La evolución de la ciberseguridad, y el papel que ha tomado dado el crecimiento que ha experimentado la exportación de procesos a la nube por parte de la compañías, es imprescindible en la actualidad. Las empresas se han lanzado a la migración de sus aplicaciones y servicios a entornos cloud. Unos por necesidad ya que no tenían preparados los entornos para acceder a través de VPN o si los tenían eran para unos pocos usuarios y no para toda la empresa. Otros porque se han dado cuenta de que realmente es una solución buena y con ahorros de coste si se sabe utilizar.
Estos cambios nos van a llevar a ver en los próximos meses ataques a estos entornos, que por mucho que nos esforzamos en decir que son seguros (sí que lo son) las inseguridades vienen desde otros lados.
Por ello, las empresas deberían reforzar unos aspectos a los que hasta ahora no prestaban demasiada atención.
Antes se seguían las especificaciones del fabricante o del departamento donde nos decían que se necesitaba, se aprovisionaba y nos dedicábamos a securizar sobre todo los accesos, ya sea mediante el control de redes, control de usuarios o permisos varios. Hace tiempo que la mayoría de las empresas trabajan con entornos virtualizados y casi todo se aprovisiona con esta tecnología, ya sea en sistemas completos o mediante contenedores, entonces ¿se puede subir directamente esto a entornos en Cloud? La verdad es que sí, y este sería nuestro primer error de seguridad y nos deberíamos hacer las siguientes preguntas:
¿Hemos comprobado la seguridad del código?
En un entorno dentro de nuestra casa es un problema, pero en un entorno con acceso desde la red es un grave problema. Pero claro, aquí también se plantean dos escenarios, si no somos propietarios del código es muy difícil que nos dejen verificar si el código es seguro o no, por lo que recomendaría pasar a un servicio en SaaS y así delegar la seguridad y responsabilidad al proveedor, pero si somos propietarios del código este sería un buen comienzo antes de subir algo a la nube, comprobar los posibles bugs de seguridad, ya sea de la tecnología o del código en si es fundamental para evitar posteriores sustos.
FortiFy y BugScout son dos buenas herramientas, la primera tiene un coste elevado, por lo que si el presupuesto no lo permite os recomendaría la segunda. Muchos opinarán que Kuiwan se me ha olvidado, pero opino que las dos primeras son más potentes, pero como todo es opinable.
Después de saber que nuestro código es seguro nos podríamos preguntar, ¿cómo hemos desplegado el entorno? Está claro que tener un buen bastionado de nuestro entorno cloud, ya sea en una red pública como privada, es algo que tendremos que revisar constantemente de la misma manera que antes revisábamos que nuestras redes estuvieran seguras.
¿Hemos automatizado el despliegue?
Algo que debemos tener previsto es la automatización del despliegue de nuestros servicios, ya sea por poder tener un entorno elástico que crezca o disminuya según las necesidades de cada momento (o se apague/encienda porque hay horas que no se utiliza el sistema y ahora se paga por uso, recordadlo).
Algo que considero imprescindible sería tener entornos inmutables y el poder aislar rápidamente un entorno porque hemos detectado una incidencia y hay necesidad de seguir dando el servicio con un nuevo despliegue.
Esto es muy interesante desde el punto de vista de seguridad, ya que tener la posibilidad de aislar un entorno en el que hemos detectado una incidencia nos permitirá estudiar el problema y solventarlo de manera más eficiente en los siguientes despliegues.
La gestión de las identidades en la evolución de la ciberseguridad
Y por último, la gestión de las identidades (IAM). En nuestros servicios internos buscábamos un single sing-on donde, normalmente nos apoyábamos en un LDAP y un Directorio Activo para la autentificación de los distintos sistemas y conseguíamos la triple A (Autentificación – Autorización – Auditoría). Pues ahora deberíamos tener lo mismo, pero en un entorno cloud donde deberemos compaginar y dejar de pensar en roles por persona y pensar en “desde dónde accedemos, cómo accedemos y a qué accedemos”.
Un buen sistema IAM debe de ser capaz de integrarse en los servicios SaaS que tengamos contratados, así como los sistemas PaaS e IaaS, pero también debería ser capaz de integrarse con nuestros sistemas internos LDAP y Directorio Activo para conseguir una gestión única de los distintos servicios que tenemos disponibles.
Una última cuestión sobe la gestión de identidades, es muy complejo y desde mi punto de vista no se debería abordar como un solo proyecto, sino como múltiples proyectos que vayan integrando poco a poco los distintos servicios, de otra manera puedes morir en el intento.
No quiero acabar estas líneas sin recordar que una parte fundamental de la evolución de la ciberseguridad reside en controlar los logs, quizás más ahora que nunca, ya que como bien me dijo una vez un buen amigo “en los logs encontrarás la verdad de tu sistema”. Integrar en un buen SIEM, los logs de los entornos cloud, nos ayudará mucho a comprender que está pasando en nuestro entorno y detectar posibles ataques o accesos indebidos.
Por ello, dado el papel y la evolución de la ciberseguridad, los perfiles y servicios que más demanda tendrán en los próximos meses serán los DEVSECOPS, arquitectos seguridad cloud y los de cumplimiento normativo que garanticen que los servicios no incumplen o ponen en riesgos los sistemas.
Recordatorio: que haya nuevas necesidades no implica que nos olvidemos de lo que estábamos realizando hasta ahora hasta que deje de prestar completamente el servicio y sea des-aprovisionando de nuestro entorno.
Artículo de José María Pulgar, CISO en Bosonit.
