Una cosa es segura: la adopción de la nube se está generalizando. Es cada vez más obvio que la computación en la nube ha transformado continuamente la forma en que las organizaciones de todos los tamaños acceden, almacenan y comparten datos, gracias a sus muchos beneficios de implementación rápida, flexibilidad, bajos costes y escalabilidad. Pero su interconexión y muchas otras ventajas no son las únicas cosas que la computación en la nube ha traído consigo; los desafíos de seguridad están surgiendo en la era actual de la nube.
Frente a estas amenazas de seguridad en constante evolución, las organizaciones que realizan la transición a la nube están descubriendo que la seguridad en la nube es un imperativo.
Para estar equipados con la seguridad adecuada en la nube, necesitamos comprender los desafíos de seguridad comunes y el panorama de amenazas en la nube. Y eso es precisamente lo que abordaremos en este artículo.
Indice
¿Qué es la seguridad en la nube?
La seguridad informática en la nube, o simplemente «seguridad en la nube», se refiere a un conjunto de tecnologías, servicios, controles y políticas que se utilizan para garantizar la protección de los datos, las aplicaciones y toda la infraestructura de la nube contra las amenazas internas y externas asociadas con la informática en la nube.
Antes de que puedas diseñar tu estrategia de seguridad en la nube, el primer paso que debes dar es comprender los riesgos y las amenazas.
Amenazas y riesgos de seguridad en la nube
Se pueden encontrar muchas amenazas y riesgos de seguridad tanto para los sistemas locales como para las infraestructuras en la nube, pero también existen algunas amenazas nativas de la nube que requieren enfoques no tradicionales para aliviarlas. A continuación, destacamos las principales amenazas de seguridad en la nube más comunes junto con algunos consejos rápidos sobre cómo mitigar cada una de ellas.
Problemas de mala configuración
En 2017, la firma de análisis de datos y marketing en línea Alteryx dejó información sobre 123 millones de hogares estadounidenses expuestos. El incidente de seguridad fue causado por un bucket de S3 de Amazon Web Services (AWS) mal configurado. Y este no es un hecho aislado.
Pero, ¿cómo se producen estos errores de configuración?
Con el modelo de responsabilidad compartida de la arquitectura de la nube, las organizaciones son responsables de proteger lo que está en la nube y el proveedor de proteger la nube. Con el gran volumen de mecanismos y las vastas áreas de infraestructura en la nube involucradas, asegurarlos a todos representa un verdadero desafío.
Una de las configuraciones incorrectas más comunes permite el acceso público a depósitos de almacenamiento que pueden contener datos confidenciales. Estos depósitos quedan desprotegidos sin ningún método de autenticación, lo que puede ser el resultado de un solo clic incorrecto de un botón.
Otras configuraciones incorrectas con las que nos encontramos incluyen políticas de grupo de seguridad demasiado permisivas, configuraciones incorrectas de la ubicación de almacenamiento de respaldo, funciones de red virtualizadas no detectadas y configuradas incorrectamente, y una falta de visibilidad en todo el entorno de la nube, como la infraestructura de sombra.
La mitigación de la amenaza de configuraciones incorrectas de la nube se logra mediante la monitorización continua y el escaneo de toda la infraestructura en busca de vulnerabilidades e instancias olvidadas, con la ayuda de varias herramientas de automatización.
Enemigos internos
Las amenazas internas involucran un escenario en el que alguien conectado a la organización tiene acceso autorizado a los sistemas y redes internos, y hace un mal uso de esa autorización para exponer, modificar o destruir datos confidenciales.
Lo que hace que estas amenazas de seguridad sean particularmente peligrosas es que pueden pasar desapercibidas durante largos períodos de tiempo, debido al hecho de que alguien que ya tiene acceso a los datos está detrás de ellas.
Estas amenazas son numerosas y peligrosas tanto para los entornos locales como para la nube. Para aumentar el fuego, no siempre necesitamos mirar a los empleados descontentos, el espionaje corporativo u otros actores con intenciones maliciosas detrás de ellos. Los empleados pueden filtrar datos involuntariamente, poniendo una red en riesgo de más ataques cibernéticos.
Observar los indicadores de amenazas internas, participar en la detección oportuna y mantener planes eficientes de gestión y respuesta de amenazas internas son pasos cruciales para garantizar la mitigación de esta desastrosa amenaza a la seguridad en la nube.
Infraestructura como almacenamiento de plantillas de código
La infraestructura como código, o «IAC» para abreviar, es un método para administrar la infraestructura en una forma de plantillas definidas legibles por el sistema que crean entornos que a su vez implementan y ejecutan código desde fuentes externas.
Comúnmente utilizado para la infraestructura en la nube, IAC brinda la capacidad de escalar rápidamente hacia arriba y hacia abajo de la infraestructura, una administración más fácil, una mayor comprensión y una monitorización más eficiente de la infraestructura, ya que combina todo en una plantilla.
El almacenamiento de plantillas IAC a menudo se pasa por alto, pero hacerlo puede generar riesgos de seguridad. El almacenamiento de plantillas IAC sin cifrado y protección de datos puede provocar accesos no autorizados y filtraciones de datos, y si el host de las plantillas se ve comprometido, puede provocar el robo de la plantilla IAC.
Cuando se utilizan plantillas de IAC, se debe realizar un seguimiento y análisis continuos para garantizar la seguridad de sus datos e infraestructura.
Los riesgos asociados a IAC son:
Riesgos de la gestión de credenciales
El almacenamiento de contraseñas y otra información de acceso (como claves SSH) es un punto de seguridad importante a tener en cuenta. La contraseña o la clave SSH es la clave para toda su infraestructura definida en el IAC, y almacenar estos elementos en un formato no encriptado / analizable permite posibles problemas de seguridad en caso de que la plantilla IAC filtrarse o copiarse de un entorno «seguro».
Riesgos de comunicación de infraestructura
El método de comunicación, o canal entre el maestro y la infraestructura, es otro aspecto importante a tener en cuenta. La comunicación entre servidores es posible a través de SSH, que es seguro, pero algunas partes de su infraestructura pueden depender de métodos inseguros como Telnet u otros métodos como API de texto sin formato. Si se detectan, pueden abrir posibles vectores de ataque a su infraestructura cuando se ejecutan a través de la definición de plantilla IAC.
Riesgos relacionados con los privilegios del usuario
La administración de los privilegios y roles de los usuarios es otro aspecto crítico del uso de IAC. Dado que los roles y privilegios de los usuarios pueden tener un efecto importante en la infraestructura que se implementa, la restricción de los roles y privilegios de los usuarios es importante y debe aplicarse a todos los usuarios que forman parte de la plantilla de IAC que administra la infraestructura. Sin estas restricciones de seguridad, un usuario malintencionado puede tomar el control de toda la infraestructura y causar un daño generalizado.
Riesgos relacionados con el almacenamiento de plantillas
El almacenamiento de plantillas IAC a menudo se pasa por alto, sin embargo, es la parte más importante de su uso. El almacenamiento de plantillas de IAC en máquinas inseguras puede provocar importantes problemas de seguridad. Si la máquina host o el maestro se ven comprometidos, puede provocar el robo de la plantilla IAC. En las manos equivocadas, se puede analizar con los bits individuales de la infraestructura atacados individualmente, o la infraestructura puede ser víctima en su totalidad, ya que la definición de infraestructura completa está presente en el conjunto de plantillas IAC.
Falta de gestión de identidad y acceso
La gestión de identidades y accesos (IAM) es un marco que consta de procesos, tecnologías y políticas que se refieren a la gestión de identidades digitales de una organización. Con IAM, las organizaciones pueden controlar el acceso de los usuarios a la información y los sistemas críticos y permitir el almacenamiento seguro de la identidad y los datos de la cuenta, así como el gobierno de los datos para garantizar que los usuarios tengan acceso solo a los datos necesarios y relevantes.
Esto significaría que si un empleado de la organización no necesita acceso a ciertos datos o partes del sistema, simplemente no debería tenerlo. Además, para los ex empleados, el acceso debe terminarse para no dejar espacio para amenazas internas. Otras partes de IAM serían la autenticación y la verificación de identidad, que se realiza a través de MFA.
IAM es importante para los sistemas en la nube y en las instalaciones, pero se erige como una de las amenazas de seguridad más comunes para la computación en la nube porque cuando las organizaciones se apresuran a mover sus datos a la nube, se pueden olvidar las políticas reguladoras de acceso. Las consecuencias de una gestión inadecuada de la identidad y el acceso son el acceso excesivo de los empleados, que puede provocar filtraciones y violaciones de datos, amenazas internas y daños financieros, de reputación y operativos innecesarios.
Se deben realizar auditorías periódicas de las políticas de acceso para garantizar que ningún usuario tenga más acceso del necesario, que los antiguos empleados ya no tengan acceso a los sistemas y la implementación de MFA y otros sistemas de autenticación que generalmente ofrece su proveedor de nube.
Exposición de entornos no productivos
Las organizaciones utilizan cada vez más la nube para las pruebas y los esfuerzos de desarrollo con el fin de ponerlos a disposición de sus equipos de desarrollo rápidamente y para una implementación más rápida. Esto generalmente incluye una base de datos de producción junto con una base de datos de no producción donde los desarrolladores pueden crear y probar su aplicación.
Pero tener copias directas de los datos de producción puede llevar a copias de información confidencial en una base de datos de prueba en la nube que podría no estar sujeta al mismo nivel de seguridad que normalmente mantiene un entorno de producción. Eso no sería un problema en sí mismo si las organizaciones no se apresuraran generalmente a la producción, dejando sus entornos de no producción sin seguridad.
Todo lo que se necesita es que un atacante descubra la base de datos abierta, a menudo olvidada por la organización propietaria, para encontrar los datos sensibles y expuestos que contiene.
El primer paso para proteger los entornos que no son de producción es localizarlos.
Deficiente cumplimiento normativo
La adopción acelerada de la nube ha llegado en un momento de regulaciones de protección de datos nuevas y más estrictas. El Reglamento General de Protección de Datos es solo uno de los sistemas de leyes y regulaciones de protección de datos en todo el mundo que ha hecho que las organizaciones reevalúen la forma en que recopilan y almacenan datos. Las leyes de privacidad que son innatas en los diferentes países se refieren a la ubicación física donde se almacenan los datos, y cuando le agregamos la nube, las líneas pueden volverse borrosas.
Las organizaciones que almacenan sus datos internamente no tienen problemas para identificar la ubicación de todos sus datos, pero el uso de proveedores de nube externos para el almacenamiento de datos puede dificultar la ubicación de los datos, ya que los proveedores pueden alojar los datos en múltiples ubicaciones. Esto puede plantear el desafío de no cumplir con las regulaciones de protección de datos y las jurisdicciones que deberían aplicarse a sus datos.
La solución sería utilizar proveedores de la nube que almacenan datos en una ubicación o al menos mantenerlos dentro de una jurisdicción (como la UE). En otros casos, las organizaciones deben conocer las ubicaciones donde se almacenan sus datos y qué regulaciones y leyes se les aplican para evitar sanciones y multas legales.
Separación inadecuada de tenencias múltiples
Una de las características más importantes de la computación en la nube es la tenencia múltiple, una arquitectura en la que los recursos computacionales sirven a varios clientes o inquilinos. Aunque es una excelente opción tanto para los clientes como para los proveedores de la nube, existen riesgos de seguridad relacionados con las arquitecturas de nube de múltiples inquilinos.
Un desafío con los servicios de múltiples inquilinos es garantizar que el rendimiento y el consumo de recursos de un inquilino no afecten a los demás. Esto se conoce como «aislamiento de inquilinos» y significa que los proveedores de servicios en la nube deben poder controlar el grado de aislamiento entre inquilinos. Si el aislamiento del inquilino falla, los riesgos de seguridad y los incidentes a los que sucumbe un inquilino pueden repercutir en otros inquilinos, lo que a veces puede significar cientos de otras empresas.
Para garantizar la protección de los datos para todos los inquilinos, los proveedores de servicios en la nube deben hacer cumplir la separación de datos adecuada y aislar la infraestructura de cada inquilino. Además, las organizaciones deben conocer la forma en que se almacenan sus datos, así como su ubicación y qué medios de protección y separación ofrece su proveedor.
Fugas y filtraciones de datos
Una violación de datos es un incidente de seguridad que implica la divulgación no autorizada de información privada y confidencial al público. Las consecuencias de una violación de datos pueden incluir daños a la reputación, multas legales debido al incumplimiento de las políticas de protección de datos, otros daños financieros, pérdida de propiedad intelectual y más. Las filtraciones de datos incluso se consideran una amenaza mayor para los entornos de nube que para los locales, debido al volumen de datos en tránsito que pueden ser interceptados por atacantes malintencionados.
Los datos son un activo que tiene un gran valor en la actualidad, y protegerlos es un imperativo para cualquier tipo de organización. La implementación de MFA, cifrado de extremo a extremo, VPN y prevención de pérdida de datos (DLP) son solo algunos de los métodos básicos que deben tenerse en cuenta.
API inseguras
Las interfaces de programación de aplicaciones, o API, son ahora el método estándar utilizado para integrar, compartir y mejorar datos a través de servicios en línea. Las API se utilizan para cualquier cosa, desde configurar sitios web de comercio electrónico hasta interactuar con servicios de correo electrónico y redes sociales, hasta funcionar como API de seguridad utilizadas por los equipos rojo y azul y, por supuesto, para interactuar y operar dentro de la infraestructura de la nube.
Cuando se trata de la nube, las API son utilizadas por el equipo interno de la organización, el equipo externo del proveedor de la nube y los usuarios a través de aplicaciones. Sin embargo, la multifuncionalidad y la practicidad de las API no están exentas de riesgos de seguridad.
Las API están plagadas de vulnerabilidades de seguridad que incluyen niveles de objetos rotos, autorización de nivel de función y de usuario defectuosa, exposición excesiva de datos con almacenamiento de credenciales en texto sin formato, configuraciones incorrectas de seguridad y falta de registro y monitorización de acceso.
Mantén la seguridad de tu API a la par identificando primero cualquier vulnerabilidad, monitorizando el uso de tokens para controlar el acceso, encriptando todos los datos (especialmente datos confidenciales) e implementando el uso de una puerta de enlace API que permitirá la autenticación del tráfico, así como el control sobre cómo se utiliza la API y se adopta un modelo de seguridad Zero Trust.
Visibilidad nublada
La seguridad, la disponibilidad y el rendimiento de la nube dependen de la visibilidad. Pero tener una visibilidad profunda de la nube no siempre es una tarea fácil. La visibilidad no solo es fundamental para mantener el rendimiento y la seguridad de su nube, sino también para preservar su disponibilidad y la experiencia positiva del cliente.
La falta de visibilidad de los entornos en la nube puede provenir del uso de aplicaciones tanto autorizado como no autorizado. Cuando hablamos de aplicaciones no autorizadas, nos referimos a la TI en la sombra: aplicaciones que los empleados utilizan sin la autorización del equipo de TI de la organización. Los riesgos de seguridad que plantea la TI en la sombra son inherentes al hecho de que sin la debida autorización del equipo de TI, no hay garantía de que las aplicaciones sean seguras y no contengan vulnerabilidades, o peor aún: malware.
Y cuando se trata de aplicaciones autorizadas, estas son las aplicaciones autorizadas por el equipo de TI de la organización, pero son utilizadas indebidamente por actores externos que utilizan credenciales robadas (a menudo mediante phishing).
Una forma de mitigar esto es monitorizando el comportamiento del usuario para determinar el uso inusual de las aplicaciones, además de tener implementadas políticas de acceso sólidas y, sobre todo, utilizando herramientas de monitorización continua que detectarán cualquier TI en la sombra en toda la infraestructura.