AAA Sentinel
Acceso seguro

Cómo entramos en tu cuenta

Darle acceso a un tercero pide confianza. Leemos costes, lo que está abierto y el gasto de IA. Escribimos solo si das el rol de los agentes.

Empezar gratis ahora AAA Sentinel — Security

Cloud, seguridad e IA. Al conectar leemos; la escritura es un segundo rol, el de los agentes.

Ejemplo ilustrativo

Cloud

Servicios de IA

Por defecto

Leemos costes, inventario, gasto de IA y si algo quedó abierto. Nada se escribe.

Si concedes el rol

Los agentes aplican lo que apruebas: costes, exposición y gasto de IA.

Lectura por defecto

Lectura por defecto

El rol de AWS, Azure o GCP, y las claves de los servicios de IA, entran en solo lectura. La escritura vive en un segundo rol, el de los agentes: tú lo creas, tú apruebas cada acción. Sin ese rol no apagamos ni borramos nada.

  • AWS: rol de CloudFormation con ViewOnlyAccess y SecurityAudit (leemos metadatos y configuración, no datos de tus bases de datos ni valores de Secrets Manager o Parameter Store; de las variables de entorno de las funciones no guardamos los valores) y Cost Explorer; además, solo la lectura de tu exportación FOCUS y la búsqueda de trazas en logs si activas los flujos
  • Azure: Service Principal con Reader y Cost Management Reader (sin Contributor ni Owner)
  • GCP: Service Account con roles de lectura (Viewer) y lectura de la facturación en BigQuery, sin Editor
  • El agente autónomo (Plan Business) requiere un segundo rol que concedes voluntariamente
  • Si revocas el rol, AAA Sentinel pierde acceso inmediatamente

Por defecto

  • Costes e inventario
  • Qué hay abierto o mal configurado
  • Gasto y uso de IA

Con el agente

  • Cerrar exposición que tú apruebas
  • Encender y apagar según el horario
  • Actuar en cloud, seguridad e IA
Cifrado KMS

Cifrado KMS de credenciales

Las claves de Azure, de GCP y de los servicios de IA se guardan en un bucket privado de S3, cifradas con AWS KMS y nuestra propia clave. De AWS no guardamos claves: solo el ARN del rol.

  • Customer Master Key (CMK) rotada automáticamente cada año por AWS
  • Cifrado de servidor de S3 con KMS (SSE-KMS)
  • Cifrado simétrico AES-256
  • La clave maestra nunca sale de los HSM de AWS KMS
  • Las funciones que usan las credenciales reciben el permiso de descifrado por IAM; el bucket bloquea el acceso público

  1. Generas credencial cloud

    Client Secret de Azure, clave de Service Account de GCP o clave de API de IA

  2. Cerramos el sobre

    KMS cifra la credencial. La clave maestra no sale de AWS.

  3. Se guarda cifrada en S3

    Bucket privado, versionado y solo por HTTPS. La clave maestra nunca sale de KMS.

ExternalId

Un código único por organización

El ataque confused deputy permite que un tercero malicioso asuma un rol IAM de tu cuenta haciéndose pasar por un servicio legítimo. Para evitarlo, tu organización tiene un código aleatorio de 128 bits que tu rol de AWS exige como ExternalId.

  • Aleatorio de 128 bits: no se deriva de ningún dato de tu organización
  • Se genera una vez y es el mismo para todas las cuentas de AWS de tu organización
  • Sin el ExternalId correcto, AWS rechaza cualquier AssumeRole
  • Previene ataques confused deputy incluso si el ARN del rol se filtra
  • Lo ves en el asistente de conexión porque va en la política de confianza de tu rol

Con tu código único

AAA Sentinel pide acceso con el código de tu organización. Tu rol lo reconoce y deja entrar a leer.

Sin tu código

Otra cuenta, aunque conociera el nombre del rol, no tiene tu código. El cloud rechaza el acceso.

Sin este ExternalId exacto, cualquier intento de AssumeRole es rechazado por AWS.

JWT + Cognito

JWT + Cognito

Autenticación con Amazon Cognito (User Pools + Hosted UI) para las personas y OAuth2 Client Credentials con JWT HS256 de 1 hora para la API. Los tokens de API llevan tu organización y sus scopes.

  • Tokens de 1 hora con refresh automático
  • La organización y el rol se resuelven en el servidor a partir de tu usuario, no de la petición
  • La sesión viaja en una cookie httpOnly y la verifica un autorizador Lambda de API Gateway
  • Los tokens de API (Client Credentials) se firman con HS256 y un secreto guardado en Parameter Store (SecureString)
  • Rate limiting separado para tokens de API
  • Si tu organización exige MFA, la API lo comprueba en cada petición, también al owner; quien entra con Google o con el SSO de la empresa lo resuelve en su proveedor de identidad
  • Restricción de dominios de email permitidos para login e invitaciones
  1. 01

    Inicias sesión

    Registro, acceso y recuperación pasan por Cognito.

  2. 02

    Comprueba quién eres

    MFA y dominio de correo, si tu organización los exige.

  3. 03

    Recibes un token de sesión

    Firmado, con caducidad corta y tu organización dentro.

  4. 04

    Cada petición lleva esa organización

    La API no toma el tenant del cuerpo de la petición.

Aislamiento de tenant

Aislamiento de tenant

Los datos de cada organización se guardan bajo su identificador de organización. Ese identificador sale de tu sesión verificada, nunca de lo que envía la petición.

  • DynamoDB: las tablas se particionan por organización; las de escaneos y hallazgos, por cuenta, y la cuenta se comprueba antes contra tu organización
  • La organización sale del usuario autenticado, no del cuerpo de la petición
  • Sin una sesión o un token firmados y verificados no se resuelve ninguna organización
  • Cada cuenta se busca con la clave de tu organización; si algo no cuadra, se deniega y se registra como incidente de seguridad

Tu organización

Consulta hallazgos y costes de tus cuentas.

Ve solo lo suyo

Otra organización

Intento de leer los mismos datos.

Bloqueado: no comparte tenant

Cada organización solo ve sus propias filas. La organización sale de la sesión, nunca de la petición.

Registro de auditoría

Registro de auditoría

Cada acción relevante (escaneos, cambios de configuración, accesos y acciones del agente) queda en una tabla de DynamoDB propia, cifrada con KMS y conservada un año. La aplicación solo añade entradas: ninguna escritura sobrescribe otra.

  • DynamoDB cifrado con KMS y con recuperación a un punto en el tiempo (PITR)
  • Retención de 1 año; después cada entrada caduca sola
  • Campos: fecha, organización, autor (persona, token, agente o sistema), acción, recurso y resultado
  • Las acciones del agente quedan con su propuesta, su aprobación y su ejecución
  • Tu actividad se consulta y se exporta en CSV desde tu perfil

Ejemplo de registro audit

Ejemplo ilustrativo

  1. Hoy, 09:12

    Escaneo de postura de producción

    Programado · solo lectura

  2. Hoy, 11:40

    Ana aprobó apagar staging-web-03

    Agente · con permiso de escritura

  3. Hoy, 16:05

    Alerta de exposición enviada al canal

    Notificación · sin cambio en el cloud

Secretos

Secretos

Los secretos de la plataforma (firma de tokens de API, pagos, verificación anti-bots) están en AWS Systems Manager Parameter Store como SecureString y se leen en tiempo de ejecución. Las claves de Jira y Linear que configuras se guardan en DynamoDB, cifrado con nuestra clave de KMS, y la interfaz solo las muestra enmascaradas.

  • Rotación de la clave maestra

    AWS rota cada año la clave de KMS

  • Cifrado en reposo

    Parameter Store SecureString y tablas cifradas con KMS

  • Sin env vars

    Cargadas en runtime via SDK

Conecta tu cuenta con las reglas claras

Lectura al conectar. Escritura solo si das el rol de los agentes. Si quieres ver qué hay abierto en tus cuentas, está en Seguridad.

Empezar gratis ahora

Sin tarjeta · Lectura al conectar · Escritura si la concedes