Monitorización de usuarios privilegiados (PUM)

¿Qué es la monitorización de usuarios privilegiados (PUM)?

La monitorización de usuarios privilegiados (PUM, de Privileged User Monitoring) consiste en registrar y revisar lo que hacen las cuentas con derechos elevados: administradores de sistemas y bases de datos, cuentas root y de servicio, y contratistas externos. NIST define al usuario privilegiado como el autorizado para ejecutar funciones relevantes para la seguridad que los usuarios normales no pueden. La PUM ofrece un rastro de auditoría y detecta usos indebidos a tiempo.

Por qué importa

• Una sola cuenta de administrador comprometida puede exponer todo lo que alcanza.
• El mal uso interno, deliberado o por descuido, se detecta mejor en la actividad privilegiada.
• Muchos marcos de cumplimiento esperan rastros de auditoría de las acciones administrativas. Revisa el texto exacto del que te aplique.
• Tras un incidente, los registros muestran qué pasó y en qué orden.

Qué registra la PUM

PUM y PAM

La gestión de acceso privilegiado (PAM) controla quién recibe acceso privilegiado y por cuánto tiempo: bóveda, rotación, concesión justo a tiempo. La PUM vigila lo que ocurre una vez concedido el acceso. En la práctica, la PUM es una función dentro de un programa PAM. Ambas complementan tu gestión de identidades y accesos (IAM) y tu control de acceso basado en roles, que deciden quién puede tener privilegios.

Cómo funciona en la práctica

1. Enumera todas las cuentas privilegiadas, incluidas las de servicio y el acceso de proveedores.
2. Pasa las sesiones privilegiadas por un punto controlado, como un bastión o un proxy de acceso, para poder registrarlas.
3. Envía los registros a un almacenamiento que los propios administradores no puedan editar.
4. Alerta ante comportamientos inusuales. El análisis del comportamiento de usuarios y entidades (UEBA) crea una línea base y señala desviaciones, y una plataforma XDR puede correlacionarlas con otras señales.
5. Revisa las alertas y una muestra de sesiones con regularidad, y comprueba que la detección funciona.

Errores habituales

• Registros editables: un administrador comprometido borra sus huellas.
• Cuentas de servicio sin vigilar: suelen ser más potentes que cualquier persona y rara vez se revisan.
• Grabar sin revisar: las grabaciones que nadie mira no disuaden.
• Demasiadas alertas: las reglas ruidosas se ignoran. Empieza con pocas y valiosas.
• Contraseñas de administrador compartidas: no se sabe quién hizo qué. Usa cuentas individuales. Mira también seguridad de bases de datos.

Dónde encaja LoadFocus

LoadFocus no es un producto PAM ni de monitorización de usuarios privilegiados y no graba sesiones de administración. Junto a la PUM sí puede vigilar tus propios endpoints: la monitorización de APIs te avisa cuando una API de administración o de inicio de sesión se vuelve lenta o falla, y las pruebas de carga muestran cómo se comportan esos sistemas con tráfico. Para la seguridad de los datos de prueba, lee buenas prácticas de seguridad en pruebas en la nube.

Preguntas frecuentes sobre la monitorización de usuarios privilegiados

¿Cuál es la diferencia entre PUM y PAM?

La PAM controla quién recibe acceso privilegiado y en qué condiciones. La PUM registra y revisa lo que hacen esos usuarios. La PUM suele ser una parte de un programa PAM.

¿Quién cuenta como usuario privilegiado?

Cualquiera cuya cuenta pueda hacer lo que los usuarios normales no: administradores de sistemas y bases de datos, administradores root y de nube, cuentas de servicio y contratistas con acceso elevado.

¿La PUM exige grabar todas las sesiones?

No necesariamente. Muchos equipos registran comandos y consultas de todo el acceso privilegiado y reservan la grabación completa para los casos más arriesgados, como bases de datos de producción y accesos de terceros.

¿En qué se diferencia la PUM del UEBA?

La PUM es la práctica de vigilar la actividad privilegiada. El UEBA es una técnica para ello: aprende el comportamiento normal y señala desviaciones.