OAUTH-009: Service Account Key Enumeration

Plataforma: Google Workspace
Categoría: OAuth & API Security
Severidad: High
Pilar de Zero Trust: Applications & Workloads (peso 1)
Fixtures de referencia: 1
Cobertura de ramas: Observada: los fixtures prueban los veredictos que ejercitan
Procedencia: baseline

Qué comprueba

Service account keys should be inventoried and rotated regularly. Leaked or stale keys provide persistent unauthorized access

Valor recomendado

All service account keys inventoried, rotated within 90 days, and unused keys removed

Remediación

Google Cloud Console > IAM & Admin > Service accounts > Review and rotate keys > Remove unused service account keys

Veredictos probados con fixtures

Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.

Escenarios de veredicto de OAUTH-009
Escenario	Veredicto esperado
always-warn	WARN

Mapeos a marcos de referencia

NIST SP 800-53: IA-5(1), AC-2(3)
CIS Benchmark: 3.9
MITRE ATT&CK: T1078.004, T1552.004