Hablamos de seguridad en la nube

Sobreexposición

Digámoslo de esta manera, ¿qué te preocupa exponer? ¿Cuáles son sus activos más valiosos? ¿Su número de seguro social? ¿La información de tu cuenta bancaria? ¿Documentos privados o fotografías? ¿Tu frase semilla criptográfica? Si administra una empresa o es responsable de la custodia de datos, es posible que le preocupe que el mismo tipo de información se vea comprometida, pero en abroadescala. Sus clientes le han confiado la protección de sus datos.

Como consumidores, damos por sentada la seguridad de nuestros datos. Cada vez es más frecuente que los datos se almacenen en la nube. Varios proveedores ofrecen servicios que permiten a los clientes realizar copias de seguridad de los datos de sus computadoras locales en la nube. Piense en ello como un disco duro virtual en el cielo. Esto se anuncia como una forma segura y conveniente de proteger sus datos. Conveniente, sí. Puedes recuperar un archivo que hayas eliminado accidentalmente. Puede restaurar un disco duro completo cuyos datos estaban dañados.

¿Pero es seguro? Se le proporciona un candado y una llave. La clave suele ser un nombre de usuario y una contraseña. Está encriptado y sólo usted lo conoce. Es por eso que los expertos en seguridad recomiendan mantener segura su contraseña. Si alguien obtiene acceso a su contraseña, tiene la clave virtual de su casa virtual.

Tú sabes todo esto. Su contraseña para el servicio de respaldo en la nube tiene 16 caracteres, contiene letras mayúsculas y minúsculas, números y un par de caracteres especiales. Lo cambias cada seis meses porque sabes que eso se lo pone más difícil al hacker. Es diferente de sus otras contraseñas: no utiliza la misma contraseña para varios sitios. ¿Qué puede salir mal?

Algunas empresas ofrecen lo que han denominado "Nube personal". occidental Digital es una de esas empresas que ofrece una forma sencilla de realizar una copia de seguridad de sus datos en su espacio personal en una nube. Es almacenamiento en red disponible a través de Internet. Se conecta a su enrutador Wi-Fi para que pueda acceder a él desde cualquier lugar dentro de su red. Convenientemente, debido a que también está conectado a Internet, puede acceder a sus datos personales desde cualquier lugar de Internet. La conveniencia conlleva riesgos.

Una posición comprometedora

A principios de este año, los piratas informáticos irrumpieron en Occidente Digitalde los sistemas y pudimos descargar aproximadamente 10 Tb de datos. Luego, los chantajistas retuvieron los datos para pedir un rescate e intentaron negociar un acuerdo por encima de los 10,000,000 de dólares estadounidenses para la devolución segura de los datos. Los datos son como el petróleo. O tal vez el oro sea una mejor analogía. Uno de los piratas informáticos habló bajo condición de anonimato. ¡Ja! TechCrunch Lo entrevisté mientras estaba en el proceso de este negocio. Lo interesante es que los datos que fueron comprometidos incluían a países occidentales. DigitalCertificado de firma de código. Este es el equivalente tecnológico de un escaneo de retina. El certificado tiene por objeto identificar positivamente al propietario o portador. Con este escaneo de retina virtual, no se requiere contraseña para acceder a datos "seguros". En otras palabras, con este certificado este empresario de sombrero negro puede entrar directamente por la puerta principal del digital palacio.

occidental Digital declinó hacer comentarios en respuesta a las afirmaciones del pirata informático de que todavía estaban en la red de WD. El hacker anónimo expresó su decepción porque los representantes de Western Digital no le devolvía las llamadas. Oficialmente, en un comunicado de prensa, Occidental Digital anunció que, "según la investigación hasta la fecha, la Compañía cree que la parte no autorizada obtuvo ciertos datos de sus sistemas y está trabajando para comprender la naturaleza y el alcance de esos datos". Entonces, occidental Digital es mamá, pero el hacker está parloteando. En cuanto a cómo lo hicieron, el hacker describe cómo explotaron vulnerabilidades conocidas y pudieron obtener acceso a los datos en la nube como administrador global.

Un administrador global, por la naturaleza de su función, tiene acceso a todo. No necesita tu contraseña. Él tiene la llave maestra.

occidental Digital no está solo

A encuesta El año pasado se encontró que el 83% de las empresas encuestadas habían tenido más de uno violación de datos, el 45% de los cuales estaban basados ​​en la nube. El promedio El costo de una violación de datos en los Estados Unidos fue de 9.44 millones de dólares. Los costos se dividieron en cuatro categorías: negocios perdidos, detección y escalamiento, notificación y respuesta posterior a la infracción. (No estoy seguro de en qué categoría se encuentra el rescate de datos. No está claro si alguno de los encuestados pagó las demandas de rescate). El tiempo promedio que le toma a una organización identificar y responder a una violación de datos es de aproximadamente 9 meses. No sorprende, entonces, que varios meses después de que Occidente Digital Aunque reconocieron por primera vez una violación de datos, todavía están investigando.

Es difícil decir exactamente cuántas empresas han sufrido violaciones de datos. Conozco una gran empresa privada que fue atacada por ransomware. Los propietarios se negaron a negociar y no pagaron. En cambio, eso significó la pérdida de correos electrónicos y archivos de datos. Eligieron reconstruir todo, desde copias de seguridad no infectadas y reinstalar el software. Hubo importantes tiempos de inactividad y pérdida de productividad. Este evento nunca estuvo en los medios. Esa empresa tuvo suerte porque 66% de las pequeñas y medianas empresas que son atacadas por ransomware terminan cerrando en un plazo de 6 meses.

• 30,000 sitios web son hackeado todos los días
• 4 millones de archivos son robada diario
• 22 mil millones de registros fueron violado en 2021

Si alguna vez hizo negocios o utilizó los servicios de Capital One, Marriott, Equifax, Target o Uber, es posible que su contraseña haya sido comprometida. Cada una de estas importantes empresas sufrió una importante filtración de datos.

• Capital One: un pirata informático obtuvo acceso a 100 millones de clientes y solicitantes explotando una vulnerabilidad en la infraestructura de nube de la empresa.
• Marriott: Una filtración de datos expuso información de 500 millones de clientes (esta filtración no fue detectada durante 4 años).
• Equifax: La información personal en la nube de 147 millones de clientes quedó expuesta.
• Objetivo: los ciberdelincuentes accedieron a 40 millones de números de tarjetas de crédito.
• Uber: los piratas informáticos comprometieron la computadora portátil de un desarrollador y obtuvieron acceso a 57 millones de usuarios y 600,000 conductores.
• Ultimo pase^{[ 1 ]}: Los piratas informáticos robaron los datos de la bóveda de 33 millones de clientes en una violación del almacenamiento en la nube para esta empresa de gestión de contraseñas. El atacante obtuvo acceso al almacenamiento en la nube de Lastpass utilizando una “clave de acceso al almacenamiento en la nube y claves de descifrado de contenedor de almacenamiento dual” robadas de su entorno de desarrollador.

Puede verificar si ha estado expuesto a una violación de datos en este sitio web: ¿he sido pwned? Escriba su dirección de correo electrónico y le mostrará en cuántas violaciones de datos se ha encontrado la dirección de correo electrónico. Por ejemplo, escribí una de mis direcciones de correo electrónico personales y descubrí que había sido parte de 25 violaciones de datos diferentes, incluida Evite. , Dropbox, Adobe, LinkedIn y Twitter.

Frustrar pretendientes no deseados

Quizás nunca haya un reconocimiento público por parte de Occidente. Digital de lo que pasó exactamente. El incidente ilustra dos cosas: los datos en la nube son tan seguros como sus guardianes y los guardianes de las claves deben ser especialmente cuidadosos. Parafraseando el principio de Peter Parker, el acceso root conlleva una gran responsabilidad.

Para ser más precisos, un usuario root y un administrador global no son exactamente lo mismo. Ambos tienen mucho poder pero deberían ser cuentas separadas. El usuario root posee y tiene acceso a la cuenta de nube corporativa en el nivel más bajo. Como tal, esta cuenta podría eliminar todos los datos, máquinas virtuales, información del cliente, todo lo que una empresa ha protegido en la nube. En AWS, solo hay tareas 10, incluida la configuración y el cierre de su cuenta de AWS, que realmente requieren acceso raíz.

Se deben crear cuentas de administrador para realizar tareas administrativas (obviamente). Por lo general, hay varias cuentas de administrador que suelen estar basadas en personas, a diferencia de la cuenta raíz única. Debido a que las cuentas de administrador están vinculadas a un individuo, puede monitorear fácilmente quién realizó qué cambios en el entorno.

Mínimo privilegio para máxima seguridad

La encuesta sobre violación de datos estudió el impacto de 28 factores en la gravedad de una violación de datos. El uso de seguridad de IA, un enfoque DevSecOps, capacitación de empleados, gestión de identidades y acceso, MFA y análisis de seguridad tuvieron un impacto positivo en la reducción de la cantidad promedio de dólares perdidos en un incidente. Mientras que las fallas de cumplimiento, la complejidad del sistema de seguridad, la escasez de habilidades de seguridad y la migración a la nube fueron factores que contribuyeron a un mayor aumento neto en el costo promedio de una violación de datos.

A medida que migra a la nube, debe estar más atento que nunca a la hora de proteger sus datos. A continuación se muestran algunas formas adicionales de reducir el riesgo y gestionar un entorno más seguro desde un EN LINEA punto de vista:

1. Autenticación multifactor: hacer cumplir MFA para root y todas las cuentas de administrador. Aún mejor, utilice un dispositivo MFA de hardware físico. Un hacker potencial necesitaría no sólo el nombre de la cuenta y la contraseña, sino también el MFA físico que genera un código sincronizado.

2. Poder en pequeñas cantidades: Limite quién tiene acceso a la raíz. Algunos expertos en seguridad sugieren no más de 3 usuarios. Gestione asiduamente el acceso de los usuarios root. Si ejecuta la gestión de identidad y la baja en ningún otro lugar, hágalo aquí. Si alguien del círculo de confianza abandona la organización, cambie la contraseña de root. Recupere el dispositivo MFA.

3. Privilegios de cuenta predeterminados: Al aprovisionar nuevas cuentas de usuario o roles, asegúrese de que se les otorguen privilegios mínimos de forma predeterminada. Comience con una política de acceso mínimo y luego otorgue permisos adicionales según sea necesario. El principio de proporcionar la menor seguridad para realizar una tarea es un modelo que pasará los estándares de cumplimiento de seguridad SOC2. El concepto es que cualquier usuario o aplicación debe tener la seguridad mínima requerida para realizar la función requerida. Cuanto mayor sea el privilegio comprometido, mayor será el riesgo. Por el contrario, cuanto menor sea el privilegio expuesto, menor será el riesgo.

4. Privilegios de auditoría: Audite y revise periódicamente los privilegios asignados a usuarios, roles y cuentas dentro de su entorno de nube. Esto garantiza que las personas tengan sólo el permiso necesario para realizar las tareas designadas.

5. Gestión de identidades y privilegios justo a tiempo: Identifique y revoque cualquier privilegio excesivo o no utilizado para minimizar el riesgo de acceso no autorizado. Sólo otorgar derechos de acceso a los usuarios cuando los requieran para una tarea específica o por un período limitado. Esto minimiza la superficie de ataque y reduce la ventana de oportunidad para posibles amenazas a la seguridad.

6. Credenciales integradas: Prohibir la codificación rígida de autenticación no cifrada (nombre de usuario, contraseña, claves de acceso) en scripts, trabajos u otros códigos. En lugar de eso, mire hacia un administrador de secretos que puede utilizar para recuperar credenciales mediante programación.

7. Configuración de infraestructura como código (IaC): Siga las mejores prácticas de seguridad al configurar su infraestructura en la nube utilizando herramientas de IaC como AWS CloudFormation o Terraform. Evite otorgar acceso público de forma predeterminada y restrinja el acceso a los recursos solo a redes, usuarios o direcciones IP confiables. Utilice permisos específicos y mecanismos de control de acceso para hacer cumplir el principio de privilegio mínimo.

8. Registro de acciones: Habilite el registro y monitoreo completos de acciones y eventos dentro de su entorno de nube. Capture y analice registros en busca de actividades inusuales o potencialmente maliciosas. Implemente soluciones sólidas de gestión de registros y gestión de eventos e información de seguridad (SIEM) para detectar y responder a incidentes de seguridad con prontitud.

9. Evaluaciones periódicas de vulnerabilidad: Realice evaluaciones periódicas de vulnerabilidades y pruebas de penetración para identificar debilidades de seguridad en su entorno de nube. Parche y solucione rápidamente cualquier vulnerabilidad identificada. Realice un seguimiento de las actualizaciones y parches de seguridad publicados por su proveedor de nube y asegúrese de que se apliquen con prontitud para protegerse contra amenazas conocidas.

10. Educación y Entrenamiento: Promover una cultura de concientización sobre la seguridad y brindar capacitación periódica a los empleados sobre la importancia del principio de privilegio mínimo. Infórmeles sobre los riesgos potenciales asociados con privilegios excesivos y las mejores prácticas a seguir al acceder y administrar recursos dentro del entorno de la nube.

11. Parches y actualizaciones: Reduzca las vulnerabilidades actualizando periódicamente todo el software del servidor. Mantenga actualizada su infraestructura de nube y sus aplicaciones asociadas para protegerse contra vulnerabilidades conocidas. Los proveedores de la nube suelen publicar parches y actualizaciones de seguridad, por lo que mantenerse al día con sus recomendaciones es fundamental.

Confía en

Todo se reduce a la confianza: brindar solo a aquellos en su organización la confianza para realizar las tareas que necesitan para realizar su trabajo. Los expertos en seguridad recomiendan Zero Trust. El modelo de seguridad Zero Trust se basa en tres principios clave:

• Verificar explícitamente: utilice todos los puntos de datos disponibles para validar la identidad y el acceso de un usuario.
• Utilice el acceso con privilegios mínimos, justo a tiempo y con la seguridad suficiente.
• Asuma una infracción: cifre todo, emplee análisis proactivos y disponga de una respuesta de emergencia.

Como consumidor de la nube y de sus servicios, también todo se reduce a la confianza. Debe preguntarse: "¿Confío en que mi proveedor almacene mis valiosos datos en la nube?" Confianza, en este caso, significa que usted confía en esa empresa, o en una similar, para gestionar la seguridad como hemos descrito anteriormente. Alternativamente, si su respuesta es negativa, ¿está preparado para realizar los mismos tipos de actividades de gestión de seguridad en su entorno doméstico? ¿Confías en ti mismo?

Como empresa que brinda servicios en la nube, los clientes han depositado su confianza en usted para salvaguardar sus datos en su infraestructura en la nube. Es un proceso continuo. Manténgase informado sobre las amenazas emergentes, adapte sus medidas de seguridad en consecuencia y colabore con profesionales experimentados o consultores de seguridad para garantizar la máxima protección para su empresa en el panorama de la nube en constante evolución.

1. https://www.bleepingcomputer.com/news/security/lastpass-hackers-stole-customer-vault-data-in-cloud-storage-breach/ ↑