Cómo asegurar la nube híbrida: herramientas y estrategias para proteger tus datos

Las organizaciones públicas y privadas han determinado que trasladar datos y plataformas de software a la nube no es una decisión de todo o nada. Los departamentos de TI están aprendiendo a utilizar una combinación de nube privada local y servicios de nube pública de terceros. Crear una plataforma de nube híbrida permite que las cargas de trabajo se muevan entre nubes privadas y públicas a medida que cambian las necesidades informáticas y los costos, brindando a las empresas una mayor flexibilidad y más opciones de implementación de datos.

Existen ventajas y desventajas en las nubes híbridas. La conveniencia y adaptabilidad que ofrece la tecnología de nube híbrida tiene un costo: los equipos de seguridad deben proteger los datos de la empresa y, en muchos casos, los procesos propietarios en múltiples entornos. Dave Shackleford, consultor principal de Voodoo Security y analista de SANS, decidió abordar estas preocupaciones en el informe técnico de SANS "Asegurando la Nube Híbrida: Herramientas y Estrategias Tradicionales vs. Nuevas".

"A medida que más organizaciones adopten un modelo de nube híbrida, deberán adaptar sus controles internos de seguridad y sus procesos a los entornos de los proveedores de servicios de nube pública", escribe Shackleford. "Para comenzar, las prácticas de evaluación y análisis de riesgos deben actualizarse para revisar continuamente los elementos enumerados en la Figura 1". Estos elementos se enumeran a continuación.

• Controles de seguridad, capacidades y estado de cumplimiento del proveedor de nube
• Herramientas y plataformas internas de desarrollo y orquestación
• Herramientas de gestión de operaciones y monitoreo
• Herramientas y controles de seguridad tanto internos como en la nube

Aún se debate quién es el responsable final de la seguridad en la nube. Shackleford defiende la necesidad de que los proveedores de servicios en la nube y sus clientes compartan la responsabilidad. En cuanto al cliente, Shackleford cree que su equipo de seguridad debe tener:

• Una buena comprensión de los controles de seguridad actualmente en uso;
• Una comprensión aún mejor de qué controles de seguridad deberán modificar para operar con éxito en un entorno de nube híbrida.

En cuanto al porqué, Shackleford explica: "Es casi seguro que algunos controles de seguridad no funcionarán de la misma manera que en el entorno interno o no estarán disponibles en entornos de proveedores de servicios en la nube".

Procesos internos que los profesionales de TI deben verificar

Shackleford sugiere examinar los siguientes procesos internos.

Cómo funciona el protocolo FTP y cómo resolver problemas relacionados con él

Evaluación de configuración: Shackleford dice que las siguientes configuraciones son especialmente importantes en lo que respecta a la seguridad:

• Versión del sistema operativo y nivel de parche
• Usuarios y grupos locales
• Permisos en archivos clave
• Servicios de red endurecidos que se están ejecutando

Escaneo de vulnerabilidades: Shackleford aconseja que los sistemas deben escanearse de manera continua, informando cualquier vulnerabilidad detectada durante el ciclo de vida de la instancia. En cuanto al escaneo y evaluación de los hallazgos, Shackleford señala que se suele utilizar uno de los siguientes métodos en situaciones de nube híbrida.

• Algunos proveedores de escáneres de vulnerabilidades tradicionales han adaptado sus productos para funcionar dentro de entornos de proveedores de servicios en la nube, generalmente utilizando API para evitar solicitudes manuales para realizar escaneos más intrusivos de manera programada o ad hoc.
• Depender de agentes basados en host que puedan escanear continuamente sus respectivas máquinas virtuales.

Monitoreo de seguridad: Los entornos de nube híbrida casi siempre existen en servidores virtualizados multiinquilinos, lo que dificulta su monitoreo en busca de ataques en función de cada cliente. "El monitoreo de la infraestructura virtual se lleva a cabo en uno de varios lugares: la VM/contenedor, el switch virtual, el hipervisor o la red física", escribe Shackleford. "En casi todos los entornos de nube, el único lugar al que realmente podemos acceder es la VM/contenedor o la red definida por software ofrecida por el proveedor de la nube".

"Las consideraciones sobre cómo diseñar herramientas de monitoreo incluyen el ancho de banda de la red, la conexión dedicada existente y los métodos de agregación/análisis de datos", continúa Shackleford. "Los registros y eventos generados por los servicios, aplicaciones y sistemas operativos dentro de las instancias de la nube deben recopilarse automáticamente y enviarse a una plataforma de recopilación central".

Con respecto al registro remoto automatizado, Shackleford considera que la mayoría de los equipos de seguridad ya conocen cómo recopilar los registros adecuados, enviarlos a servicios de registro central seguro o plataformas de gestión de eventos basadas en la nube y monitorearlos de cerca utilizando herramientas SIEM y/o herramientas de análisis.

Según Shackleford, no hay límites para lo que se puede monitorear. Él cree que lo siguiente debe tener prioridad:

Microsoft lanza servicio gratuito de almacenamiento en la nube para usuarios de Windows

• Inicios de sesión de usuario inusuales o intentos de inicio de sesión fallidos
• Importaciones o exportaciones de datos grandes hacia y desde el entorno en la nube
• Actividades de usuarios privilegiados
• Cambios en las imágenes del sistema aprobadas
• Acceso y cambios en las claves de cifrado
• Cambios en configuraciones de privilegios e identidad
• Cambios en las configuraciones de registro y monitoreo
• Amenazas de proveedores de nube y terceros

Las soluciones aisladas y puntuales son un problema

Todos nos hemos encasillado con un servicio o producto. Por la misma razón, Shackleford recomienda encarecidamente evitar opciones de un solo proveedor o nativas de la nube que no ofrezcan flexibilidad entre diferentes proveedores y entornos, a toda costa.

"Algunos productos de proveedores solo funcionarán en entornos específicos, y la mayoría de los servicios integrados de los proveedores de la nube solo funcionarán en sus propias plataformas", explica. "Esta fragmentación puede generar grandes problemas cuando las necesidades empresariales llevan a las organizaciones a adoptar una estrategia de varias nubes, lo que requiere volver a examinar los controles de seguridad que cumplan con los requisitos".

Seguridad desde el principio

Shackleford es un firme defensor de la seguridad desde el principio, un concepto simple pero difícil de implementar; la idea es acercar las consideraciones de seguridad a la etapa de desarrollo del producto. "En otras palabras, la seguridad está verdaderamente integrada en las prácticas de desarrollo y operaciones y en la infraestructura (una práctica a veces llamada SecDevOps o DevSecOps)", escribe Shackleford. "Los equipos de seguridad y DevOps deben definir y publicar estándares organizativos de TI para diversas áreas, incluidas las bibliotecas de aplicaciones y las configuraciones de sistema operativo aprobadas para su uso".

Una advertencia final

Además de la debida diligencia normal, Shackleford sugiere establecer una línea base mediante una revisión exhaustiva de todos los controles y procesos existentes antes de trasladar datos y/o procesos a la nube pública. "Esto les dará la oportunidad de proteger adecuadamente los datos involucrados y buscar capacidades de seguridad equivalentes en entornos de nube pública", aconseja Shackleford. "Busque herramientas que puedan ayudarlo a administrar tanto los activos in-house como los de la nube en un solo lugar, ya que los equipos de seguridad y operaciones generalmente están demasiado ocupados para manejar múltiples herramientas de gestión y monitoreo en uno o más entornos de proveedores de nube".

Cómo evitar que el archivo de registro de transacciones en SQL Server crezca demasiado grande

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Nube, allí encontraras muchos artículos similares a Cómo asegurar la nube híbrida: herramientas y estrategias para proteger tus datos , tenemos lo ultimo en tecnología 2023.