Las amenazas de seguridad en la nube más comunes y cómo evitarlas

En su octava encuesta anual «State of the Cloud», dedicada a las últimas tendencias en computación en la nube, RightScale descubrió que el 91 % de los encuestados cuenta con cargas de trabajo en la nube pública. Además, la adopción de la nube pública es una prioridad principal para el 31 % de las empresas encuestadas. Estas cifras reflejan una confianza cada vez mayor en la computación en la nube.

Tradicionalmente, las preocupaciones generales sobre la ciberseguridad, así como los problemas de pérdida y fuga de datos, han supuesto un obstáculo para la adopción de soluciones alojadas en la nube. El hecho de que cada vez más cargas de trabajo se trasladen a la nube indica que las empresas están superando su temor a las amenazas de seguridad en la nube, al menos lo suficiente como para permitir que algunos de sus datos y aplicaciones residan en la nube.

No obstante, las amenazas a la seguridad y otros riesgos de la computación en la nube siguen existiendo, y las empresas deben tomar medidas para evitarlos (o al menos mitigarlos). En esta entrada del blog, repasaremos algunas de las amenazas a la seguridad en la nube más comunes en la actualidad y lo que las empresas pueden hacer para evitarlas.

¿Quién es responsable de la seguridad en la nube?

Para comprender el riesgo que plantean las amenazas a la seguridad en la nube, es importante delimitar las responsabilidades en materia de seguridad de los diferentes aspectos de la computación en la nube. La distribución de responsabilidades entre el proveedor de la nube pública y la organización del cliente varía considerablemente según el modelo de computación: SaaS, PaaS o IaaS. Con ese fin, exploremos brevemente las diferencias entre los modelos de computación en la nube…

Computación en la nube de infraestructura como servicio (IaaS)

En el modelo de Infraestructura como Servicio (IaaS), el proveedor de servicios en la nube se compromete a gestionar y proteger las instalaciones, los centros de datos, las interfaces de red, el procesamiento y los hipervisores. El cliente debe gestionar y proteger la red virtual, las máquinas virtuales, los sistemas operativos, el middleware, las aplicaciones, las interfaces y los datos.

Plataforma como servicio (PaaS) Computación en la nube

Esa división de responsabilidades cambia ligeramente en el modelo de Plataforma como Servicio (PaaS). El proveedor de la nube tiene las mismas obligaciones que el proveedor de IaaS, pero además asume la responsabilidad de la red virtual, las máquinas virtuales, los sistemas operativos y el middleware. La organización del cliente se encarga de proteger y gestionar las aplicaciones, las interfaces y los datos.

Software como servicio (SaaS) Computación en la nube

Con el modelo de Software como Servicio (SaaS), el proveedor de la nube es responsable de la seguridad de todo, desde la infraestructura hasta la aplicación. La organización del cliente debe garantizar la seguridad de sus datos, así como el acceso a la aplicación.

Al final del día, sin embargo, el proveedor de servicios en la nube y la empresa cliente deben trabajar bajo un modelo de responsabilidad compartida con el objetivo final de mantener los datos de la empresa seguros y protegidos. Dicho esto, veamos algunas de las principales amenazas de seguridad en la nube a las que se enfrentan las empresas hoy en día y qué se puede hacer para mitigar el riesgo de estas amenazas.

Configuraciones incorrectas del hardware y/o software en la nube

La gestión de la configuración puede resultar complicada al implementar servicios e infraestructura en la nube, y una configuración incorrecta de un componente o una función crítica puede generar graves vulnerabilidades de seguridad en la nube. El director de programas de seguridad global de Amazon Web Services dijo una vez que su mayor motivo de preocupación es que las aplicaciones de los clientes no estén configuradas adecuadamente en materia de seguridad.

Según el modelo de responsabilidad compartida de AWS, los clientes deben proteger los sistemas operativos invitados que ejecutan en AWS, incluyendo las aplicaciones que ejecutan. Esto deja mucho margen para que se produzcan errores de configuración en la nube.

El Informe sobre la adopción de la nube y los riesgos de 2019 de McAfee confirma que se trata de un gran problema. Según el informe, «las empresas tienen un promedio de 14 instancias de IaaS/PaaS mal configuradas ejecutándose al mismo tiempo, lo que da lugar a un promedio de 2 269 incidentes individuales de configuración incorrecta por mes».

A modo de ejemplo, McAfee informa que el 5,5 % de los buckets de AWS S3 (almacenamiento) tienen «permisos de lectura para todo el mundo», lo que los hace accesibles al público. La empresa de seguridad Symantec afirma que también ha observado permisos de acceso configurados incorrectamente que permitían a cualquiera acceder a información confidencial almacenada en la nube.

El informe «Cloud Adoption and Risk» de McAfee menciona una serie de errores comunes de configuración, entre los que se incluyen:

• El cifrado del depósito S3 no está activado
• Hay acceso saliente sin restricciones
• Los registros de flujo de VPC están desactivados
• La autenticación multifactorial no está habilitada para los usuarios de IAM
• El cifrado de datos de EBS no está activado
• El acceso a los recursos no se aprovisiona mediante roles de IAM
• El puerto del grupo de seguridad de EC2 está mal configurado
• El acceso entrante del grupo de seguridad de EC2 está mal configurado
• Se ha descubierto una AMI sin cifrar
• Se han detectado grupos de seguridad no utilizados

Para evitar estos y otros errores de configuración en la nube, a menudo basta con prestar atención a los aspectos básicos:

• Conozca los controles de seguridad disponibles y las configuraciones y comportamientos predeterminados de cada componente del sistema.
• Asegúrese de que el cifrado de datos esté activado cuando sea posible.
• Aplicar la autenticación multifactorial para realizar acciones importantes.
• Utilice el principio de privilegios mínimos en todos los sistemas.
• Cambie las credenciales predeterminadas y los ajustes de configuración para adaptarlos a sus necesidades.
• Instituto de políticas y prácticas de control de cambios.
• Realice auditorías de seguridad y revisiones de configuración para asegurarse de que su entorno no presente problemas de configuración incorrecta que puedan generar riesgos de seguridad.
• Asegúrese de que los registros estén activados y recopilen información que pueda analizarse para detectar amenazas de seguridad.
• Adopte la automatización y utilice tecnologías que analicen continuamente los recursos mal configurados y solucionen los problemas en tiempo real.

Gestión de identidades y accesos (IAM)

En la nube, los problemas relacionados con la gestión de identidades y accesos suponen un riesgo muy elevado y pueden incluir el acceso no autorizado, el robo de credenciales, el uso indebido de credenciales por parte de empleados y mucho más.

Según el informe «Cloud Adoption and Risk» de McAfee, «en promedio, las organizaciones sufren 12,2 incidentes al mes en los que un tercero no autorizado aprovecha credenciales de cuentas robadas para acceder a datos corporativos almacenados en un servicio en la nube. Estos incidentes afectan al 80,3 % de las organizaciones al menos una vez al mes. Además, el 92 % de las empresas tienen credenciales de la nube a la venta en la Dark Web».

Symantec resume la gravedad de la filtración de credenciales de acceso a la nube: «Los atacantes pueden vender las credenciales de acceso a la nube robadas en foros clandestinos por entre 7 y 8 dólares estadounidenses cada una. En la mayoría de los casos, los atacantes hacen un uso indebido de las cuentas robadas para alojar sus propios servidores de comando y control (C&C) o sitios maliciosos en la nube, con la esperanza de poder aprovecharse de la confianza que los usuarios puedan tener en el dominio. Algunos atacantes hacen un uso indebido de los recursos robados para minar criptomonedas o lanzar ataques de denegación de servicio distribuido (DDoS). Por supuesto, las credenciales filtradas o robadas también pueden utilizarse para acceder a la infraestructura del cliente y extraer datos». Este último resultado es lo que más temen las empresas.

Los actores maliciosos que se hacen pasar por usuarios legítimos pueden leer, modificar y eliminar datos. Los hackers también pueden ejecutar funciones de control y gestión, espiar datos en tránsito y liberar malware que parece provenir de una fuente legítima. Las formas más comunes de robar credenciales de acceso a la nube son a través de correos electrónicos de phishing, ataques de fuerza bruta contra contraseñas fáciles de adivinar o malware que roba información.

Existen varias prácticas recomendadas que ayudan a prevenir el uso indebido de credenciales y accesos en la nube, entre ellas:

• Automatice la rotación de claves criptográficas y contraseñas
• Utilice un sistema escalable de gestión de identidades y credenciales
• Utilice la identificación multifactorial
• Utilice contraseñas seguras
• Limite el uso de cuentas root y cuentas de administrador
• Separa y segmenta las cuentas, las nubes privadas virtuales (VPC) y los grupos de identidades según las necesidades de la empresa y el principio del privilegio mínimo
• Eliminar credenciales y privilegios no utilizados

Incapacidad para proteger, inspeccionar y responder de manera eficaz a las amenazas en la nube

Como señala el informe de McAfee, los incidentes de seguridad ya no se limitan a las computadoras y las aplicaciones de la red, debido principalmente a la magnitud de los datos corporativos almacenados actualmente en la nube, así como al gran número de eventos que tienen lugar en ella. Sin embargo, muchas organizaciones aún no han adaptado sus programas de seguridad para hacer frente a las amenazas cibernéticas en la nube.

Las herramientas tradicionales de seguridad de endpoints, como las plataformas de detección y respuesta en endpoints (EDR) y el software antivirus de próxima generación (NGAV), no están optimizadas para la detección y respuesta en la nube. Muchas de estas soluciones requieren un agente para recopilar datos, lo que puede no ser posible en implementaciones en la nube. No obstante, es fundamental que los equipos de seguridad y los responsables de la respuesta a incidentes puedan descubrir, inventariar, inspeccionar, detectar y responder a incidentes de seguridad en cargas de trabajo de AWS sin instalar agentes, implementar contenedores ni navegar por la consola de AWS.

Aquí entra en juego el modelo de responsabilidades compartidas. Su proveedor de servicios en la nube es responsable de supervisar la infraestructura y los servicios que se le brindan a su empresa, pero no es responsable de supervisar los sistemas y las aplicaciones que su empresa crea utilizando los servicios proporcionados, ni los datos que usted coloca en la nube. El proveedor de la nube puede proporcionarle a su organización información de supervisión relacionada con su uso de los servicios de la nube. Esta información debe utilizarse para complementar los datos de sus propias herramientas de supervisión.

Para sus activos, aplicaciones e infraestructuras en la nube, necesita una herramienta que pueda identificar, investigar y ayudarle a eliminar de forma proactiva las amenazas y vulnerabilidades presentes en su entorno de nube. Además, si cuenta con una implementación de nube híbrida, elija una herramienta que pueda detectar y responder tanto en sus entornos locales como en la nube.

Si ya hace un tiempo que utilizas tus aplicaciones en la nube y no te sientes seguro respecto a tu nivel de seguridad en la nube, contáctanos para programar una evaluación de seguridad en la nube sin agentes que permita detectar amenazas desconocidas, vulnerabilidades y otros riesgos presentes en tus entornos en la nube. Saber qué se esconde —o qué no se esconde— en tu nube es el primer paso para eliminar el riesgo.