GTRADE-003: Grupos de unión abierta / con miembros externos
- Plataforma
- Google Workspace
- Categoría
- Adversary Tradecraft
- Severidad
- Medium
- Pilar de Zero Trust
- Visibility & Analytics (peso 1)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Los grupos a los que cualquiera (o cualquier persona del dominio) puede unirse, o que permiten miembros externos, amplían el límite de confianza y habilitan el acceso de autoservicio; si tal grupo además posee acceso a recursos o a IAM, unirse a él hereda ese acceso (una vía de escalada de privilegios que Google clasifica como comportamiento previsto).
Valor recomendado
Grupos restringidos a miembros invitados; sin unión abierta a cualquiera y sin miembros externos salvo que se requiera explícitamente
Remediación
Aplicaciones > Google Workspace > Grupos de empresa: establezca el valor predeterminado de 'Quién puede unirse' en 'Solo usuarios invitados' y deshabilite 'Permitir miembros externos' salvo que un grupo los requiera explícitamente; revise los grupos que conceden acceso a recursos o a IAM.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| throttled | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-3, AC-6
- CIS Benchmark
- 1.x
- MITRE ATT&CK
- T1078, T1136