El Cloud computing continúa transformando la forma en que las organizaciones utilizan, almacenan y comparten datos, aplicaciones y cargas de trabajo, pero también conlleva nuevas amenazas y desafíos de seguridad. Con tantos datos entrando en la nube y en los servicios de nube pública en particular, estos recursos se convierten en objetivos para actos malintencionados.

“El volumen de utilización de la nube pública está creciendo rápidamente, por lo que inevitablemente conduce a un mayor cuerpo de cosas sensibles que potencialmente están en riesgo”, dice Jay Heiser, vicepresidente y jefe de seguridad en la nube de Gartner, Inc.

Contrariamente a lo que muchos podrían pensar, la principal responsabilidad de proteger los datos corporativos en la nube no recae en el proveedor de servicios, sino en quien utiliza la nube, el cliente. “Estamos en un período de transición de seguridad en la nube en el que el enfoque está cambiando del proveedor al cliente”.

Para identificar las principales preocupaciones, Cloud Security Alliance (CSA) realizó una encuesta de expertos de la industria para recopilar opiniones profesionales sobre los mayores problemas de seguridad dentro de la computación en la nube. Estos son los principales problemas de seguridad en la nube (clasificados en orden de gravedad por resultados de la encuesta):

1. Violaciones de datos

Las infracciones pueden causar un gran daño financiero y en la reputación. Podrían resultar potencialmente en pérdidas de propiedad intelectual y responsabilidades jurídicas significativas.

Las principales amenazas de violación de datos incluyen:

• Los atacantes quieren datos, por lo que las empresas deben definir el valor de sus datos y el impacto de su pérdida.
• Quién tiene acceso a los datos es una pregunta clave para resolverlos.
• Los datos accesibles a Internet son los más vulnerables a la mala configuración o explotación.
• El cifrado puede proteger los datos, pero con una compensación en el rendimiento y la experiencia del usuario.
• Las empresas necesitan planes de respuesta a incidentes robustos y probados que tomen en cuenta a los proveedores de servicios en la nube.

2. Configuración incorrecta y control inadecuado de cambios

Esta es una amenaza no sorprende dados los muchos ejemplos de empresas que exponen datos accidentalmente a través de la nube.

No es sólo la pérdida de datos de la que las empresas tienen que preocuparse sino la eliminación o modificación de recursos hechos con la intención de interrumpir el negocio. Las malas prácticas de control de cambios y los errores de configuración incorrecta son algunas de las causas.

La configuración incorrecta y el control inadecuado de cambios incluyen:

• La complejidad de los recursos basados en la nube los hace difíciles de configurar.
• No espere que los controles tradicionales y los enfoques de administración de cambios sean eficaces en la nube.
• Utilice la automatización y las tecnologías que analizan continuamente en busca de recursos mal configurados.

3. Falta de arquitectura y estrategia de seguridad en la nube

Este problema es tan antiguo como la nube. El deseo de minimizar el tiempo necesario para migrar sistemas y datos a la nube suele tener prioridad sobre la seguridad. Como resultado, la empresa entra en funcionamiento en la nube utilizando infraestructura de seguridad y estrategias que no fueron diseñadas para ella. El hecho de que esto apareciera en la lista para 2020 indica que más empresas lo reconocen como un problema.

La falta de arquitectura y estrategia de seguridad en la nube incluyen:

• La arquitectura de seguridad debe alinearse con los objetivos y objetivos empresariales.
• Desarrollar e implementar un marco de arquitectura de seguridad.
• Mantenga los modelos de amenazas actualizados.
• Implemente la capacidad de supervisión continua.

4. Identidad insuficiente, credencial, acceso y gestión de claves

Otra amenaza es la gestión y el control inadecuados del acceso en torno a datos, sistemas y recursos físicos, como salas de servidores y edificios. El informe señala que la nube requiere que las organizaciones cambien prácticas relacionadas con la administración de identidades y accesos (IAM). Las consecuencias de no hacerlo, según el informe, podrían dar lugar a incidencias de seguridad y violaciones causadas por:

• Credenciales insuficientemente protegidas
• Falta de rotación automatizada de claves criptográficas, contraseñas y certificados
• Falta de escalabilidad
• Falta de uso de la autenticación multifactor
• Falta de uso de contraseñas seguras

La identidad insuficiente, la credencial, el acceso y la administración de claves incluyen:

• Cuentas seguras, incluido el uso de la autenticación de dos factores.
• Utilice controles estrictos de identidad y acceso para usuarios e identidades en la nube, en particular, limite el uso de cuentas raíz.
• Segregar y segmentar cuentas, nubes privadas virtuales y grupos de identidades en función de las necesidades empresariales y el principio de privilegios mínimos.
• Adoptar un enfoque programático y centralizado para la rotación de claves.
• Quite las credenciales no utilizadas y los privilegios de acceso.

5. Secuestro de cuentas

El secuestro de cuentas sigue siendo la quinta mayor amenaza en la nube este año. A medida que los intentos de phishing se vuelven más eficaces y dirigidos, el riesgo de que un atacante obtenga acceso a cuentas con privilegios elevados es significativo. El phishing no es la única manera en que un atacante puede obtener credenciales. También pueden adquirirlos comprometiendo el propio servicio en la nube de robarlos a través de otros medios.

Una vez que un atacante puede entrar en el sistema utilizando una cuenta legítima, puede causar una gran cantidad de interrupción, incluyendo robo o destrucción de datos importantes, detener la prestación de servicios o fraude financiero. Por eso se recomienda educar a los usuarios sobre los peligros y signos de secuestro de cuentas para minimizar el riesgo.

Con respecto al secuestro de cuentas incluyen:

• No solo realice un restablecimiento de contraseña cuando se roben las credenciales de la cuenta. Aborde las causas raíz.
• Un enfoque de defensa en profundidad y controles de control de acceso fuertes son la mejor defensa.

6. Amenazas internas

Las amenazas de los expertos de confianza son tan graves en la nube como con los sistemas locales. Los expertos pueden ser empleados actuales o anteriores, contratistas o un socio comercial de confianza, cualquier persona que no tenga que romper las defensas de una empresa para acceder a sus sistemas.

Un experto no necesita tener intención maliciosa de hacer daño; podrían poner en riesgo involuntariamente los datos y los sistemas. Un estudio sobre el costo de las amenazas internas de Ponemon Institute de 2018, que afirma que el 64% de todos los incidentes de información privilegiada reportados se debieron a negligencia de empleados. Esa negligencia podría incluir servidores en la nube mal configurados, almacenar datos confidenciales en un dispositivo personal o ser víctima de un correo electrónico de phishing.

Las principales conclusiones con respecto a las amenazas internas incluyen:

• Llevar a cabo la capacitación y la educación de los empleados sobre las prácticas adecuadas para proteger los datos y los sistemas. Hacer de la educación un proceso continuo.
• Audite y corrija regularmente servidores en la nube mal configurados.
• Restringir el acceso a sistemas críticos.

7. Interfaces y API inseguras

Cayendo al número siete desde el número tres el año pasado, las interfaces inseguras y las API son un vector de ataque común. En 2018, el servicio de redes sociales experimentó una brecha que afectó a más de 50 millones de cuentas que fue el resultado de una vulnerabilidad introducida en su función View As. Especialmente cuando se asocia con interfaces de usuario, las vulnerabilidades de API pueden dar a los atacantes una ruta clara para robar credenciales de usuario o empleado.

Las principales conclusiones con respecto a las interfaces y API inseguras incluyen:

• Emplee buenas prácticas de API, como la supervisión de artículos como inventario, pruebas, auditorías y protecciones anormales de la actividad.
• Proteja las claves de API y evite la reutilización.
• Considere la posibilidad de un marco de API abierto, como la interfaz de computación en la nube abierta (OCCI) o la interfaz de administración de infraestructura en la nube (CIMI).

8. Plano de control débil

Un plano de control abarca los procesos de duplicación de datos, migración y almacenamiento. El plano de control es débil si la persona a cargo de estos procesos no tiene control total sobre la lógica, la seguridad y la verificación de la infraestructura de datos. Las partes interesadas controladoras deben comprender la configuración de seguridad, cómo fluyen los datos y las cegueras arquitectónicas detectan o debilidades. Si no lo hace, podría producirse una filtración de datos, la indisponibilidad de los datos o la corrupción de datos.

Las principales conclusiones con respecto a un plano de control débil incluyen:

• Asegúrese de que el proveedor de servicios en la nube ofrece los controles de seguridad necesarios para cumplir con las obligaciones legales y legales.
• Realice la debida diligencia para garantizar que el proveedor de servicios en la nube posea un plano de control adecuado.

9. Fallos en la metaestructura y la estructura de aplicaciones

La metaestructura de un proveedor de servicios en la nube contiene información de seguridad sobre cómo protege sus sistemas y divulga esa información a través de llamadas a la API. Las API ayudan a los clientes a detectar el acceso no autorizado, pero también contienen información muy sensible, como registros o datos del sistema de auditoría.

Esta línea de flotación también es un punto potencial de falla que podría dar a los atacantes acceso a los datos o la capacidad de interrumpir a los clientes de la nube. La implementación deficiente de la API suele ser la causa de una vulnerabilidad. Por otro lado, es posible que los clientes no entiendan cómo implementar correctamente las aplicaciones en la nube. Esto es particularmente cierto cuando conectan aplicaciones que no estaban diseñadas para entornos en la nube.

Las principales conclusiones con respecto a los fallos de metaestructura y aplicación incluyen:

• Asegúrese de que el proveedor de servicios en la nube ofrece visibilidad y expone mitigaciones.
• Implemente las características y controles adecuados en diseños nativos de la nube.
• Asegúrese de que el proveedor de servicios en la nube realiza pruebas de penetración y proporciona hallazgos a los clientes.

10. Visibilidad limitada del uso de la nube

Una queja común entre los profesionales de la seguridad es que un entorno en la nube los hace ciegos a gran parte de los datos que necesitan para detectar y prevenir actividades maliciosas. Este desafío limitado de visibilidad de uso se divide en dos categorías: uso de aplicaciones no autorizadas y uso indebido de aplicaciones sancionadas.

Las aplicaciones no autorizadas son esencialmente shadow IT: los empleados de aplicaciones usan sin permiso ni soporte de TI o seguridad. Cualquier aplicación que no cumpla con las directrices corporativas de seguridad representa un riesgo que el equipo de seguridad podría desconocer.

El uso indebido de la aplicación sancionada podría ser una persona autorizada que usa una aplicación aprobada o un actor de amenazas externas que usa credenciales robadas. Los equipos de seguridad deben ser capaces de distinguir entre usuarios válidos e inválidos mediante la detección de comportamientos fuera de norma.

Las principales ventajas con respecto a la visibilidad limitada del uso de la nube incluyen:

• Desarrolle un esfuerzo de visibilidad de la nube desde arriba hacia abajo que se vincule a las personas, los procesos y la tecnología.
• Lleve a cabo una capacitación obligatoria en toda la empresa sobre las políticas de uso de la nube aceptadas y la aplicación de la aplicación.
• Pida al arquitecto de seguridad en la nube o al personal de gestión de riesgos de terceros que eview todos los servicios en la nube no aprobados.
• Invierta en un agente de seguridad de acceso a la nube (CASB) o puertas de enlace definidas por software (SDG) para analizar las actividades de salida.
• Invierta en un firewall de aplicaciones web para analizar las conexiones entrantes.
• Implemente un modelo de confianza cero en toda la organización.

11. Abuso y mal uso de los servicios en la nube

Los atacantes utilizan cada vez más servicios legítimos en la nube para apoyar sus actividades. Por ejemplo, pueden usar un servicio en la nube para alojar malware encubierto en sitios como GitHub, lanzar ataques DDoS, distribuir correo electrónico de phishing, extraer moneda digital, ejecutar fraude de clics automatizado o llevar a cabo un ataque de fuerza bruta para robar credenciales.

La CSA dijo que los proveedores de servicios en la nube deben tener mitigaciones para prevenir y detectar abusos como fraude de instrumentos de pago o mal uso de los servicios en la nube. También es importante que los proveedores de nube tengan un marco de respuesta a incidentes para responder al uso indebido y permitir que los clientes denuncien el uso indebido.

Las principales conclusiones con respecto al abuso y el uso indebido de los servicios en la nube incluyen:

• Supervise el uso de la nube de los empleados para detectar abusos.
• Emplee soluciones de prevención de pérdida de datos en la nube (DLP) para supervisar y detener la exfiltración de datos.

Fuente: CSO Online