Home Sociedad Nueve consejos para evitar los enigmas de configuración de la nube

Nueve consejos para evitar los enigmas de configuración de la nube

Según informes, la reciente brecha de T-Mobile fue el resultado de una configuración errónea que hizo que un punto de acceso fuera accesible públicamente en Internet. Por suerte, hay tácticas que se pueden desplegar para evitar las violaciones de la configuración de la nube y prevenir los errores tanto de la tecnología como de los humanos.

1. Asegure la protección de su red
Para evitar accesos no autorizados, debes asegurar tus puertos y certificar que tus firewalls están configurados correctamente. La microsegmentación, las listas de control de acceso a la red (NACL) y las redes definidas por software (SDN) son algunas de las funcionalidades que pueden ayudar a proporcionar seguridad a la red.

2. Utilizar imágenes gold y enfoques
El uso de imágenes doradas reforzadas por la seguridad y de enfoques como las imágenes de máquina de Amazon (AMI) impone el cumplimiento de los requisitos corporativos de seguridad y conformidad. Cuando la seguridad, el desarrollo y las operaciones trabajan juntos para definir las AMIs doradas, éstas pueden ser diseñadas con controles de seguridad incorporados.

3. Incluir la automatización
Cuando se trata de proteger sus datos, lo último que quiere es un equipo de seguridad agotado, ya que es un caldo de cultivo para el error humano. La automatización libera a los humanos de las tareas mundanas y repetitivas. Incluir la automatización como táctica puede ayudar a eliminar el error humano y proporciona al empleado tiempo libre adicional para centrarse en otras tareas más importantes. Por ejemplo, cuando se añade la automatización a las AMIs doradas, las operaciones pueden extraer la imagen aplicable de una biblioteca de AMIs doradas, replicando eficazmente las instancias de mejores prácticas con menor oportunidad de error humano y agilizando el proceso de construcción.

4. Supervisar las configuraciones
Existen múltiples herramientas para supervisar las configuraciones y garantizar que funcionen correctamente, avisando a los propietarios del sistema cuando una configuración se desvía de su estado esperado y permitiéndoles abordar el cambio. Acoplar las herramientas adecuadas con la automatización también puede agilizar el flujo de trabajo, lo que permitirá que los sistemas se actualicen correctamente.

5. Codificar las configuraciones del sistema
La infraestructura como código (IaC) reduce significativamente los errores al codificar las configuraciones del sistema. Mediante este método, los archivos de configuración se distribuyen más fácilmente, lo que garantiza la coherencia y reduce el riesgo. Puede empezar por desplazar la seguridad hacia la “izquierda”, es decir, incorporarla a la infraestructura desde el principio, para que sea parte integrante del proceso y no un añadido. Si escribes tu IaC con configuraciones seguras desde el principio, entonces tu infraestructura es segura por naturaleza. Si algo cambia, puedes actualizar la plantilla de código de tu infraestructura, actualizando automáticamente la arquitectura en toda la empresa.

6. Gestione adecuadamente los cambios
Cumpla con su proceso de gestión de cambios y asegúrese de que sus archivos de configuración tienen los mismos controles que el resto del código fuente. Cualquier cambio de configuración debe ser revisado por un equipo de DevSecOps o del centro de excelencia de ciberseguridad para que todos los cambios se mantengan en el estado más seguro posible.

7. Haz que sea un entorno ideal
La nube es el entorno perfecto para la infraestructura inmutable, que trata las partes de la infraestructura como si fueran prescindibles. En lugar de crear un servicio o una aplicación completamente nuevos, desvincule los componentes de su aplicación de su infraestructura, de modo que cuando los elementos necesiten una actualización, puedan ser sustituidos fácilmente por una nueva imagen gold reforzada en materia de seguridad, como se ha mencionado anteriormente. Esto reduce el riesgo de una brecha durante el proceso de gestión de cambios.

8. Verifique todo
En todos sus niveles de nube, realice regularmente autoauditorías y asegúrese siempre de comprobar sus controles de seguridad. Algunos programas están diseñados específicamente para sabotear todo su sistema: si ese sistema falla, sabrá que sus tácticas están funcionando. Comúnmente vemos que los proyectos de prueba se convierten en una realidad de producción, y desafortunadamente los desarrolladores no regresan a verificar que la seguridad esté al grado de producción, lo que resulta en debilidades de seguridad.

9. Hazlo fácil
Facilite el seguimiento de los procesos de seguridad; cuanto más fácil sea, más probable será que sus equipos lo cumplan y más seguro será. La nube ayuda a conseguirlo dejando claro qué responsabilidades de seguridad le corresponden a usted y cuáles al proveedor de la nube. Y la automatización de la nube también ayuda mucho. Desde la infraestructura inmutable hasta el cumplimiento continuo y la seguridad como código.

Con información de: Help Net Security.