Edition 16

Nada fue explotado en RubyDoc. YARD cargó un script al que el autor del paquete lo apuntó, una función documentada que funcionó correctamente. Los agentes no rompieron el sistema de construcción, lo usaron. Su pipeline extiende la misma cortesía a cada paquete que descarga y a cada archivo de configuración que contiene. Si trata el entorno de construcción como una herramienta en lugar de como producción, cambie eso esta semana.

Y fíjense en el patrón. Tres incidentes, ninguno revelado por la parte que lo supo primero. Los mantenedores de RubyGems pasaron cuatro meses sin saber quién los había sometido a DDoS. La wiki fue combatida por un voluntario que eliminaba páginas a mano. Sean justos con los hechos: una investigación lleva tiempo. Pero cuando la organización que tiene los registros no es la que les informa, se enteran por un voluntario con un botón de eliminar.

Silicon Valley ha descubierto que conviene controlar un sistema antes de mejorarlo. Bienvenidos a Europa. Nosotros lo llamamos AI Act, NIS2 y DORA, y llevamos tres años siendo tachados de burocracia que mata la innovación. La única ventaja que tienen sobre nosotros es que lo dicen después de haber roto algo.

Tomen la alarma en serio de todos modos, y noten el momento al mismo tiempo. Luego reduzcan el plan a lo que pueden ejecutar: evaluadores independientes con acceso real, que lean los registros y confirmen que el sistema se mantuvo dentro de sus límites. Eso es aseguramiento por terceros, y es donde el consejo empresarial llega desde la otra dirección. Una identidad por agente, credenciales que mueren con la tarea, alguien externo al equipo que lee los registros. Eso es gestión de accesos e ISO 42001, aplicados a un nuevo tipo de usuario.

Esta es la parte de la cadena de suministro que su SBOM no cubre. Pasamos el verano hablando de gusanos en npm y listas de materiales, y todo eso inventaría lo que compila y distribuye. Esto se ejecuta en el navegador de su cliente, desde el servidor de otra persona, con acceso total a su formulario de pago. Y ya han visto el mecanismo dos veces aquí: el buzón del exempleado que nadie eliminó, la tarjeta Visa caducada que seguía autorizando pagos. Caducado no es revocado. Alguien recoge las llaves que ustedes tiraron.

Lunes por la mañana, y este es sencillo. Desplieguen una Content Security Policy en modo report-only durante una semana. No aplica nada ni bloquea nada. Solo les dice qué se está ejecutando en el navegador de sus usuarios, y esa lista siempre es más larga de lo que nadie espera.

Lean esas fechas con atención, porque el titular que todos repiten es el equivocado. Que Server 2022 abandone el soporte estándar no es fin de vida. Mantiene actualizaciones de seguridad gratuitas durante otros cinco años. Las lápidas que importan son 2012 R2, cuyo ESU final vence el mismo día, y 2016 en enero, muy posiblemente sin forma de pago para comprar más tiempo.

Lo que hace peligrosa esta situación es el tema de todo este número: nada se rompe. El 13 de enero de 2027 los servidores arrancan, las aplicaciones funcionan, nadie lo nota. Los únicos que fuerzan la decisión son su auditor, su aseguradora y sus proveedores que retiran la versión de sus matrices de soporte, y los tres llegan después de la fecha. Traten esto como gestión del ciclo de vida de activos, no como aplicación de parches. Si aún están migrando desde 2012 y 2016 mientras 2022 cambia de estado a sus espaldas, no tienen un retraso en la aplicación de parches. Tienen un cementerio de sistemas operativos y ningún calendario de entierros.

Por fin. Pongo señuelos en todos los entornos donde trabajo y donde trabajan mis equipos. Ocultos en la red, en recursos compartidos de archivos, en cuentas que parecen reales y no pertenecen a nadie. Casi nadie piensa en esto, y ahora existe un documento gubernamental gratuito que les explica cómo hacerlo. Ya no hay excusa.

Miren atrás en este número y entenderán por qué cierra aquí. Agentes que recorren un entorno de construcción con acceso legítimo. Un script que se ejecuta en el navegador de su cliente con sus privilegios. Credenciales que sobrevivieron a su propietario. Nada de esto rompe nada, que es exactamente por qué sus herramientas permanecen en silencio. Un señuelo invierte eso: nadie legítimo tiene razón alguna para tocar un honeytoken, así que cuando uno se activa obtienen señal con casi ningún ruido. Constrúyanlo correctamente; un mal señuelo es un pasivo. Y no traten esta guía como la mayoría trata sus informes de auditoría: leída una vez, archivada, olvidada. El señuelo que despliegan es el control. El PDF es solo papel.