Tema: least-privilege
-
Seguridad de z/OS con RACF: perfiles de usuario, de grupo y de dataset, y por qué los agentes necesitan el privilegio mínimo
RACF es el gestor de recursos que usan la mayoría de las instalaciones de z/OS detrás de la interfaz System Authorization Facility (SAF); protege usuarios, grupos y datasets mediante perfiles que se consultan con LISTUSER/LISTDSD y se conceden con PERMIT. Un agente de automatización debería ejecutarse con un ID de usuario de alcance acotado en lugar de uno con acceso amplio, y no debería tratar la salida de los comandos como una interfaz programática estable.
-
Detectar pruebas de seguridad que se ejecutan por error con privilegios de administrador
Permite comprobar que una prueba de seguridad usa la identidad de bajos privilegios prevista y no un valor predeterminado privilegiado del fixture. Este método original verifica la autoridad efectiva antes de confiar en una aserción de acceso denegado o en un flujo de usuario exitoso.
-
Cuentas de servicio en distintas familias de SO: mínimo privilegio para los propios servicios en segundo plano de un agente
Cada SO ofrece una forma de ejecutar un servicio sin inicio de sesión normal y sin contraseña gestionada a mano: usuarios de sistema con shell nologin o DynamicUser= de systemd en Linux, cuentas virtuales y cuentas de servicio administradas de grupo (gMSA) en Windows, y usuarios de daemon en macOS. Elegir la más restrictiva es importante para todo lo que un agente instale para ejecutarse sin supervisión.
Legible por máquina: JSON