, elegibles y activas, leídas por Graph desde una Logic App.
Active Directory: todos los miembros de los grupos privilegiados, con los anidados desplegados, leídos por un script programado con certificado.
Qué ha cambiado: el diff contra la exportación del mes pasado, arriba de cada sección. Las tres líneas que la gente lee de verdad.
Entra ID: todas las asignaciones de rol en Privileged Identity Management, elegibles y activas, con quién las tiene y desde cuándo. Active Directory: todos los miembros de los grupos privilegiados on-premises, con los grupos anidados desplegados, porque un informe que te lista un grupo en vez de las personas que hay dentro no es una respuesta: es una segunda consulta.
Y arriba del todo de cada sección, lo que la gente lee de verdad: qué ha cambiado desde el mes pasado. Administrador nuevo, administrador retirado, un rol que ha pasado de elegible a permanentemente activo.
Esa última transición es la que merece un diseño propio. Un listado completo de pertenencias es un muro de nombres que nadie repasa línea a línea; un diff de tres líneas se lee siempre. Si aparece un nombre que no debería estar, se detecta en días y no en la siguiente auditoría.
Dos mitades, un informe
La mitad de la nube es una Logic App programada: lee PIM a través de Microsoft Graph y compara el resultado con la exportación del mes anterior. La mitad on-premises es una tarea programada de PowerShell que hace lo mismo contra Active Directory, autenticándose con certificado en lugar de con una contraseña guardada.
Las dos producen el informe con la misma forma, y las dos lo envían cifrado. Eso no es un adorno: el correo contiene la lista completa de todas las cuentas privilegiadas de la empresa, que es justo el documento que no quieres que viaje legible ni que alguien reenvíe sin pensar a una lista de distribución.