Resumen Técnico: Evolución del Riesgo de Privilegios para Identidades No Humanas

1. Declaración del Problema

La gobernanza actual de la Gestión de Identidad y Acceso (IAM) en la nube depende de auditorías de punto en el tiempo (instantáneas o snapshots). Estas auditorías tratan la equivalencia de permisos como una relación estática: dos identidades se consideran equivalentes si poseen roles idénticos en un momento específico. Este enfoque no logra capturar la dinámica temporal de las Identidades No Humanas (NHI, por sus siglas en inglés), como los principios de servicio, que a menudo pasan por ciclos de estados de permisos.

El documento identifica una brecha crítica: una NHI que actualmente posee un rol de bajo privilegio (p. ej., Lector) puede tener un "sobre de permisos" (permission envelope) que incluye estados de alto privilegio (p. ej., Propietario) alcanzables mediante transiciones operativas observadas. Si estas transiciones forman un "trinquete" (ratchet) unidireccional (la escalada es fácil, la desescalada es difícil o requiere pasar por privilegios superiores), el puntaje de riesgo de la instantánea es una subestimación severa del riesgo real. Las herramientas existentes (p. ej., AWS Zelkova, Microsoft Entra) verifican la semántica de las políticas o rastrean cambios, pero no modelan la alcanzabilidad temporal de los estados de permisos ni la equivalencia estructural de los perfiles de permisos en evolución.

2. Marco Metodológico

El documento propone un marco de tres capas que descompone la equivalencia de permisos en componentes estructurales y temporales, utilizando la teoría de grafos para modelar la evolución de las NHI.

2.1 Equivalencia Estructural mediante Fibración

En cualquier instante $t$, el grafo de permisos de IAM se comprime utilizando fibración de grafos (Boldi y Vigna).

• Fibras: Las NHI se agrupan en "fibras" basadas en perfiles de permisos idénticos (conjuntos de pares de asignación de roles).
• Invariante: El Riesgo de Autorización Ponderado (WAR) es un invariante de la fibra; todas las NHI en la misma fibra comparten el mismo puntaje de riesgo en ese instante.
• Limitación: La equivalencia estructural es estática y no puede predecir la convergencia o divergencia futura de los perfiles de permisos.

2.2 Partición de Linaje

Para rastrear la evolución, el documento introduce una partición de linaje que organiza las transiciones de las fibras en compartimentos estables.

• Transiciones: Las fibras experimentan mutaciones, fusiones, divisiones, creaciones y latencia.
• Asimetría: La partición rastrea las fusiones (reducción del número de bloques) pero absorbe las divisiones (un bloque de linaje de un padre es heredado por un hijo cuando una sola fibra se divide).
• Equilibrio: La partición de linaje converge a un estado estable donde los bloques ya no se fusionan, proporcionando una base persistente para el análisis temporal.

2.3 Equivalencia Temporal mediante Circuitos de Privilegio

Dentro de un linaje estable, la evolución de las fibras se modela como un grafo de transición de fibras.

• Circuitos de Privilegio: Definidos como Componentes Fuertemente Conexos (SCC) en el grafo de transición. Dos estados de fibra son temporalmente equivalentes si son mutuamente alcanzables dentro de un SCC.
• Sobre de Permisos (Permission Envelope): La unión de todos los estados de permisos en un circuito. El riesgo de cualquier NHI en el circuito es el nivel máximo de privilegio dentro de ese sobre.
• Clasificación de Tres Tipos:
  1. Monolito (M): Estado de fibra único; estático.
  2. Oscilador (O): Todas las transiciones son reversibles (aristas bidireccionales); ciclos acotados.
  3. Trinquete (R): Contiene al menos una arista irreversible (escalada dirigida); la desescalada puede requerir una reescalada transitoria. Este es el riesgo de gobernanza más crítico.

2.4 Huella Topológica (Invariante Primorial)

Para comparar estructuras de circuitos entre ventanas y NHI, el documento define un invariante primorial.

• Codificación: Se enumeran los ciclos elementales (algoritmo de Johnson). A cada arista se le asigna un factor racional basado en su dirección (bidireccional vs. dirigida) y gradiente de privilegio (ascendente, descendente, plano), mapeado a familias de números primos disjuntos.
• Vector-R: La lista ordenada de estos invariantes sirve como una huella digital topológica única, permitiendo la coincidencia exacta de estructuras de circuitos sin necesidad de realizar pruebas de isomorfismo de grafos.

2.5 Metodología Temporal por Ventanas

El marco emplea análisis multiescala y barridos de estabilidad:

• Multiescala: Analizar las NHI a través de múltiples tamaños de ventana ($h$) para distinguir los trinquetes estructurales reales de los artefactos dependientes de la escala.
• Barrido de Estabilidad: Una NHI se considera "R-estable" si el patrón de trinquete recurre a través de un umbral de tamaños de ventana.
• Backtesting: Se prueba un predictor para ver si la observación temprana (en $h_{obs} = K \cdot b$) puede predecir con precisión la R-estabilidad a largo plazo.

3. Principales Contribuciones

1. Descomposición Fibración/Temporal: Una separación formal de la equivalencia de permisos en componentes espaciales (fibración) y temporales (basados en SCC).
2. Clasificación de Circuitos de Privilegio: Una taxonomía relevante para la gobernanza (Monolito, Oscilador, Trinquete) basada en la simetría de las aristas en el grafo de transición.
3. Invariante Primorial: Una huella digital topológica computable y decodificable para circuitos de privilegio que permite la comparación eficiente entre ventanas y NHI.
4. Compartimentación de Linaje: Un método para organizar la dinámica de las fibras en compartimentos estables, haciendo que el análisis temporal esté bien definido.
5. Metodología Predictiva: Un enfoque de ventanas y multiescala que transforma el análisis descriptivo en una herramienta predictiva para detectar patrones de escalada persistentes.

4. Resultados Empíricos

El marco fue evaluado en un gran inquilino de Azure con ~31,000 NHI durante ~100 instantáneas (aproximadamente 1 año).

• Validación de Supuestos:
  • Independencia de la Línea Base: El 99.2% de las NHI que no eran de la línea base convergieron a fibras de la línea base, validando que las estructuras de linaje son robustas a la elección de la línea base.
  • Prevalencia de Monolitos: El 88.7% de los bloques de linaje eran monolíticos, confirmando que la dinámica temporal se limita a una minoría de linajes complejos.
  • Equilibrio: Los conteos de linaje se estabilizaron dentro de 8 instantáneas (~2 semanas).
• Detección de Circuitos:
  • Linaje LA (Diversificado): 132 NHI mostraron circuitos de privilegio R-estables que recurrieron a través de 18 de 21 tamaños de ventana.
  • Linaje LB (Homogéneo): 5 NHI compartían un vector-R idéntico, lo que indica una causa operativa común (p. ej., una plantilla compartida).
  • Linaje LC (Control Negativo): A pesar de absorber otros 7 linajes, contenía cero circuitos de privilegio, demostiendo que la consolidación estructural no implica escalada temporal.
• Backtesting (Poder Predictivo):
  • Precisión: En tamaños base 6 y 7, el predictor de observación temprana logró una Precisión = 1.000 (cero falsos positivos).
  • Sensibilidad (Recall): Mejoró con la profundidad de observación (0.706 en base 5 a 0.812 en base 7).
  • Detección de Artefactos: Los falsos positivos en la base 5 se localizaron en una sola fibra y desaparecieron en escalas más gruesas, demostrando la capacidad del método para filtrar el ruido transitorio.

5. Significado y Reivindicaciones

El documento sostiene que la gobernanza de la nube es inherentemente espacio-temporal. La principal significancia radica en exponer patrones de escalada persistentes (trinquetes) que son invisibles para el análisis de un punto en el tiempo.

• Corrección de Riesgo: El "sobre de permisos" proporciona la atribución de riesgo correcta para las NHI en circuitos no monolíticos, corrigiendo la subestimación sistemática del riesgo en las auditorías de instantáneas.
• Viabilidad Operativa: La detección temprana de circuitos de tipo trinquete es factible con cero falsos positivos tras observar un pequeño número de instantáneas (p. ej., 21 instantáneas con una cadencia semanal).
• Implicaciones de Gobernanza:
  • Supresión de Alertas: Las transiciones en los circuitos de Monolito y Oscilador pueden suprimirse del monitoreo, ya que representan dinámicas acotadas y reversibles.
  • Estrategia de Desescalada: Desescalar duraderamente una NHI en un circuito de trinquete requiere desescalar el circuito completo, no solo el estado actual.
  • Enfoque en Absorbedores: La gobernanza debe priorizar los linajes de "absorción dominante" donde la consolidación de permisos está ocurriendo activamente.

Los autores declaran explícitamente que, si bien el marco detecta propiedades de grafos bien definidas con alta precisión, la correlación directa entre estos "trinquetes estructurales" y los incidentes de seguridad reales (p. ej., explotación) sigue siendo una conjetura que requiere validación operativa futura. El trabajo redefine la gobernanza en la nube de un control de cumplimiento estático a una disciplina dinámica y predictiva.