Proteger su nube: Lo que realmente necesitas saber

5 minutos. LEER

Casi todas las empresas están migrando a la nube de alguna manera, ya sea por acciones planificadas o porque los empleados están adoptando servicios de nube no autorizados. Los trabajadores generalmente adoptan servicios en la nube para realizar su trabajo de manera más eficiente, pero lo hacen sin considerar las implicaciones de seguridad, lo cual es una preocupación para la gestión empresarial.

Lamentablemente, las empresas a menudo se preocupan por los problemas equivocados cuando se trata de la seguridad en la nube. En general, los proveedores de nube hacen un trabajo mucho mejor que el promedio de las empresas a la hora de proteger sus servicios, por lo que no debería preocuparse demasiado por la seguridad del proveedor de nube ni por si su proveedor de nube será pirateado.

En cambio, debería preocuparse por las partes de la nube que usted controla. Esas preocupaciones variarán según el tipo de nube que implemente su empresa. La infraestructura como servicio (IaaS) le brinda mucho más control sobre la seguridad, pero también mucha más responsabilidad sobre ella. El software como servicio (SaaS) le brinda la menor cantidad de control sobre la seguridad y transfiere gran parte de esa responsabilidad a su proveedor de servicios. La plataforma como servicio (PaaS) es una mezcla de ambos.
Por estas razones, el modelo de servicio en la nube que adopte determinará el nivel de responsabilidad de su proveedor en materia de seguridad. Esto es lo que necesitas saber.

1.Comprender las amenazas a las aplicações y la infraestructura de la nube

La amenaza más preocupante para la infraestructura en la nube es la misma que para cualquier otra infraestructura: las violaciones, que tienen diversas causas. Es importante reconocer que existen diferentes niveles de infracciones; un atacante que obtiene acceso a una cuenta de administrador tiene mucho más control que uno que accede a una cuenta de usuario limitada.

Por ese motivo, debería preocuparse más por los usuarios administrativos y privilegiados, y supervisar esas cuentas más allá de lo que es normal para todas las cuentas de usuario. Esta amenaza a la seguridad se aplica a todos los tipos de nubes, ya que los empleados de la empresa mantienen algún tipo de acceso de administrador para la infraestructura SaaS, PaaS e IaaS.

2.Gestionar la identidad y el acceso de forma segura

Por extensión, debe prestar especial atención a la importancia de la identidad y el acceso para proteger los servicios en la nube. El almacenamiento de datos de identidad y acceso debe estar protegido y supervisado de cerca. Sin embargo, dado que una empresa promedio tiene que lidiar con 1.031 aplicações en la nube utilizadas por sus empleados, esto no se puede lograr sin tener una gestión de identidad federada o una infraestructura de inicio de sesión único.

3.Compensar las amenazas a la disponibilidad

Los ataques distribuidos de denegación de servicio (DDoS) se han vuelto más sofisticados y fáciles de lanzar. Los servicios de DDoS contratados, también conocidos como booters o stressers, están fácilmente disponibles para derribar redes o sitios web. Y a medida que los servicios en la nube se vuelven más populares, los ataques DDoS también se han vuelto más impactantes, porque los atacantes pueden interrumpir servicios comerciales críticos para muchas empresas con un solo ataque.

En octubre de 2016, por ejemplo, un gran ataque DDoS impulsado por decenas de miles de grabadoras de video digitales, cámaras y enrutadores domésticos tuvo como objetivo al proveedor de DNS Dyn , cuyos clientes dependen del servicio para dirigir a los usuarios en línea a sus sitios. Como resultado, muchos servicios de Internet, incluidos Netflix, Twitter y PayPal, se vieron interrumpidos.

Necesitará determinar si su proveedor es lo suficientemente elástico como para resistir un ataque. Si bien muchos proveedores de infraestructura en la nube ofrecen capacidades para aumentar el ancho de banda, a menudo cobran por ese ancho de banda adicional durante un ataque, lo que le cuesta enormemente a su negocio. Debe evaluar en qué punto resulta demasiado costoso mantenerse al día con el nivel de ataque y tiene más sentido contratar un servicio de mitigación de DDoS para interceptar el tráfico malicioso antes de que llegue a sus aplicaciones.

4.Gestionar las amenazas de las vulnerabilidades

En 2015, un hacker utilizó una vulnerabilidad en la nube pública de la empresa antivirus BitDefender para robar una cantidad desconocida de nombres de usuario y contraseñas sin cifrar. Las vulnerabilidades no son una amenaza menor para la infraestructura de la nube que para los dispositivos y dispositivos locales.

Las empresas deben poder aplicar parches de manera ágil, lo que significa que los equipos de operaciones necesitan saber qué componentes de infraestructura son vulnerables y tener opciones para gestionar esa vulnerabilidad. La implementación rápida de parches debería ser una prioridad, pero los parches virtuales también deberían estar disponibles para darles a los equipos de seguridad tiempo suficiente para solucionar los problemas sin causar más problemas.

En general, los servicios y plataformas en la nube tienden a ser más seguros que la infraestructura promedio de una empresa debido a los acuerdos de nivel de servicio y las actualizaciones y parches regulares, por lo que las empresas deberían centrarse en los aspectos de la nube que están bajo su control. Las empresas encontrarán en la nube una opción mucho más segura si se concentran en controlar el acceso y las credenciales, mantener los servicios disponibles y gestionar las vulnerabilidades en las partes de la infraestructura de la nube que están bajo su control.

Como arquitecto sénior de soluciones de seguridad en F5 Networks, Brian McHenry se centra en la seguridad de aplicação web y redes. McHenry actúa como enlace entre los clientes y los equipos de productos de F5, proporcionando una perspectiva práctica y del mundo real. Es un colaborador habitual de InformationSecurityBuzz.com, cofundador de BSidesNYC y orador en AppSecUSA, BC Aware Day, GoSec Montreal y Central Ohio Infosec Summit, entre otros. Antes de unirse a F5 en 2008, McHenry, un autodenominado generalista de TI, ocupó puestos de liderazgo en una variedad de organizaciones tecnológicas, desde empresas emergentes hasta importantes firmas de servicios financieros.