Introducción al fortalecimiento de la nube

Almacenar datos sensibles en la nube amplía significativamente su área de superficie de ataque — y los adversarios están aprovechando las oportunidades que presenta la adopción de la nube. De hecho, una encuesta de 2022 Netwrix encontró un aumento del 10% en los ataques dirigidos a la infraestructura en la nube.

El endurecimiento de la nube es el proceso de reducir el riesgo en sus sistemas en la nube estableciendo y manteniendo configuraciones seguras e identificando y mitigando otras vulnerabilidades. Aprenda por qué el endurecimiento de la nube es vital tanto para la seguridad como para el cumplimiento regulatorio, y las principales amenazas en la nube hoy en día. Luego descubra los pasos a seguir para endurecer su nube, independientemente de su modelo de entrega (IaaS, PaaS o SaaS) o tipo de nube (pública, privada o híbrida).

Cómo el endurecimiento de la nube ayuda a mejorar la seguridad

El endurecimiento de la nube implica asegurar la configuración y ajustes de su sistema para reducir las vulnerabilidades de TI y el riesgo de compromiso. Un paso clave en el endurecimiento es eliminar todos los componentes no esenciales de los sistemas. Al eliminar programas no esenciales, funciones de cuentas, aplicaciones, puertos, permisos y accesos, proporciona menos rutas para que los atacantes y el malware ingresen a su entorno en la nube.

Tenga en cuenta, sin embargo, que el endurecimiento de la nube no es un evento único — necesita monitorear constantemente cualquier desviación de sus configuraciones de seguridad, así como revisar y actualizar regularmente sus líneas base a medida que el panorama de amenazas cambia y las mejores prácticas evolucionan.

Por supuesto, el endurecimiento de la nube es solo una parte de una estrategia de seguridad más amplia, que también debe incluir la implementación de herramientas para detectar y responder rápidamente a posibles amenazas, y asegurar que los sistemas puedan ser restaurados rápidamente después de un incidente.

Cómo el endurecimiento de la nube ayuda con el cumplimiento

Los gobiernos de todo el mundo han establecido regulaciones que incluyen estándares para la data security — que se aplican independientemente de dónde se alojen los datos. Estos son los más significativos que debe conocer:

• HIPAA (Health Information Portability and Accountability) es una norma estadounidense para asegurar la información de salud protegida (PHI). Las secciones de la Regla de Seguridad y la Regla de Privacidad dictan medidas de acceso y pautas para transacciones electrónicas de atención médica, y exigen que las organizaciones de atención médica informen sobre las violaciones de seguridad.
• PCI DSS (Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago) está diseñado para proteger los datos de los titulares de tarjetas. Incluye requisitos para la autenticación multifactor (MFA) y el cifrado de datos, y exige que las organizaciones cubiertas realicen pruebas de penetración para mejorar la seguridad.
• FERPA (Family Educational Rights and Privacy Act) aborda la privacidad y seguridad de los datos de los estudiantes, incluyendo la información personal identificable (PII). Los requisitos de FERPA cubren temas como el cifrado, uso, re-divulgación y destrucción de datos.
• GDPR (Reglamento General de Protección de Datos) es una normativa de la Unión Europea que se aplica a organizaciones en cualquier lugar que almacenen o procesen la información de residentes de la UE. Sus disposiciones abordan el almacenamiento de datos, uso, retención, acceso y más. 
• SOX (Ley Sarbanes-Oxley de 2002) ayuda a proteger al público de actos ilícitos corporativos al exigir que todas las empresas públicas de EE. UU. mitiguen el riesgo de actividades contables y financieras fraudulentas. Entre otras cosas, SOX detalla las obligaciones relacionadas con la integridad de los datos, la auditoría, el control de acceso y el control de cambios. 
• FISMA (Ley Federal de Gestión de la Seguridad de la Información) exige a las agencias gubernamentales federales de EE. UU. proteger los activos e información mediante la creación, implementación y cumplimiento de un plan de seguridad, el cual debe ser revisado anualmente. Además, la ley requiere que las agencias cubiertas utilicen únicamente centros de datos — incluyendo proveedores de nube — que cumplan con FISMA.
• ISO 27017 es una subsección de ISO 27000 que proporciona pautas sobre controles de seguridad de la información aplicables a la provisión y uso de servicios en la nube. Aborda temas como roles y responsabilidades compartidos, fortalecimiento de máquinas virtuales y la alineación de la gestión de seguridad para redes físicas y virtuales.

Además de las leyes, las organizaciones pueden tener que (o elegir) adoptar un marco de control de ciberseguridad. En particular, CCM (Matriz de Controles en la Nube) cubre aspectos críticos de la tecnología en la nube en 17 dominios, como la seguridad de aplicaciones e interfaces, auditoría y aseguramiento, control de cambios y gestión de configuración, y gestión de amenazas y vulnerabilidades.

Aunque una organización puede estar sujeta a múltiples leyes, la mayoría de ellas se basan en las mismas prácticas óptimas fundamentales, por lo que los mismos controles de seguridad — como el endurecimiento de la nube — pueden ayudarle a lograr el cumplimiento de varios mandatos a la vez.

Principales amenazas a la seguridad en la nube pública

The cloud security threats that cybersecurity professionals are most concerned about, according to a 2022 survey, are:

• Configuración incorrecta de plataformas en la nube (62%)
• Exfiltración de datos (51%)
• APIs e interfaces inseguras (52%)
• Acceso no autorizado (50%)
• Secuestro de servicios, cuentas o tráfico (44%)
• Compartir datos externos (39%)
• Ciberataques patrocinados por estados extranjeros (37%)

Endurecimiento en diversos modelos de nube

El endurecimiento de la nube siempre es recomendable. Sin embargo, la división de responsabilidades entre su organización y el proveedor de servicios en la nube (CSP) para implementarlo varía dependiendo del modelo de nube: IaaS, PaaS o SaaS.

Infraestructura como Servicio (IaaS)

IaaS implica alquilar componentes básicos de infraestructura de un CSP, como máquinas virtuales en Azure o EC2, o EBS en AWS. Con IaaS, el endurecimiento de la nube está principalmente en tus manos. Aunque el CSP se encargará de la seguridad física y las actualizaciones de firmware, tú eres responsable de la configuración de tus componentes virtuales provisionados. En particular, eres responsable de:

• Identity and data governance, incluyendo la gestión de acceso de usuarios y el control de cambios
• Configuración y fortalecimiento de sistemas operativos
• Cifrado de datos
• Configuraciones a nivel de aplicación
• Controles de acceso a la red tanto a nivel de red como a nivel de componente individual
• Pruebas de seguridad
• Auditoría y registro

PaaS (Plataforma como Servicio)

En el modelo PaaS, la organización controla la plataforma y los recursos de ejecución para desarrollar, probar y desplegar aplicaciones. Ejemplos incluyen Red Hat OpenShift, AWS Elastic Beanstalk y Google App Engine.

En este modelo operativo en la nube, el CSP es responsable de fortalecer el sistema operativo, el middleware y el entorno de ejecución ya que estos son gestionados por el. Sin embargo, su organización sigue siendo responsable de:

• Gobernanza de identidad y datos, incluyendo la gestión de acceso de usuarios y control de cambios
• Protección de clientes y endpoints
• Controles de red en el nivel de red
• Configuraciones a nivel de aplicación
• Pruebas de seguridad
• Auditoría y registro

SaaS (Software as a Service)

En el modelo SaaS, que incluye Microsoft 365 y Salesforce, todos los componentes son gestionados por el CSP, lo que traslada aún más responsabilidad a ellos. Sin embargo, la responsabilidad de su organización no es insignificante; incluye la configuración de:

• Cuentas de usuario y reglas de gestión de acceso
• Configuraciones a nivel de aplicación
• Registro y auditoría

Modelos de despliegue en la nube

Su elección de cloud deployment model — privada, pública o híbrida — también afecta a la planificación de su seguridad en la nube.

Nube privada

Una nube privada sirve a una única organización, con servicios mantenidos en una red privada. Como resultado, su organización tiene control total sobre la infraestructura. Este modelo de implementación ofrece una amplia flexibilidad y oportunidad de personalización, pero también requiere más recursos y experiencia para gestionar y mantenerlo.

Debido a que usted es el propietario, tiene la responsabilidad completa de lo siguiente:

• Desplegando y manteniendo hardware y software
• Asegurando la seguridad física de su infraestructura
• Implementando controles de seguridad apropiados para proteger contra amenazas y ataques

Nube pública

En un modelo de nube pública, un CSP posee y opera toda la infraestructura y software de soporte, y los servicios se entregan a través de internet. Dado que una nube pública funciona como un entorno multiinquilino, generalmente ofrece menores costos y mejor escalabilidad que una nube privada. Sin embargo, su organización tiene menos control sobre la infraestructura y depende de las medidas de seguridad implementadas por el proveedor.

Por lo tanto, debe asegurarse de que los compromisos de seguridad del CSP y el cumplimiento normativo estén alineados con sus necesidades de seguridad y cumplimiento. En particular, depende de usted:

• Investigue a fondo los compromisos de seguridad del proveedor
• Lea y comprenda la auditoría del CSP y el cumplimiento regulatorio
• Comprenda claramente la división de responsabilidades.

Nube híbrida

Una nube híbrida es una combinación de nubes públicas y privadas. No es sorprendente que, por lo tanto, pueda ser la más compleja de asegurar. En particular, además de gestionar las preocupaciones de seguridad para cada tipo de nube, debe asegurarse de que se apliquen políticas de seguridad consistentes en todas sus nubes y de que cualquier cambio en la postura de seguridad en una nube se replique en las demás nubes. Por ejemplo, si hay un cambio de seguridad en una imagen utilizada en su nube privada, ¿se implementa ese cambio también en la nube pública?

Recomendaciones para el fortalecimiento de la nube

Utilice CIS Benchmarks

Para ayudar a las organizaciones a establecer configuraciones seguras, el Centro de Seguridad en Internet (CIS) proporciona los CIS benchmarks. Estas guías de configuración de seguridad abarcan una amplia gama de tecnologías, incluyendo sistemas operativos, dispositivos de reds, servidores y software de escritorio — así como proveedores de servicios en la nube. Al implementar los CIS benchmarks, puedes reducir las vulnerabilidades de seguridad basadas en configuraciones en tus activos digitales.

Una excelente manera de comenzar es fortalecer las imágenes de servidor de su organización utilizando las pautas de endurecimiento de CIS o comprando imágenes endurecidas de CIS de los mercados de AWS, Azure o Google Cloud. Luego integre su antivirus, detección de cambios y otras soluciones de seguridad, en las imágenes endurecidas.

Implemente las mejores prácticas de seguridad

Para reforzar aún más su entorno en la nube contra amenazas, implemente las siguientes prácticas:

• Privilegio mínimo — Otorgue a cada servidor los permisos y privilegios mínimos necesarios para realizar su función prevista. Esto ayuda a limitar el daño que podrían causar los actores maliciosos o los errores accidentales.
• Acceso mínimo — Restrinja el acceso a los servidores en la nube desde la red e instale solo los componentes del sistema operativo y aplicaciones requeridos en cada instancia. Esto dificultará que los actores maliciosos obtengan acceso a información sensible.
• Configuración y gestión de cambios — Cree una configuración de servidor base y realice un seguimiento de todas las desviaciones de esa base.
• Auditoría de registros — Configure cada activo para generar y almacenar de forma segura datos de registro sobre todos los intentos de acceso y todos los cambios.
• Auditoría de cumplimiento y reportes — Implemente controles de seguridad adecuados y asegúrese de poder proporcionar prueba de cumplimiento a los auditores.
• Gestión de vulnerabilidades— Evalúe regularmente sus entornos en la nube en busca de vulnerabilidades y aplique parches y actualizaciones de seguridad con prontitud.
• Segmentación de red — Divida los entornos en la nube en segmentos más pequeños y aislados para limitar el impacto potencial de un incidente de seguridad.
• Cifrado — Cifre los datos en reposo y los datos en tránsito para protegerlos del acceso no autorizado.

Conclusión

Los beneficios de los servicios en la nube son sustanciales, incluyendo ahorro de costos, escalabilidad fácil y funcionalidad potente. Pero aún debe asegurar la seguridad de sus datos y aplicaciones. Utilizando la información anterior, puede ayudar a su organización a proteger mejor sus entornos en la nube para impulsar el crecimiento del negocio.

Preguntas frecuentes

1. ¿Cómo se fortalece la infraestructura en la nube?

Asegure las configuraciones y ajustes del sistema para reducir su vulnerabilidad a ser comprometidos. Elimine todos los programas y utilidades no esenciales para reducir las oportunidades de que los atacantes vulneren sus sistemas.

2. ¿Cuáles son las técnicas de endurecimiento de red?

Las mejores prácticas de seguridad básica incluyen el acceso mínimo, el privilegio mínimo, la gestión de configuración, la gestión de cambios y la auditoría & registro.

3. ¿Qué es el endurecimiento de host en seguridad?

El endurecimiento del host implica la eliminación de componentes, programas, cuentas, aplicaciones, servicios, puertos, permisos y accesos no esenciales de un host para reducir sus vulnerabilidades. El endurecimiento del host también puede incluir:

• Desactivar los servicios de red innecesarios y exigir autenticación para aquellos que se mantengan.
• Instalación y configuración de un firewall de host.
• Haciendo que las aplicaciones estén disponibles solo para los usuarios que las necesitan y solo cuando las necesitan.
• Hacer que los usuarios operen bajo privilegios más bajos y otorgar privilegios de nivel superior solo cuando sea necesario.
• Realizar pruebas periódicas a los sistemas para detectar debilidades y remediarlas.
• Haciendo cumplir contraseñas fuertes y la rotación de contraseñas.
• Automatizando las actualizaciones y mejoras de seguridad regulares.

4. ¿Cuáles son los beneficios del endurecimiento de la nube?

El endurecimiento de la nube ofrece una amplia gama de beneficios, que incluyen:

• Reduciendo la superficie de ataque de su infraestructura en la nube
• Mejorando la postura general de seguridad de su organización
• Ayudando a garantizar el cumplimiento de regulaciones y estándares
• Minimizando el riesgo de data breaches y acceso no autorizado
• Reducir el costo de los incidentes de seguridad y las posibles multas de cumplimiento
• Mejorando la eficiencia y el rendimiento de los sistemas basados en la nube

5. ¿Con qué frecuencia se debe realizar el endurecimiento de la nube?

El endurecimiento de la nube debe realizarse regularmente, como parte de un programa de seguridad y cumplimiento continuo. Es importante revisar y actualizar regularmente su configuración y prácticas de seguridad para asegurar que su infraestructura en la nube permanezca segura.