Cada herramienta de inteligencia artificial, automatización del flujo de trabajo y aplicación de productividad que sus empleados conectaron a Google o Microsoft este año dejaron algo atrás: un token OAuth persistente sin fecha de vencimiento, sin limpieza automática y, en la mayoría de las organizaciones, nadie lo mira. Tus controles perimetrales no lo ven. Tu MFA no lo detiene. Y cuando un atacante consigue uno, no necesita una contraseña.
Las concesiones de OAuth no caducan cuando los empleados se van. No se restablecen cuando cambian las contraseñas. Y en la mayoría de las organizaciones, nadie los vigila.
El modelo tenía sentido cuando un puñado de aplicaciones aprobadas por TI necesitaban acceso al calendario. No se sostiene cuando cada empleado conecta de forma independiente herramientas de inteligencia artificial, automatizaciones de flujo de trabajo y aplicaciones de productividad directamente a su entorno de Google o Microsoft, cada uno de los cuales recibe un token persistente y con alcance, sin vencimiento automático y sin visibilidad centralizada.
Eso no es una mala configuración. Así es como está diseñado para funcionar OAuth. La brecha es que la mayoría de los programas de seguridad no se crearon para tenerlo en cuenta a escala.
Los CISO saben que es un problema. La mayoría no lo está resolviendo.
Una nueva investigación de Material Security cuantifica la brecha entre conciencia y acción. El 80% de los líderes de seguridad consideran que OAuth no administrado representa un riesgo crítico o significativo. La mayoría lo ha dicho durante años.
Pero la conciencia no se traduce directamente en capacidad. Una parte sustancial de las organizaciones (45%) no está haciendo nada para monitorear las subvenciones de OAuth a escala. Muchos del resto (33%) ejecutan procesos manuales: rastrean las concesiones en hojas de cálculo, revisan los permisos ad hoc y dependen de los empleados para detectar comportamientos inusuales en las aplicaciones.
Las hojas de cálculo no son una capacidad de respuesta a amenazas. Son un registro de cuánta exposición una organización no sabe que tiene.
No es un riesgo teórico.
El argumento a favor de la visibilidad de OAuth a menudo se formula como si los empleados canalizaran información confidencial a herramientas de terceros sin visibilidad de TI. Ese es un problema real, pero es el más pequeño. El problema más apremiante es que las concesiones de OAuth son un vector de ataque activo. El incidente de Drift lo hace concreto.
Drift, una plataforma de participación de ventas adquirida por Salesloft, mantuvo integraciones de OAuth con instancias de Salesforce en cientos de organizaciones de clientes. Un actor de amenazas rastreado por la Unidad 42 de Palo Alto como UNC6395 obtuvo tokens de actualización de OAuth válidos (probablemente a través de campañas de phishing anteriores) y los utilizó para acceder a entornos de Salesforce que pertenecen a más de 700 organizaciones.
La estructura del ataque es una advertencia: los tokens eran legítimos, la integración era legítima. Desde la perspectiva de cualquier control perimetral, no pasaba nada. MFA se omitió por completo porque el atacante no estaba iniciando sesión; estaba presentando un token cuyo uso ya se había concedido a Drift. Una vez dentro, UNC6395 exportó datos sistemáticamente y los revisó en busca de credenciales: claves de acceso de AWS, tokens Snowflake, contraseñas.
Cloudflare, PagerDuty y decenas más se vieron afectados. Aún se está evaluando el alcance total.
El incidente de Drift no fue un ataque de una aplicación desconocida y sospechosa. fue un ataque a través de uno de confianza. La lección no es que las organizaciones deban restringir las integraciones de OAuth; es que confiar en una aplicación en el momento de la instalación no significa que siga siendo confiable, y que las concesiones de OAuth necesitan un monitoreo activo y continuo en lugar de una aceptación pasiva.
Cómo debe ser realmente el monitoreo
La generación actual de herramientas de seguridad de OAuth aborda el riesgo de OAuth en el punto de instalación. Comprueban si el alcance del permiso solicitado es excesivo. Pueden marcar aplicaciones de proveedores con mala reputación. Eso es útil, pero no suficiente. En el caso de Drift, una aplicación legítima cuyas credenciales fueron posteriormente robadas y utilizadas como arma, no detecta nada.
Para empezar, los niveles de confianza de los proveedores y el alcance de las aplicaciones son importantes, pero sólo cuentan una parte de la historia. Monitorear el comportamiento real de la aplicación (las llamadas a la API que realiza, las acciones que realiza) es fundamental para comprender qué es la aplicación. de hecho haciendo, no sólo lo que podría hacer. E incluso entonces, sin una visibilidad profunda de las cuentas a las que está vinculada la aplicación, todavía estás operando medio ciego. Una aplicación riesgosa vinculada a la cuenta de un pasante es una cosa; la misma aplicación utilizada por un VIP con acceso a innumerables correos electrónicos, archivos y sistemas confidenciales es otra completamente distinta.
El ataque Drift no involucró una aplicación sospechosa que solicitara permisos inusuales durante la instalación. Se trataba de una aplicación legítima cuyas credenciales fueron posteriormente comprometidas y utilizadas como arma. Una herramienta que sólo evalúa la subvención en el momento de su creación no habría visto nada malo. El riesgo se materializó más tarde, cuando el token fue robado y utilizado por un actor completamente diferente.
La seguridad efectiva de OAuth requiere:
- Monitoreo continuo del comportamiento, no revisión puntual. ¿Qué hace realmente la aplicación después de que se le ha concedido acceso? La supervisión de las llamadas API que realiza una aplicación conectada a OAuth a lo largo del tiempo revela anomalías que ninguna revisión de permisos estáticos puede detectar: picos repentinos en el acceso a los datos, consultas de tipos de datos inusuales y acceso en horas inesperadas.
- Evaluación del radio de explosión. Una concesión de OAuth conectada a una cuenta con acceso de lectura a miles de documentos confidenciales y años de historial de correo electrónico es categóricamente diferente de la misma concesión en una cuenta recién aprovisionada con exposición limitada. El alcance de la cuenta del usuario determina el impacto potencial de una conexión OAuth comprometida o maliciosa. La puntuación de riesgo debería reflejar eso.
- Respuesta graduada ajustada a la tolerancia al riesgo organizacional. Una aplicación obviamente maliciosa (proveedor desconocido, permisos amplios, comportamiento anómalo de la API desde el primer día) no debería permanecer en el entorno mientras un ticket pasa por una cola. Debe revocarse inmediatamente. Una integración de misión crítica de un proveedor importante que muestra anomalías leves justifica una revisión humana antes de tomar cualquier medida. La capa de respuesta debe ser lo suficientemente inteligente como para notar la diferencia.
Agente de corrección de amenazas OAuth del material
El Agente de remediación de amenazas OAuth de Material Security se basa en este modelo más completo de riesgo OAuth. El agente se ejecuta continuamente en el entorno de Google Workspace de una organización y monitorea cada aplicación conectada a OAuth, no solo las nuevas en el momento de la concesión.
Para cada aplicación conectada, el agente evalúa tres factores juntos:
- Análisis de alcance y confianza de los proveedores – la línea de base estándar en la que se detienen la mayoría de las herramientas
- Monitoreo del comportamiento de llamadas API reales realizado por la aplicación a lo largo del tiempo, lo que revela anomalías frente al comportamiento esperado
- Evaluación del radio de explosión según los niveles de acceso y la exposición de datos de las cuentas a las que está conectada la aplicación
Estos datos se combinan en una señal de riesgo que refleja tanto la probabilidad de un problema como su impacto potencial. Cuando el agente identifica una subvención de alto riesgo, puede actuar de inmediato y revocar el token antes de que se produzca algún daño. Para situaciones de menor certeza que involucran aplicaciones de misión crítica, presenta el hallazgo al equipo de seguridad con contexto completo: qué es la aplicación, qué ha estado haciendo, a qué tiene acceso y cuál es la puntuación de riesgo.
Las organizaciones configuran sus propios umbrales: cuánto riesgo desencadena la remediación automatizada y dónde está el límite para exigir la aprobación humana. El agente está diseñado para mantener a los equipos de seguridad informados sobre las decisiones que importan y fuera de control sobre las que no lo son.
Cerrando la puerta trasera
Las concesiones de OAuth son la forma predeterminada en que las aplicaciones de terceros y las herramientas de inteligencia artificial se conectan al espacio de trabajo empresarial. Eso no va a cambiar. La cantidad de subvenciones en la mayoría de los entornos seguirá creciendo a medida que se acelere la adopción de la IA. Decir a los empleados que no pueden usar herramientas de inteligencia artificial no es una postura de seguridad viable para la mayoría de las organizaciones, y no abordaría la amenaza que representan las aplicaciones que son legítimas en el momento de la instalación y maliciosas más adelante.
La respuesta no es menos concesiones de OAuth. Es una mejor visibilidad de los que existen, un monitoreo continuo de su comportamiento y la capacidad operativa para responder lo suficientemente rápido y lo suficientemente inteligente como para evitar interrumpir las integraciones que mantienen el negocio en funcionamiento.
Para los equipos de seguridad que desean visibilidad de lo que realmente está conectado a su entorno y la capacidad de responder cuando algo cambia, comuníquese con Material Security para obtener una demostración del agente de corrección de amenazas OAuth.