Blast radius y costo: game day con incidente sintético

Un incidente no se mide solo por “entraron o no entraron”. Se mide por cuánto pudieron tocar, cuánto costó, cuánto tardaste en verlo y qué tan rápido pudiste cortar el daño.

Escenario sintético

incidente: token de CI ficticio filtrado
actor: alguien intenta usarlo fuera del pipeline
riesgo: crear recursos caros o leer storage privado
datos: solo buckets/labs de juguete

No necesitás filtrar nada real para practicar. El ejercicio es pensar límites.

Controles por capa

capa        control
IAM         rol de CI con permisos mínimos y condición por repo/rama
red         recursos privados sin entrada directa desde internet
datos       buckets privados, cifrado y acceso por rol
costo       budget + alarma + cleanup plan
logs        CloudTrail para llamadas de API sensibles
operación   runbook para rotar credenciales y revocar sesiones

Tabla de game day

paso                  señal esperada                  corte
uso fuera de CI        CloudTrail AssumeRole raro       revocar sesión/rol
creación de recurso    evento Create* no esperado       SCP/permiso/budget
lectura de bucket      GetObject fuera del patrón       bloquear policy
costo sube             alarma de budget                 apagar recursos lab