Las 11 principales amenazas de seguridad en la nube que debes conocer

Utilizar la nube para alojar los datos, aplicaciones y otros activos de su negocio ofrece varios beneficios en términos de gestión, acceso y escalabilidad. Sin embargo, la nube también presenta ciertos riesgos de seguridad. Tradicionalmente, esos riesgos se han centrado en áreas como la denegación de servicio, la pérdida de datos, el malware y las vulnerabilidades del sistema. Un informe publicado el martes por la Cloud Security Alliance sostiene que las últimas amenazas en la seguridad de la nube han cambiado hacia decisiones tomadas en torno a la estrategia e implementación de la nube.

Basado en una encuesta a 241 expertos de la industria sobre cuestiones de seguridad en la nube, el informe de la CSA titulado "Las 11 Amenazas más Graves a la Computación en la Nube" se centra en 11 amenazas, riesgos y vulnerabilidades destacadas en entornos de nube. Para cada amenaza descrita, el informe destaca el impacto en el negocio, ejemplos específicos y recomendaciones en forma de conclusiones clave.

Este artículo también está disponible en forma de descarga: Cómo prevenir las 11 principales amenazas en la computación en la nube (PDF gratuito).

Índice de Contenido

1. Brechas de datos
2. Configuración incorrecta y control de cambios insuficiente
3. Falta de arquitectura y estrategia de seguridad en la nube
4. Gestión insuficiente de identidad, credenciales, acceso y claves
5. Secuestro de cuentas
6. Amenazas internas
7. Interfaces y APIs inseguras
8. Control plano débil
9. Fallas en la metaestructura y apliestructura
10. Visibilidad limitada del uso de la nube
11. Uso indebido y uso nefasto de los servicios en la nube

1. Brechas de datos

Una brecha de datos puede ser cualquier incidente o ataque cibernético en el que información confidencial o sensible sea vista, robada o utilizada por una persona no autorizada.

Impacto en el negocio

Las brechas de datos pueden dañar la reputación de una empresa y generar desconfianza por parte de los clientes y socios.
Una brecha puede resultar en la pérdida de propiedad intelectual (PI) a competidores, lo que afecta el lanzamiento de un nuevo producto.
Las implicaciones regulatorias pueden resultar en pérdidas financieras.
El impacto en la marca de una empresa podría afectar su valor en el mercado.
Pueden surgir responsabilidades legales y contractuales.
Los gastos financieros pueden ocurrir como resultado de la respuesta a incidentes y la realización de peritajes.

Conclusiones clave y recomendaciones

Cómo funciona el protocolo FTP y cómo resolver problemas relacionados con él

Definir el valor comercial de los datos y el impacto de su pérdida es esencial para las organizaciones que poseen o procesan datos.
Proteger datos evoluciona a la pregunta de quién tiene acceso a ellos.
Los datos accesibles a través de Internet son el activo más vulnerable para la configuración incorrecta o la explotación.
Técnicas de encriptación pueden proteger los datos, pero también pueden afectar el rendimiento del sistema y hacer que las aplicaciones sean menos amigables para el usuario.
Contar con un plan de respuesta a incidentes sólido y bien probado que considere al proveedor de la nube y las leyes de privacidad de datos puede ayudar a las víctimas de brechas de datos a recuperarse.

2. Configuración incorrecta y control de cambios insuficiente

La configuración incorrecta ocurre cuando los activos informáticos se configuran incorrectamente, dejándolos vulnerables a actividades maliciosas. Algunos ejemplos de configuración incorrecta incluyen: elementos de almacenamiento de datos no seguros o contenedores, permisos excesivos, credenciales y configuraciones predeterminadas sin cambios, controles de seguridad estándar desactivados, sistemas sin parches y registros o monitoreo desactivados, y acceso no restringido a puertos y servicios.

Impacto en el negocio

El impacto en el negocio depende de la naturaleza de la configuración incorrecta y de cuánto tiempo se tarda en detectarla y resolverla. El problema más común es la exposición de datos almacenados en repositorios de la nube.

Conclusiones clave y recomendaciones

Dado que los recursos basados en la nube pueden ser complejos y dinámicos, su configuración puede resultar desafiante.
Los controles y enfoques tradicionales para la gestión de cambios no son efectivos en la nube.
Las empresas deben adoptar la automatización y utilizar tecnologías que escaneen de forma continua recursos con configuraciones incorrectas y solucionen problemas en tiempo real.

3. Falta de arquitectura y estrategia de seguridad en la nube

A medida que las empresas migran partes de su infraestructura de TI a la nube pública, uno de los mayores desafíos es implementar la seguridad adecuada para protegerse contra los ataques cibernéticos. Suponer que se puede "levantar y trasladar" la infraestructura de TI interna existente y los controles de seguridad a la nube puede ser un error.

Impacto en el negocio

Microsoft lanza servicio gratuito de almacenamiento en la nube para usuarios de Windows

Se requiere una arquitectura y estrategia de seguridad adecuadas para mover, implementar y operar de manera segura en la nube. Los ciberataques exitosos debido a una seguridad débil pueden conducir a pérdidas financieras, daño a la reputación, repercusiones legales y multas.

Conclusiones clave y recomendaciones

Asegúrese de que la arquitectura de seguridad esté alineada con los objetivos y metas de su negocio.
Desarrolle e implemente un marco de arquitectura de seguridad.
Asegúrese de que el modelo de amenazas se mantenga actualizado.
Brinde visibilidad continua sobre el estado de seguridad real.

4. Gestión insuficiente de identidad, credenciales, acceso y claves

Los incidentes de seguridad y las brechas pueden ocurrir debido a la protección insuficiente de las credenciales, la falta de rotación regular automática de claves y contraseñas criptográficas, la falta de sistemas de gestión de identidades y credenciales escalables, la falta de autenticación de múltiples factores y el uso de contraseñas débiles.

Impacto en el negocio

La gestión insuficiente de identidad, credenciales o claves puede permitir el acceso no autorizado a los datos. Como resultado, actores maliciosos que se hacen pasar por usuarios legítimos pueden leer, modificar y eliminar datos. Los hackers también pueden controlar funciones y actividades de gestión, espiar datos en tránsito y liberar malware que parece provenir de una fuente legítima.

Conclusiones clave y recomendaciones

Cómo evitar que el archivo de registro de transacciones en SQL Server crezca demasiado grande

Asegure cuentas que permitan la autenticación de dos factores y limite el uso de cuentas raíz.
Practique los controles de identidad y acceso más estrictos para usuarios e identidades en la nube.
Segmente cuentas y grupos de identidad en función de las necesidades comerciales y el principio de menor privilegio.
Rote las claves, elimine las credenciales y privilegios no utilizados, y emplee la gestión centralizada y programática de claves.

5. Secuestro de cuentas

A través del secuestro de cuentas, los atacantes obtienen acceso y abusan de cuentas que tienen alto privilegio o son sensibles. En entornos de nube, las cuentas más vulnerables son las cuentas o suscripciones de los servicios en la nube.

Impacto en el negocio

Dado que el secuestro de cuentas implica el compromiso y control total de una cuenta, la lógica empresarial, las funciones, los datos y las aplicaciones que dependen de la cuenta pueden estar en riesgo.
Las consecuencias del secuestro de cuentas pueden ser graves. Algunos casos recientes de violaciones de seguridad han llevado a interrupciones operativas y comerciales significativas, incluida la eliminación completa de activos, datos y capacidades.
El secuestro de cuentas puede provocar filtraciones de datos que conducen a daños en la reputación, degradación del valor de la marca, exposición a responsabilidades legales y divulgación de información personal y empresarial confidencial.

Conclusiones clave y recomendaciones

El secuestro de cuentas es una amenaza que debe tomarse en serio.
La "defensa en profundidad" y los controles de IAM (Identity and Access Management) son clave para mitigar el secuestro de cuentas.

6. Amenazas internas

Las amenazas internas no tienen que atravesar cortafuegos, redes privadas virtuales (VPN) y otras defensas de seguridad, sino que operan a un nivel de confianza en el que pueden acceder directamente a redes, sistemas informáticos y datos sensibles.

Impacto en el negocio

Las amenazas internas pueden resultar en la pérdida de información confidencial y propiedad intelectual.
El tiempo de inactividad del sistema asociado con los ataques internos puede afectar la productividad de la empresa.
La pérdida de datos puede reducir la confianza en los servicios de la empresa.
Lidiar con incidentes de seguridad interna requiere contención, remediación, respuesta a incidentes, investigación, análisis posterior al incidente, escalada, monitoreo y vigilancia, todo lo cual puede aumentar la carga de trabajo y el presupuesto de seguridad de una empresa.

Conclusiones clave y recomendaciones

Debería su organización migrar a Google Apps desde Microsoft Exchange

Tome medidas para minimizar la negligencia interna y mitigar las consecuencias de las amenazas internas.
Proporcione capacitación a sus equipos de seguridad para instalar, configurar y monitorear adecuadamente sus sistemas informáticos, redes, dispositivos móviles y dispositivos de respaldo.
Capacite regularmente a sus empleados normales para informarles cómo manejar los riesgos de seguridad, como el phishing y la protección de los datos corporativos que llevan fuera de la empresa en computadoras portátiles y dispositivos móviles.
Requiera contraseñas fuertes y actualizaciones frecuentes de contraseñas.
Informe a los empleados sobre las repercusiones relacionadas con la participación en actividades maliciosas.
Audite de manera rutinaria los servidores en la nube y locales y corrija cualquier cambio realizado con respecto a la línea base de seguridad establecida en toda la organización.
Asegúrese de que los sistemas de seguridad de acceso privilegiado y los servidores centrales se limiten al mínimo número de empleados y que estas personas solo incluyan a aquellas capacitadas para manejar la administración de servidores informáticos críticos para la misión.
Monitoree el acceso a todos los servidores informáticos en cualquier nivel de privilegio.

7. Interfaces y APIs inseguras

Las API (Interfaces de Programación de Aplicaciones) y las interfaces de usuario (UI) son típicamente las partes más expuestas de un sistema, a menudo son el único activo con una dirección IP pública disponible fuera de la frontera confiable. Desde la autenticación y el control de acceso hasta la encriptación y el monitoreo de la actividad, estas interfaces deben ser diseñadas para protegerse contra intentos accidentales y maliciosos de eludir la seguridad.

Impacto en el negocio

Aunque la mayoría de los proveedores de nube intentan integrar la seguridad en sus modelos, los clientes de la nube también deben comprender las implicaciones de seguridad. Un conjunto débil de interfaces y APIs expone a las organizaciones a diversos problemas de seguridad relacionados con la confidencialidad, integridad, disponibilidad y responsabilidad.

Conclusiones clave y recomendaciones

Practique una buena higiene de las API, lo cual incluye una supervisión diligente de elementos como la gestión de inventario, pruebas, auditorías y protecciones contra actividades anormales.
Asegure la protección adecuada de las claves de API y evite su reutilización.
Considere el uso de marcos de API estándar y abiertos (por ejemplo, Open Cloud Computing Interface (OCCI) y Cloud Infrastructure Management Interface (CIMI)).

8. Control plano débil

El control plano permite que la seguridad y la integridad complementen el plano de datos, el cual proporciona la estabilidad de los datos. Un control plano débil significa que la persona a cargo no tiene un control total de la lógica, la seguridad y la verificación de la infraestructura de datos.

Impacto en el negocio

Google vs Microsoft: Quién ofrece el mejor almacenamiento en la nube

Un control plano débil podría resultar en pérdida de datos, ya sea por robo o corrupción. También se pueden incurrir en sanciones regulatorias por la pérdida de datos.
Con un control plano débil, los usuarios también pueden ser incapaces de proteger sus datos empresariales y aplicaciones basadas en la nube.

Conclusiones clave y recomendaciones

Los controles de seguridad adecuados proporcionados por un proveedor de nube son necesarios para que los clientes de la nube puedan cumplir con sus obligaciones legales y estatutarias.
Los clientes de la nube deben realizar una debida diligencia y determinar si el servicio en la nube que pretenden utilizar posee un control plano adecuado.

9. Fallas en la metaestructura y apliestructura

Existen posibles fallas en varios niveles del modelo de metaestructura y apliestructura. Por ejemplo, una implementación deficiente de API por parte del proveedor de la nube ofrece a los atacantes la oportunidad de interrumpir a los clientes de la nube al interrumpir la confidencialidad, integridad o disponibilidad del servicio.

Impacto en el negocio

Metaestructura y apliestructura son componentes críticos de un servicio en la nube. Las fallas que involucran estas características a nivel del proveedor de la nube pueden afectar en gran medida a todos los consumidores del servicio. Al mismo tiempo, las configuraciones incorrectas por parte del cliente podrían interrumpirlo financieramente y operativamente.

Conclusiones clave y recomendaciones

Los proveedores de la nube deben ofrecer visibilidad y exposición de las mitigaciones para contrarrestar la falta inherente de transparencia de la nube para los clientes.
Los clientes de la nube deben implementar características y controles apropiados en diseños nativos de la nube.
Todos los proveedores de la nube deben realizar pruebas de penetración y proporcionar los hallazgos a los clientes.

10. Visibilidad limitada del uso de la nube

La visibilidad limitada del uso de la nube ocurre cuando una organización no tiene la capacidad de visualizar y analizar si el uso de servicios en la nube dentro de la organización es seguro o malicioso.

Cómo cambiar y administrar la cuenta de Administrador local en Windows mediante Group Policy

Impacto en el negocio

Falta de gobernanza. Cuando los empleados desconocen los controles de acceso y gobernanza adecuados, los datos corporativos confidenciales pueden colocarse en ubicaciones de acceso público en lugar de ubicaciones de acceso privado.
Falta de conciencia. Cuando los datos y servicios se utilizan sin conocimiento de la empresa, esta no puede controlar su propiedad intelectual. Esto significa que el empleado tiene los datos, no la empresa.
Falta de seguridad. Cuando un empleado configura incorrectamente un servicio en la nube, puede volverse explotable, no solo para los datos que residen en él, sino también para futuros datos. El malware, los botnets, el malware de minería de criptomonedas y más pueden comprometer los contenedores en la nube, poniendo en riesgo los datos, servicios y finanzas de la organización.

Conclusiones clave y recomendaciones

Mitigar estos riesgos comienza con el desarrollo de un esfuerzo completo de visibilidad de la nube de arriba abajo. Este proceso generalmente comienza con la creación de una solución integral que se integra con personas, procesos y tecnología.
Obligue a la capacitación en toda la empresa sobre las políticas y aplicación del uso de la nube aceptadas y la aplicación de las mismas.
Todos los servicios en la nube no aprobados deben ser revisados y aprobados por el arquitecto de seguridad en la nube o por la gestión de riesgo de terceros.
Invierta en soluciones como los brokers de seguridad de acceso a la nube (CASB, por sus siglas en inglés) o las pasarelas definidas por software (SDG, por sus siglas en inglés) para analizar las actividades salientes y ayudar a descubrir el uso de la nube, los usuarios en riesgo y seguir el comportamiento de los empleados con credenciales para identificar anomalías.
Invierta en un firewall de aplicaciones web (WAF, por sus siglas en inglés) para analizar todas las conexiones entrantes a sus servicios en la nube en busca de tendencias sospechosas, malware, ataques de denegación de servicio distribuido (DDoS) y riesgos de botnet.
Seleccione soluciones diseñadas específicamente para controlar y monitorear todas sus principales aplicaciones en la nube empresariales (planificación de recursos empresariales, gestión de capital humano, experiencia de comercio y gestión de cadena de suministro) y asegúrese de que los comportamientos sospechosos puedan mitigarse.
Implemente un modelo de confianza cero en toda su organización.

11. Uso indebido y uso nefasto de los servicios en la nube

Los actores maliciosos pueden aprovechar los recursos de la informática en la nube para atacar a usuarios, organizaciones u otros proveedores de nube, así como para alojar malware en los servicios en la nube. Algunos ejemplos de uso indebido de los recursos en la nube incluyen el lanzamiento de ataques de denegación de servicio distribuido (DDoS), campañas de spam y phishing por correo electrónico, "minar" monedas digitales, fraudes masivos de clic automatizados, ataques de fuerza bruta a bases de datos de credenciales robadas y alojamiento de contenido malicioso o pirateado.

Impacto en el negocio

Si un atacante ha comprometido el plano de gestión de la infraestructura en la nube del cliente, el atacante puede utilizar el servicio en la nube con fines ilícitos mientras el cliente paga la cuenta. La factura puede ser sustancial si el atacante consume muchos recursos, como en el caso de la minería de criptomonedas.
Los atacantes también pueden utilizar servicios en la nube para almacenar y propagar malware. Las empresas deben contar con controles para hacer frente a estos nuevos vectores de ataque. Esto puede incluir la adquisición de tecnología de seguridad que pueda monitorear la infraestructura en la nube o las llamadas a API tanto desde como hacia el servicio en la nube.

Conclusiones clave y recomendaciones

Las empresas deben monitorear a sus empleados en la nube, ya que los mecanismos tradicionales no son suficientes para mitigar los riesgos asociados con el uso de servicios en la nube.
Utilice tecnologías de prevención de pérdida de datos en la nube (DLP, por sus siglas en inglés) para monitorear y detener cualquier extracción de datos no autorizada.

"La complejidad de la nube puede ser el lugar perfecto para que los atacantes se escondan, ofreciendo un escondite como plataforma de lanzamiento para causar más daño", dijo John Yeoh, vicepresidente global de investigación de la CSA, en un comunicado de prensa. "La falta de conocimiento sobre las amenazas, riesgos y vulnerabilidades dificulta la protección de las organizaciones contra la pérdida de datos. Los problemas de seguridad descritos en esta edición del informe de las principales amenazas son un llamado a la acción para desarrollar y mejorar la conciencia, configuración y gestión de la seguridad en la nube".

Cómo generar cadenas aleatorias únicas en una aplicación escalable