Los proveedores de servicios en la nube: Una amenaza masiva para la seguridad

La administración del presidente Joe Biden, como parte de su recientemente publicada Estrategia Nacional de Ciberseguridad, dijo que sectores críticos como las telecomunicaciones, la energía y la atención médica dependen de la ciberseguridad y la resiliencia de los proveedores de servicios en la nube.

Sin embargo, informes recientes sugieren que la administración tiene preocupaciones de que los principales proveedores de servicios en la nube constituyan una superficie de amenaza masiva, a través de la cual un atacante podría interrumpir la infraestructura y los servicios públicos y privados.

Esa preocupación es difícil de argumentar dada la naturaleza monolítica del sector. La firma de investigación Gartner, en su estudio más reciente sobre la cuota de mercado mundial de infraestructura como servicio en la nube, colocó a Amazon en primer lugar, liderando con ingresos de $35.4 mil millones en 2021, con el resto de la cuota de mercado desglosada de la siguiente manera:

• Amazon: 38.9%
• Microsoft: 21.1%
• Alibaba: 9.5%
• Google: 7.1%
• Huawei: 4.6%

El Grupo Synergy informó que juntos, Amazon, Microsoft y Google representaron dos tercios de los ingresos de infraestructura en la nube en los tres meses que terminaron el 30 de septiembre de 2022, y que los ocho proveedores más grandes controlan más del 80% del mercado, lo que se traduce en tres cuartos de los ingresos web.

¿Un enfoque en los proveedores de servicios en la nube?

El informe de la administración señaló que los actores de amenazas utilizan la nube, los registradores de dominios, los proveedores de alojamiento y correo electrónico, así como otros servicios para realizar exploits, coordinar operaciones y espiar. Además, abogó por regulaciones que impulsen la adopción de principios de diseño seguro y que las regulaciones definan "prácticas u objetivos mínimos esperados de ciberseguridad".

Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel

También se "identificarán las brechas en las autoridades para impulsar mejores prácticas de ciberseguridad en la industria de la computación en la nube y para otros servicios esenciales de terceros, y se trabajará con la industria, el Congreso y los reguladores para cerrarlas", según el informe de la administración.

Si la administración se refiere a los proveedores de servicios en la nube que controlan el tráfico a través de vastas extensiones de la web global con el objetivo de regular sus prácticas de seguridad, puede ser inútil, ya que los proveedores de servicios en la nube ya tienen protocolos de seguridad sólidos en su lugar, señaló Chris Winckless, analista principal de director en Gartner.

"Los proveedores de la nube parecen ser muy seguros en lo que hacen, pero la falta de transparencia sobre cómo lo hacen es una preocupación", dijo Winckless.

Sin embargo, Winckless también dijo que existe un límite para la resiliencia, y al final, la responsabilidad recae en el cliente.

"El uso de la nube no es seguro, ya sea desde inquilinos individuales, que no se configuran correctamente o no están diseñados para la resiliencia, o desde actores criminales o estatales, que pueden aprovechar la dinamicidad y pagar por el modelo de flexibilidad", agregó.

Los proveedores de servicios en la nube ya ofrecen suficiente

Chris Doman, director de tecnología de Cado Security, una firma de respuesta a incidentes en la nube, dijo que los principales proveedores de servicios en la nube ya son los mejores en la gestión y seguridad de la infraestructura en la nube.

Cómo proteger tu computadora de los virus: métodos y consejos

"Cuestionar sus habilidades e inferir que el gobierno de Estados Unidos 'sabe mejor' en términos de regulación y guía de seguridad sería engañoso", dijo Doman.

Imponer requisitos de "conozca a su cliente" a los proveedores de servicios en la nube puede ser bien intencionado, pero corre el riesgo de impulsar a los atacantes a utilizar servicios que están más lejos del alcance de las fuerzas del orden, dijo.

La mayor amenaza para la infraestructura en la nube es un desastre físico, no fallas tecnológicas, dijo Doman.

"La industria de servicios financieros es un gran ejemplo de cómo un sector diversifica la actividad entre múltiples proveedores de la nube para evitar cualquier punto de falla", dijo Doman. "Las entidades de infraestructura crítica que se modernizan hacia la nube deben pensar en planes de recuperación de desastres. La mayoría de las entidades de infraestructura crítica no están en condiciones de adoptar completamente múltiples nubes, limitando los puntos de exposición".

Los clientes de la nube deben implementar seguridad

Si bien la administración Biden dijo que trabajará con los proveedores de infraestructura en la nube e internet para identificar "uso malicioso de la infraestructura de Estados Unidos, compartir informes de uso malicioso con el gobierno" y "facilitar a las víctimas reportar el abuso de estos sistemas y ... dificultar que actores maliciosos accedan a estos recursos en primer lugar," hacerlo puede plantear desafíos.

Mike Beckley, fundador y director de tecnología de Appian, una empresa de automatización de procesos, dijo que el gobierno tiene razón al alertar sobre la vulnerabilidad de los sistemas gubernamentales.

¡Defiéndete! Protege tu seguridad en línea contra amenazas críticas

"Pero tiene un problema más grande, y es que la mayor parte de su software no proviene de nosotros, ni de Microsoft, ni de Salesforce o Palantir, en ese sentido", dijo Beckley. "Es escrito por el licitador de menor costo en contratos personalizados y, por lo tanto, pasa por alto la mayoría de las reglas y restricciones con las que operamos como proveedores comerciales.

"Cualquiera que sea lo que el gobierno piense que está comprando, está cambiando todos los días, basado en la menor experiencia o menos calificado, o incluso el contratista más malicioso que tiene los derechos y permisos para cargar nuevas bibliotecas y códigos. Cada uno de esos pipelines de código personalizado tiene que ser construido para cada proyecto y, por lo tanto, solo es tan bueno como el equipo que lo realiza".

Depende de los clientes defenderse contra las principales amenazas basadas en la nube

Buscar malhechores es algo grande para proveedores de servicios en la nube como Amazon, Google y Microsoft, dijo Mike Britton, director de seguridad de la información de Abnormal Security.

"En última instancia, la nube es solo otra palabra elegante para servidores externos, y ese espacio digital ahora es una mercancía: puedo almacenar petabytes por centavos", dijo Britton. "Ahora vivimos en un mundo donde todo se basa en API e internet, por lo que no hay barreras como solía haber en los viejos tiempos.

"Hay una matriz de responsabilidad compartida, donde el proveedor de la nube se encarga de problemas como los parches del sistema operativo del hardware, pero es responsabilidad del cliente saber qué es lo que está enfrente del público y optar por participar o no. Creo que sería bueno si hubiera algo similar a una salvaguardia negativa que preguntara algo como '¿Realmente quiso hacer eso?' cuando se trata de acciones como hacer públicos los buckets de almacenamiento.

"Tomar sus 50 terabytes en un bucket de almacenamiento S3 y hacerlo accidentalmente accesible al público es potencialmente hacerse daño a sí mismo. Por lo tanto, las soluciones de gestión de postura de seguridad en la nube son útiles. Y los consumidores de servicios en la nube deben tener buenos procesos en su lugar".

Protege tus contraseñas con PAM: Tu aliado para la seguridad

Principales amenazas para tus operaciones en la nube

El informe de Seguridad en la Nube 2022 de Check Point Security enumeró las principales amenazas a la seguridad en la nube.

Configuraciones erróneas

Una de las principales causas de violaciones de datos en la nube, las estrategias de gestión de postura de seguridad en la nube de las organizaciones son inadecuadas para proteger su infraestructura basada en la nube de configuraciones erróneas.

Acceso no autorizado

Las implementaciones basadas en la nube fuera del perímetro de la red y directamente accesibles desde internet público facilitan el acceso no autorizado.

Interfaces y APIs inseguras

Los proveedores de servicios en la nube a menudo proporcionan una serie de interfaces de programación de aplicaciones e interfaces para sus clientes, según Check Point, pero la seguridad depende de si el cliente ha asegurado las interfaces de sus infraestructuras basadas en la nube.

Cuentas secuestradas

No es una sorpresa, la seguridad de las contraseñas es un eslabón débil y a menudo incluye malas prácticas como la reutilización de contraseñas y el uso de contraseñas débiles. Este problema exacerba el impacto de los ataques de phishing y las brechas de datos, ya que permite utilizar una sola contraseña robada en varias cuentas diferentes.

Falta de visibilidad

Los recursos en la nube de una organización se encuentran fuera de la red corporativa y funcionan en infraestructuras que la empresa no posee.

Cómo configurar un servidor VPN para hacer conexiones a través de firewalls

"Como resultado, muchas herramientas tradicionales para lograr visibilidad de red no son efectivas para entornos en la nube", señaló Check Point. "Y algunas organizaciones carecen de herramientas de seguridad enfocadas en la nube. Esto puede limitar la capacidad de una organización para monitorear sus recursos basados en la nube y protegerlos contra ataques".

Compartir datos externos

La nube facilita la compartición de datos, ya sea mediante una invitación por correo electrónico a un colaborador o a través de un enlace compartido. Esa facilidad de compartir datos plantea un riesgo de seguridad.

Insiders malintencionados

Aunque paradójico porque los insiders están dentro del perímetro, alguien con malas intenciones puede tener acceso autorizado a la red de una organización y a algunos de los recursos sensibles que contiene.

"En la nube, la detección de un insider malintencionado es aún más difícil", dijo el informe de CheckPoint. "Con las implementaciones en la nube, las empresas carecen de control sobre su infraestructura subyacente, lo que hace que muchas soluciones de seguridad tradicionales sean menos efectivas".

Los ciberataques son un gran negocio

Los objetivos del cibercrimen se basan principalmente en la rentabilidad. La infraestructura basada en la nube que es accesible al público desde internet puede estar inadecuadamente asegurada y contener datos sensibles y valiosos.

Ataques de denegación de servicio

La nube es esencial para la capacidad de muchas organizaciones para hacer negocios. Utilizan la nube para almacenar datos críticos para el negocio y para ejecutar aplicaciones importantes internas y de cara al cliente.

¡Alerta! Un nuevo gusano de Linux está propagándose

La piratería ética puede asegurar las operaciones en la nube y locales

Es importante que las organizaciones aseguren sus propios perímetros y realicen pruebas regulares de vulnerabilidades internas y externas.

Si quieres perfeccionar tus habilidades de hacking ético para pruebas de penetración web y más, echa un vistazo a este completo paquete de cursos de hacking ético de Newsmatic Academy.

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Los proveedores de servicios en la nube: Una amenaza masiva para la seguridad , tenemos lo ultimo en tecnología 2023.