El que ya está adentro no tiene que entrar

Casi todo lo que un SOC sabe hacer parte de un supuesto: que el atacante viene de afuera y tiene que entrar. Las firmas buscan intrusión, los IOC son huellas de algo ajeno que forzó una puerta, la kill chain empieza con un reconocimiento externo. Todo ese aparato asume un límite entre adentro y afuera, y un adversario que lo cruza. El insider no cruza nada. Ya está adentro. Ficha a las nueve, entra con su tarjeta, se autentica con sus propias credenciales —correctas, porque son suyas— y roba con permiso de estacionamiento.

No hay puerta forzada que buscar.

El problema no es que el insider sea más sofisticado. Es que no hace nada técnicamente malo, al menos no en el sentido que las herramientas entienden. No hay explotación de vulnerabilidad, no hay malware, no hay escalada de privilegios: tiene los privilegios, se los dio la organización el día que lo contrató. Cada acción individual, mirada de a una, es legítima. Abre SharePoint —puede—. Busca documentos —puede—. Los descarga —puede—. Los comprime —¿por qué no?—. El repertorio entero de la detección basada en “esto no debería poder pasar” se queda sin trabajo, porque todo lo que pasa está permitido. No hay un evento que sea el crimen. El crimen es la forma de la secuencia, y las herramientas de firma no leen formas de secuencia: leen eventos.

La firma no sirve contra un usuario válido.

De ahí que la única defensa que funciona acá cambie de pregunta. En vez de “¿esta acción coincide con un patrón de ataque conocido?” —que da que no, siempre, porque no hay ataque conocido que sea “un empleado usando su cuenta”—, la pregunta pasa a ser “¿esta persona se está comportando como se comporta esta persona?”. Eso es UEBA, User and Entity Behavior Analytics, y el nombre suena a folleto de vendedor pero la idea es honesta y vieja: construir una línea base de la conducta normal de cada usuario y medir la desviación. No hay una firma universal del insider malicioso, porque el insider malicioso se parece exactamente a sí mismo del día anterior, salvo por lo que cambió. La detección no vive en un catálogo externo de lo malo. Vive en el retrato estadístico de lo habitual, y en cuánto se aparta hoy de ese retrato.

Medirse contra uno mismo.

Así es como se ve una desviación cuando nadie forzó nada. Alguien de finanzas que en dos años nunca tocó el repositorio de recursos humanos, de golpe entra ahí. Un usuario que jamás usó el buscador interno para nada empieza a consultar términos como “auditoría”, “pagos”, “clientes”. La descarga que normalmente es de tres archivos por día se vuelve de trescientos en veinte minutos. Aparece un .zip en el escritorio o en AppData, comprimiendo lo que se acaba de bajar. Ninguna de esas cosas es un delito; todas juntas son un empleado autorizado actuando fuera de su rol, y el umbral que dispara no es “hizo algo prohibido” sino “hizo mucho más de lo que hace, en un lugar donde no suele estar”. El DLP ve el volumen, el EDR ve la compresión, el UEBA ve la curva salirse de su carril. Y llega el momento de la verdad literal: el intento de subir el archivo a una nube personal, que el CASB bloquea. Un empleado que se topó con un bloqueo legítimo por error se detiene y pregunta a IT. El que reintenta de inmediato por webmail, por otro canal, buscando la rendija, ya contestó la pregunta sobre su intención. La persistencia ante el bloqueo es la confesión.

El borrado es la señal que llega tarde.

Después viene el paso que no deja lugar a dudas y que, justamente por eso, siempre llega tarde: el borrado. Eliminar los archivos que se comprimieron, limpiar el historial del navegador, vaciar la carpeta temporal. Nadie limpia sus huellas de algo que cree que tenía derecho a hacer. El borrado de evidencia es la señal más inequívoca del incidente y la más inútil para prevenirlo, porque para cuando aparece, la exfiltración ya se intentó —y quizá ya salió por la rendija que el bloqueo anterior no cubrió—. Es la firma que confirma todo y no evita nada. Sirve para el forense, no para la defensa; para entender qué pasó, no para que no pase. La detección temprana estaba tres pasos atrás, en la desviación de conducta que no gritaba, y que había que estar mirando la curva para ver.

Acusar por una curva tiene aristas.

Acá aparece la parte que distingue a este incidente de casi cualquier otro, y que no es técnica. Del otro lado de la anomalía estadística hay una persona con nombre, un contrato, y derechos. Una curva que se sale de su carril es una sospecha, no una prueba, y confundirlas arruina vidas: el que descargó trescientos archivos porque de verdad los necesitaba para una auditoría legítima se parece, en el gráfico, al que los robó. La respuesta a un insider no es cortar y confrontar, como sería con un atacante externo. Es preservar —copia forense exacta de la máquina, cadena de custodia intacta, coordinación silenciosa con recursos humanos y legales— antes de que el sujeto sepa que se lo mira, porque alertarlo destruye tanto la evidencia como el debido proceso. Es incómodo de un modo que un incidente de malware no lo es. Con el malware no hay a quién presumir inocente. Acá sí.

Todo esto se emparenta con algo que ya escribí, sobre una identidad válida usada en contra del sistema que la emitió. El AiTM roba una sesión legítima; el insider es legítimo. En los dos casos la seguridad clásica falla en el mismo punto: confía en que la credencial correcta implica la persona correcta con la intención correcta, y esas tres cosas no son la misma. La autenticación resuelve la primera. La segunda y la tercera no las mira nadie, salvo el que decidió construir una línea base y medir contra ella. Es, en el fondo, la misma tesis que la de no confiar en el estado interno por el solo hecho de que alguien haya cruzado la puerta una vez: adentro no es un lugar seguro, es solo un lugar donde nadie está mirando.

El insider es el recordatorio de que el perímetro nunca fue el problema. El problema es la confianza, y la confianza no tiene perímetro. La única defensa contra el que ya está adentro es no darle a “adentro” el significado de “más allá de toda duda”. Nadie está más allá de toda duda —ni el de finanzas, ni el de sistemas, ni el que escribe esto—. Lo que hay es la línea base, y la disciplina de mirar cuándo alguien deja de parecerse a sí mismo.