Episodio 8. Ciberseguridad en AWS: Detección y prevención de amenazas

CompuCloud les da la bienvenida. Hablemos de tecnología en nube. ¿Preparados? Comenzamos.

Hola, soy Daniela Blanco, Coordinadora de servicios profesionales en CompuCloud. En el capítulo de hoy hablaremos acerca de la detección y prevención de vulnerabilidades y amenazas en la nube. La seguridad de la nube es un tema crítico hoy en día, con más empresas migrando a la nube, es esencial implementar medidas de seguridad mucho más robustas para para proteger obviamente la información, los activos, prevenir los ciberataques, garantizar la continuidad del negocio que es lo más vital que tenemos en la organización y sobre todo también cumplir con las regulaciones y proteger la reputación de los individuos y organizaciones en esta era digital. Hoy nos acompaña una de las ingenieras expertas en temas de seguridad en el área de Customer Success.

Hola Dani, gracias por invitarme en esta ocasión.

Gracias, Pau. ¿Qué te parece si nos platicas un poco acerca de las amenazas más comunes en la nube?

Claro que sí, Dani. Pues mira, básicamente las amenazas más comunes en la nube serían en estos casos, por ejemplo, lo que es el robo de credenciales, las inyecciones de código maliciosos, credenciales. En estos casos también es importante hablar no solamente de cómo podemos tener este tipo de amenazas, sino también es importante ver cómo podemos mitigar estos tipos de riesgos, como ya sea el uso de autenticación multifactor, el escaneo de lo que viene siendo buscar las vulnerabilidades que se pueden tener en las infraestructuras y esto a su vez también teniendo como un monitoreo de todas estas actividades sospechosas y sobre todo teniendo un cuidado de hacer un cifrado de lo que viene siendo de un extremo a cualquier extremo.

OK, perfecto. Bien, ahora que nos mencionas acerca de las amenazas, ¿Nos podrías ahora sí que platicar un poquito más acerca de qué es la detección de amenazas y al final de cuentas, cuál es el objetivo de este?

Claro que sí. Mira, básicamente podríamos definir lo que viene siendo la detección de amenazas como todas aquellas actividades proactivas que nosotros como empresa debemos hacer para poder proteger la infraestructura de nuestros clientes. Esto con el objetivo de ya sea descubrir, analizar aquellos comportamientos de los atacantes, también por ejemplo, las pruebas de ciberataques o cualquier otra amenaza potencial que pueda sufrir lo que viene siendo las organizaciones. Es importante mencionar que lo que viene siendo la detección de amenazas, no se debe de quedar nada más en lo que viene siendo descubrir las vulnerabilidades con las cuales podría sufrir una organización, sin embargo también dar un paso más adelante y poder lo que viene siendo detectar cuáles podrían ser los posibles ataques que se podrían obtener en un futuro. También por ejemplo, es importante mencionar que dentro de AWS existen variables, bueno, varias categorías en las cuales los servicios se pueden categorizar o agrupar dependiendo del uso que les demos a estos. En este caso, en este apartado de lo que viene siendo las amenazas, la detección de amenazas, estos podrían entrar por ejemplo en la clasificación de detección y respuestas. Estos servicios básicamente serían por ejemplo que todos estos trabajen en conjunto para poder ayudar a mejorar lo que viene siendo la postura de seguridad. Todo esto hablando en un entorno de AWS mediante lo que es la identificación y la priorización continua de los posibles riesgos que puedan surgir. A su vez también por ejemplo en estas ocasiones se pueden integrar lo que son prácticas de seguridad en lo que viene siendo todo el ciclo de vida del desarrollo.

OK, OK, perfecto. Rescatando eso que comentas acerca sobre la clasificación de la detección y respuesta, ahora sí que en AWS para la detección, ¿Qué servicios o soluciones asignativas de AWS, digamos un cliente tendría que considerar para integrarlos en su carga de trabajo?

Claro, existe una gran variedad de servicios que pueden ser utilizados, sin embargo la selección se hace dependiendo las cargas de trabajo que tenga el cliente, ya que dependiendo las cargas de trabajo se hace la selección. Hablando en términos genéricos, podemos por ejemplo empezar con lo que es CloudTray, ya que CloudTrail es un servicio de seguimiento de actividades y llamadas a la API y con este por ejemplo, este servicio nos permite la realización de ya sea auditorías, la supervisión de lo que son términos de seguridad para llegar a una solución de problemas operativos y a su vez también por ejemplo llevar un registro de todas las actividades que hacen los usuarios y todas las llamadas a la API que se hacen dentro de AWS. Con este servicio básicamente podemos responder al cuestionamiento ¿Qué hizo qué? ¿Y dónde lo hizo?

OK, OK, bien, cloudtrain nos sirve entonces básicamente como un tipo de origen de datos, ¿Hay algún servicio que nos pueda servir para interpretar esta información que nos brinda el servicio?

Claro, por ejemplo también en este caso tenemos un servicio adicional que vendría siendo Warduri, que este básicamente por excelencia es un servicio de detección que con ayuda de lo que viene siendo la inteligencia artificial, sirve como para supervisar de manera continua lo que son todas las cargas de trabajo y las cuentas de AWS, esto con el objetivo de detectar lo que son las actividades maliciosas y una vez realizada esta detección se envían lo que son todos estos hallazgos al ingeniero a cargo para poder tener como una visibilidad de los findings y que el ingeniero pueda encargarse y tener por ejemplo las mejores opciones para llegar a una solución. También es importante comentar que este servicio es muy útil ya que nada más utiliza varios orígenes para obtener sus datos, uno de ellos son los flow logs, otro puede ser los DNS logs y como hacíamos mención también utiliza lo que son los eventos de CloudTrail, hasta el año pasado eran los que se utilizaban, pero adicionalmente como comentó el año pasado se agregaron dos más que vendría siendo en este caso lo que son los clústeres de Kubernetes y también los eventos.

Del plano de s. OK, vale, entiendo que este servicio funciona más a nivel consola, digo, si brinda la información, pero ya entrando un poco más a detalle, ¿Existe algún servicio que se mete un poquito más en las entrañas, ahora sí que de los servidores sin llegar a ser tan invasivo y que nos brinde también información de seguridad importante?

De hecho sí hay un servicio de administración de vulnerabilidades automatizadas conocido como Inspector, este servicio básicamente administra las vulnerabilidades que pueden encontrarse, analiza lo que son las cargas de trabajo en busca de lo que viene siendo cualquier exposición a la red que no sea deseada y a su vez también las vulnerabilidades de software que se puedan encontrar. Ya una vez obtenidos estos resultados nos es muy útil porque contextualiza estas vulnerabilidades en una ponderación, entonces así no nos podemos dar cuenta qué tan grave es la vulnerabilidad que se tiene y pues llegar a una solución.

OK, perfecto, digo, me queda claro lo que hace el servicio, ya abarcamos ahora sí que a nivel consola, a nivel sistema operativo, pero sabemos que un activo importante de las organizaciones son los datos de información, ¿Tenemos algún servicio que pueda servirle a los clientes para implementarlo en su carga de trabajo y proteger o bueno detectar alguna vulnerabilidad?

Claro que sí, de hecho por ejemplo los clientes usan diferentes servicios para la administración de sus datos, pero en este caso me gustaría poner como ejemplo lo que es un buque c no es regla, pero gran parte de los clientes usan este tipo de servicios y un servicio que es como de la mano con un buque de s sería lo que es Messi. Ya. Este servicio básicamente es muy útil para la privacidad y la seguridad de los datos, ya que básicamente utiliza lo que es el machine learning y la coincidencia de patrones para proteger justamente este tipo de información dentro de AWS.

OK, OK, perfecto. Creo que tenemos muy buenos servicios que se pueden estar implementando en diversos ámbitos, al igual que como funciona ahora sí que guardduty para estar interpretando la información. ¿Hay alguna opción también que nos pueda servir para, digo, centralizar toda la información? A veces es como muy complejo tener toda la información regada, entonces ¿Existe alguna forma de tener un solo, digamos, panel, un tablero que concentre todos los datos?

De hecho si, mirada, en realidad hay un servicio que es como muy estratégico en este sentido, se conoce como Security Hub, ya que este servicio, hacer un servicio de gestión de estado de seguridad en la nube, nos permite comprobar lo que viene siendo el cumplimiento de las mejores prácticas y a su vez también podemos lo que viene siendo agregar alertas y también permitir la corrección automática. En este caso hace una integración muy buena con lo que viene siendo Warduri, ya que Warduri puede ahora sí que mandar todos estos datos a Security Hub y estos a su vez en conjunto hacen una centralización y le permiten al ingeniero como tener los datos más visibles y poder llegar a la mejor respuesta ante la vulnerabilidad que se está presentando.

Perfecto. De hecho, sabes, si había escuchado creo que del servicio no recordaba que tenía como la integración y estaba recordando que también tiene compliance con tres, cuatro estándares de seguridad, digo de tres a cuatro porque tres son como más, digamos, estandarizados, o sea que todo mundo puede conocer que es el CIS, el NIS son un poquito más generales y el PCI DSS que es para temas financieros. Pero además recuerdo que AWS también tiene como un estándar. Entonces digo, sí serían como cuatro estándares que estarían aplicando para Security Hub. De lo que me comentas estoy como rescatando que ya tenemos detección a nivel consola, detección a nivel sistema operativo, si lo vemos de alguna forma y detección de las vulnerabilidades en los datos almacenados en los buckets. Dc Otro punto importante que creo que podríamos considerar para proteger ahora sí que los activos, o sea, tener un mejor control en cuanto a las reglas, en cuanto a si alguien cambia, no sé, el tipo de familia de un servidor o alguien, algún curioso va y apaga alguna instancia, ¿Hay forma de saber cuando esto pasa?

Fíjate que es algo muy chistoso porque creo que es algo de lo más común, sobre todo cuando ingenieros apenas están enseñando con su infe y todo ese tipo de cosas, entonces la verdad sí, afortunadamente sí hay un servicio muy útil en este tipo de cuestiones, se llama Config y básicamente lo que es este servicio nos ayuda por ejemplo a reconocer o hacer como una centralización de todos los recursos existentes dentro de la consola de AWS del cliente y a su vez también una vez que ya lo reconoce nos centraliza lo que viene siendo un inventario completo junto con la configuración que se tiene, entonces esto la verdad es de mucha utilidad ya que si en determinado momento hubiese algún cambio, este cambio es detectado por el mismo programa, entonces nos notifica, lo revisamos y a su vez podemos ver qué fue el cambio que se realizó y nos permite hacer como una reconfiguración para que vuelva al estado en el que se encontraba, entonces aparte de eso también nos permite a nosotros crear lo que son reglas personalizadas como para que le demos la indicación, sabes qué de todos estos servicios necesito que me des prioridad a estos y estos puntos. Entonces la verdad sí es muy común en este tipo de cuestiones.

Sí, me imagino, creo que es de los casos más usuales que ha de salir, sobre todo como tú dices cuando están comenzando con infraestructura. Bien, digo, me has proporcionado bastante información muy útil, no sé si quieras añadir algún otro servicio que pueda aplicar o complementar de alguna forma ahora sí que a este conjunto de servicios que de alguna u otra forma se integran entre sí.

Claro que sí, mira me gustaría terminar con el último servicio conocido como TrustAdvisor, básicamente no por ser el último quiere decir que es el menos importante, no, todo lo contrario ya que este servicio nos ayuda bastante optimización de infraestructuras y además de eso también nos ayuda lo que viene siendo tres factores muy importantes que vendría siendo el rendimiento de la infraestructura, la seguridad y sobre todo lo que viene siendo la reducción de los costos, ya que creo que la reducción de los costos es algo vital en AWS para que los clientes tengan un servicio de calidad pero que éste sea a la medida de ellos también por ejemplo también aparte de estas tres cuestiones que te comento también nos ayuda bastante como para brindar recomendaciones basadas en lo que son AWS y nos puede seguir ayudando para mejorar los servicios que ya se usan y los recursos sobre todo este servicio. También es importante mencionar que obviamente su uso en este punto se tiene como por así decirlo dos planes. El primer plan que se tiene sería el de Business y el segundo sería el Enterprise Support que es el nivel de soporte. Exactamente, sería el nivel de soporte. Pues básicamente con estos dos planes podemos tener como quien dice todas las comprobaciones posibles, estas basándose en en el marco del Well architected Framework.

OK, OK, digo creo que estos puntos que mencionas son bastante importantes, creo que complementan bastante la oferta de los clientes, sobre todo, digo si no cuenta por ejemplo en este caso con una póliza de soporte con algún partner, en este caso con Compu Cloud, siempre es bueno contar con el soporte activo en la consola de AWS para tener acceso a esta información. Y eso también me lleva a un punto muy importante. ¿Cómo ayuda CompuCloud a sus clientes? ¿Ahora sí que para poder detectar estas amenazas?

Fíjate que esa es una pregunta muy interesante ya que al ser yo parte del equipo de Customer Success, así que básicamente somos los encargados de ese aspecto y fíjate que sí tenemos varias medidas las cuales priorizamos, sobre todo la parte de la seguridad. Un aspecto muy importante que consideramos es como por ejemplo las auditorías de seguridad. ¿Qué se hace en esta auditoría de seguridad? Básicamente hacemos nosotros como quien dice un corrido detallado de todos y cada uno de los servicios que se tienen en la consola del cliente y a su vez generamos una documentación en automático en la cual nos indica qué puntos el ingeniero o la infraestructura está teniendo como pasadas o como buenas, o sea cuestiones seguras y qué cuestiones están como vulnerables. Aquí por ejemplo para llegar a una solución es importante mencionar lo que viene siendo la responsabilidad compartida de AWS. ¿Por qué digo que es importante? Porque hay puntos vulnerables que pueden ser de nosotros de parte de Compuclot, que nos podemos meter hacia remediaciones de infraestructura, sin embargo si son cuestiones de datos de información privada pues ya es lado del cliente. Entonces básicamente aquí es como todo un trabajo en equipo, comunicación tanto de ambos lados para poder llegar a las posibles soluciones. Entonces esa sería como que uno de los más importantes porque pues ahí es como el énfasis en la seguridad. También por ejemplo hacíamos mención hace unos momentos sobre el servicio de Wartory, también nosotros lo utilizamos, estamos constantemente revisándolo para ver que no haya solicitudes malintencionadas y todo lo que platicábamos hace un momento. Tenemos otro que por ejemplo sería el Help Dashboard. En este Help Dashboard nosotros podemos ver los posibles cambios que se puedan tener en las infraestructuras para así también nosotros estar dando los mantenimientos, estar notificando si es necesario ese tipo de cuestiones. Y me gustaría finalizar con un plus que damos nosotros como departamento, obviamente ya con la infraestructura, con todos los servicios de seguridad necesarios, todo esté funcional, a nosotros nos gusta desarrollar lo que vienen siendo scripts o alarmas personalizadas para cada uno de los clientes y Y estas alarmas nos ayudan como para que estén al pendiente sobre la infraestructura y en el momento que se lance un recurso no autorizado es notificado ahora sí el departamento de Customer Success y se ve la manera de buscar a ver qué fue lo que pasó, por qué se levantó el recurso. Entonces así estamos nosotros como que más seguros de que la infra que se encuentra es la que nosotros levantamos y no hay un tercero metiendo o involucrándose y haciendo pues acciones no requeridas. Entonces básicamente ese sería como nuestro plus para nuestros clientes en estas ocasiones.

Digo, la labor de CompuCloud en este caso es creo que bastante visible cuando ya tienen como activo este servicio. Los proactivos son bastante buenos e interesantes, buscan estar protegiendo y mejorando constantemente la carga de trabajo de los clientes y creo que sí es una excelente alternativa al soporte nativo en la consola, sobre todo también porque va a ser en español.

Básicamente pues la prioridad en Comput Lot es tener al cliente contento y pues con las mejores atenciones posibles.

Excelente.

Y pues bueno, en esta cuestión si te fijas, pues estuvimos hablando lo que eran las detecciones, estuvimos manejando servicios, compartiendo un poco de las cuestiones que pueden surgir en el campo laboral, pero pues estamos de acuerdo que en esta ocasión no es nada más comentar sobre cómo podemos prevenirnos una vez que ya tenemos lo que son todas las partes, perdón. La detección. La detección, Entonces también es importante que mencionemos cuáles son las cuestiones que nosotros debemos de tomar en cuenta para poder tomar acción ante ya los hechos que tenemos en mesa. ¿Entonces Dani, me gustaría que pues también tú como experta en este tipo de cuestiones, me platiques un poquito qué piensas al respecto y si me pudieras dar la definición de para ti qué es la prevención en AWS?

OK, bueno, tocas también un tema bastante interesante. Considero que la prevención es aquel conjunto principalmente de prácticas o habilidades que vamos a estar aplicando y análisis, sobre todo en nuestra infraestructura para poder determinar cuándo nuestra carga de trabajo puede ser vulnerable. Digo, creo que también como bien sabrás, trabajo muchos temas de Well Architect, entonces todo el tema de prevención se comenta sobre el pilar de seguridad que es, podría decir, el pilar más importante de todo el Well Architect, como te mencionaba acerca de realizar análisis, considero que al realizar análisis obviamente obtenemos información y a final de cuentas la información es poder y eso nos permite hacer una muy buena toma de decisiones para saber en qué momento tenemos que accionar alguna actividad y sobre todo poder documentar. Algo que siempre le digo a los clientes en temas de Google Architect es que documentar toda la información o el conocimiento que tienen es importante porque a final de cuentas es el conocimiento de la organización si la vemos así, independientemente de si es Pau o si es Dani, el conocimiento de los procesos que se utilizan y de cómo podemos llegar a remediar alguna alguna amenaza, algún ataque, pues viene siendo de la empresa si lo vemos de alguna forma y es para proteger la continuidad del negocio, independientemente de que tú o yo sigamos aquí, pues va a venir otra persona y si existe la documentación va a poder dar seguimiento a partir de ello. Entonces yo te comentaba acerca del UAV, te decía, este pilar o estas prácticas están diseñadas bajo ciertas metodologías, desarrollada obviamente por AWS, que nos proporciona a final de cuentas directrices y principios que podemos estar utilizando para implementar y operar ahora sí que con un buen rendimiento, tener arquitecturas bastante estables, seguras y eficientes sobre todo y pues bueno, sobre todo que tenga también un alto impacto en la productividad del resto de las organizaciones en este caso.

Sí, efectivamente, bueno, muy interesante, pero me comentabas un punto en específico, me hablabas sobre algunas prácticas diseñadas para la prevención, ¿Me podrías compartir un poco más sobre ese tipo de prácticas? ¿Qué es lo que nosotros debemos de realizar? ¿Qué recomiendas?

OK, bien, como te decía, el Well Architect cuenta con un conjunto de prácticas, son aproximadamente entre 4 y 5 más o menos. La primera de ellas es identificar los objetivos de control y a qué voy con eso. Esta práctica consiste en que las organizaciones tienen que tomar en cuenta los requisitos de su industria. ¿Por qué? Porque entre industria e industria va a estar variando o sí va a haber esa variable de qué estándar o qué tipo de auditoría tienen que estar aplicando. Entramos ahí a temas legales y de conformidad que se deben de tomar en consideración obviamente para el cumplimiento. Hay algunas que son de tipo financiero y deben de hacer pues digamos alguna especie de auditoría con el SAT, por ejemplo, el SAT pide cierto tipo de información, ahí es donde entra también AWS y donde, por eso te mencionaba en el tema de Security Hub, cierto tipo de estándares, lo que era el NIST, el CIS y el PCI DSS, porque son como los estándares más comunes que se pueden solicitar. Y también como un dato, AWS tiene dentro de la consola, aparece como un servicio, se llama Artifact y ahí es donde podemos llegar a encontrar la documentación de las auditorías que AWS tiene en cada una de, digamos, sus regiones, porque también entre países va a haber temas de conformidad diferente. Entonces, un caso reciente que tuvimos es que nos están solicitando la documentación de del SOC o de tengo este caso, quiero saber qué tipo de documento me sirve y si me lo pueden proporcionar. Ya nosotros llegamos a buscar en la plataforma, descargamos el documento y hay pues ahora sí que muchas versiones de la auditoría, no solamente del SOC, sino que también para temas por ejemplo de sanidad, o sea, de verdad hay muchísima información que puede estar aplicando. Entonces, pues sí, esa es de las ventajas que tiene identificar objetivos de control basándonos en los estándares según la industria. El segundo punto que también es bastante relevante es mantenernos al día tanto con las amenazas como con las recomendaciones enfocadas a seguridad. Obviamente ese también es uno de los puntos más relevantes. Te decía anteriormente que la información es poder. ¿Cómo lo logramos? Nos tenemos que mantener constantemente actualizados siguiendo las plataformas tanto de AWS enfocada a seguridad como de los proveedores que estemos utilizando en las aplicaciones hospedadas en los servidores, por ejemplo. ¿Por qué? Porque obviamente ellos van a estar mandando actualizaciones, van a estar a lo mejor temas de vulnerabilidades que pueden llegar a tener cómo remediarlo y si están trabajando en actualizaciones o parches de lo mismo. Este es un punto bastante relevante. Digo aquí también comentando un poquito, nosotros también tenemos una plataforma, constantemente el equipo de marketing está liberando ciertos boletines, ustedes en Customer están también liberando información, me parece que de forma mensual para los clientes, para que ellos también se mantengan al día. Parte de las prácticas que tenemos por ser MSP es mantener a nuestros clientes actualizados en información de seguridad, y digo, en diversos ámbitos también. Entonces creo que existen muchas, ahora sí que plataformas u orígenes de datos, como venimos hablando de ello, para mantenernos actualizados tanto en recomendaciones como en amenazas, y de hecho para temas de amenazas, pues también se menciona un tema de OWAS, ahora sí que páginastipo. ORG que se pueden consultar, que pues también es inform. Creo que existen muchas, ahora sí que plataformas u orígenes de datos, como venimos hablando de ello, para mantenernos actualizados tanto en recomendaciones como en amenazas, y de hecho para temas de amenazas, pues también se menciona un tema de OWAS, ahora sí que páginastipo. ORG que se pueden consultar, que también es información bastante importante y relevante. El tercer punto es evaluar nuevos servicios, ahora sí que de forma periódica. Esto a veces, aunque parece ser como algo muy sencillo en muchas organizaciones no se llega a tener como la práctica de estar analizando nuestra carga de trabajo a lo largo de su ciclo de vida, y no solamente por temas de seguridad, incluso hasta por costos de que pueden dejar algún recurso por ahí encendido que ya no se utiliza y que pues bueno, ya cuando llegue la factura se dan cuenta. Entonces, digo, sí es una muy buena práctica y va de la mano también con el punto anterior que te mencionaba de mantenernos al día en las recomendaciones, porque el momento de que estamos ahora sí que con una cadencia, ni tiene que ser semanalmente, puede ser mensual o bimestral, pero pues ya tener la cadencia creo que es como poner foco de ah mira, tengo aquí mi carga de trabajo, vamos a liberar a lo mejor el siguiente mes un nuevo módulo para la aplicación. ¿Bueno, vi que en compucloud publicaron un artículo, es un nuevo servicio, es válido para nosotros? ¿Funcionaría? Y también ya se pueden acercar con el equipo de preventa con customer success para analizar si ese servicio es viable. Muchas veces nada más por curiosidad podemos comenzar a mejorar nuestra carga de trabajo, o hay veces que pues por una necesidad, vaya, no podemos hacer ese tipo de mejoras. Eso también nos lleva a que no siempre tienen que hacer la inversión desde el inicio, sino que hasta puede dar pauta, una POC, por ejemplo, para que nada más lo prueben y vean si en verdad es viable y si es lo que necesitan. Pero sí, este es ahora sí que el tercer punto. El cuarto punto que se podría decir es el último, pero la verdad es que no es el menos importante, ya verás porque, es el de identificar las amenazas y poder priorizar estas.

¿Para qué?

Pues para poder generar un esquema de mitigaciones, esto bajo un modelo de amenazas. A final de cuentas, este modelo de amenazas que se busca estar generando nos va a servir para identificar, poder comunicar y a final de cuentas comprender cuáles son las amenazas o vulnerabilidades que pueden estar afectando el aplicativo. Es como el tema de los certificados estándares, va a variar mucho entre carga de trabajo, sí hay para todo como una base, pero pues también siempre hay una variable. Entonces eso es lo que hay que estar buscando, poder identificar y poder generar también un plan de mitigación dentro del contexto de la protección de los datos o de la infraestructura que es de valor para la organización. También te mencionaba hace poquito acerca del OWAS, el modelo, este modelo de amenaza se encuentra basado en el OWAS, entonces, pues sí, este cuenta con un manifiesto, ahora sí que una serie de por ahí de pautas que se deben seguir, basado ahora sí que en todas las buenas prácticas que puedan existir.

Totalmente entendible. Pero por ejemplo, en este apartado de manifiesto, ¿A qué te refieres exactamente con eso de manifiesto?

Bien, el manifiesto es básicamente como una guía que se generó basado en el OWAS, que nos sirve para desarrollar o generar como un documento con ahora sí que perfeccionar la metodología, básicamente que mejor se adapte para cada organización, lo que te decía que cada industria es diferente y van a tener necesidades diferentes, entonces es generar esta metodología que mejor se adapta a nuestra organización. A final de cuentas, esto nos va a servir para buscar definir aquellos lo que se llamaría como valores y principios que deben de seguir a lo largo del ciclo de vida de un proyecto o de cualquier proyecto.

Excelente. Mira gente, se me hace un punto muy interesante, porque después la verdad, Si nos das 4 puntos relevantes, ahora sí que los podríamos resumir, qué necesitamos para tener para tomar en cuenta esta prevención. Podría ser por ejemplo, identificar lo que son los objetivos de control, mantenerse al día con las amenazas y las recomendaciones de seguridad, evaluar los servicios y las características de los mismos de forma periódica y finalizando con la identificación de amenazas y priorizar las mitigaciones. Entonces se me hace muy interesante, pero ya entendimos qué debemos hacer, cómo lo debemos hacer. Sin embargo, también considero que es importante mencionar en qué ocasiones o cómo es que se debe de realizar este modelo de amenazas que me comentas.

OK, bien, se recomienda comenzar ahora sí que desde el inicio, desde lo antes posible, mientras estamos incluso en nuestra etapa de desarrollo, si lo vemos así, comenzar a trabajar en este documento literal, entramos a la página de Lowass y por ahí nos va a aparecer la documentación. Documentación nos brinda una guía del paso a paso a seguir, de hecho es este ahora sí que nos brinda un modelo básicamente para desarrollarlo. La recomendación ahí es que se involucren las personas que tienen interacción con la carga de trabajo, o sea, básicamente los owners del aplicativo, los desarrolladores. Si se tiene un ingeniero de seguridad dentro del departamento, también debe de colaborar porque como te digo, es el inicio de la carga de trabajo, entonces es el momento más óptimo para empezar a detectar aquellas amenazas que pudieran afectarles, no solamente en temas de, ahora sí de ciberseguridad, incluso de forma local y tomar en consideración las actualizaciones que pueden necesitar nuestros equipos, por ejemplo, podemos tener equipos obsoletos, entonces también son factores que deben de tomar en consideración desde el inicio de la carga de trabajo. A final de cuentas, este modelo de amenazas es un documento que va a vivir a lo largo del ciclo de vida del proyecto. La idea es de que sí lo estén actualizando constantemente, incluso lo podían meter dentro de la cadencia de revisión de nuevos servicios para ir evaluando cómo han ido evolucionando. Y pues sí, va a servir tanto de base como de histórico para saber qué tan bien protegidos se encuentran en ese aspecto.

Por ejemplo, sabemos que a todos los ingenieros o dueños de infraestructura les interesa totalmente la seguridad y quieren lo mejor para su organización, pero tal vez ellos no conocen o no saben cómo serían, como por ejemplo las prácticas recomendadas como para tener un funcionamiento ideal. Entonces, en este apartado me gustaría que me platicaras cuáles consideras tú que sean como las prácticas esenciales a seguir para que todo esto que me has estado comentando tenga buenos resultados. Tenga buenos resultados y nos dé a fin de cuentas la mejor seguridad posible en esta infraestructura OK, de hecho sí.

Tengo cinco prácticas que pudieran estar aplicando y que me gustaría mencionar. La primera de ellas va enfocada hacia la implementación de un control de acceso. Digo, puede sonar a lo mejor muy sencillo, pero la verdad es que tiene gran relevancia con el servicio de IA. La finalidad de este servicio, pues digo, es nos permite estar gestionando los privilegios que van a tener los usuarios dentro de nuestra consola de AWS. ¿Qué podemos hacer ahí o qué beneficios nos da? Obviamente privilegios mínimos, o sea, tenemos políticas muy granulares ya generadas por AWS, Existen roles específicos que se pueden nada más aplicar incluso por grupos, lo hace tan sencillo de que hasta por grupos puedes estar administrando nuestros usuarios. Temas de configuración de MFA es súper importante. Una mala práctica también aquí haciendo un paréntesis, uso de la cuenta root para todas las actividades. La recomendación si es tener un usuario por persona para que tengan un mejor control, no compartir las credenciales. Otro punto es el control que nos puede dar hacia las access key.

Sobre.

Todo la rotación que podemos estar generando sobre estas mismas para nuestros aplicativos, ese es otro. Y un punto también muy relevante que es como una característica del servicio también es Access Analyzer. Este servicio, bueno, característica lo que hace es que nos brindan la información de todos aquellos como acceso, ya sea roles, por ejemplo, usuarios access key que existen dentro de nuestra cuenta, los centraliza en un pequeño dashboard, de hecho tuvo unas actualizaciones recientes que ya muestra unos gráficos, anteriormente no lo tenía. A final de cuentas permite conocer con qué servicio está vinculado un rol o con qué cuenta externa está vinculado un rol, incluso aparece como el idioma. En nuestro caso, no sé si has por ahí checado, pero cuando nosotros activamos el access analyzer aparecen los roles que nosotros utilizamos de cross account. Una recomendación de eso, cuando sabes que algo es verificado, nada más es archivarlo para que no siga haciendo ruido, pero es de las cosas que se puede hacer y el resto es mantenerlo ahí, revisar constantemente y ver si de verdad necesitamos tener esos roles ahí activos, ¿No? Porque eso puede representar a final de cuentas una puerta trasera, sobre todo si no tiene privilegios mínimos. Y un dato también que se me estaba pasando es la integración que llega a tener con CloudTrail, que te permite, ahora sí que con los logs, analizar cierto periodo de tiempo, siempre y cuando estén almacenados en un bucket DS y te permite hacer como una actualización, generar una política personalizada basado en los movimientos del Cloud Training. Entonces pues ya puedes generar literal una política personalizada de los movimientos de los últimos 90 días, por ejemplo y si el usuario nada más estuvo visualizando pura EC, solamente va a tener permisos de visualizar EC y el resto de los permisos que si era de escritura va a desaparecer, va a generar ahora sí que una política muy personalizada y creo que es una excelente práctica si ya tienen un tiempo utilizando los usuarios para poder optimizar más que nada los permisos y dejándole a la herramienta ser muy conscientes, muy objetivos de verdad qué es lo que está haciendo en la consola. Otro punto que también tengo es el cifrado de datos tanto en tráfico como en reposo, que son los puntos más relevantes. En tráfico con el ACM, con el Certificate Manager, este es un servicio que podríamos decir gratuito de alguna forma porque si tienes un dominio, migres un dominio hacia ruta 53, pues nos va a dar acceso a poder solicitar certificados y es cuestión de nada más aplicarlo en nuestro balanceador o distribución de Cloud from para que nuestras peticiones vayan seguras a través de HTTPs. Y el otro sería en reposo con KMS, que KMS pues es este servicio que nos permite estar administrando aquellas claves para todos nuestros diferentes servicios, RDS, EC por ejemplo. ¿Y la ventaja que yo veo en este servicio es que puedes estar configurando o determinando quién o quiénes van a ser los usuarios con el privilegio de poderla utilizar, o sea, de que si la van a poder elegir al momento de que lancen un nuevo servidor, pero al momento de que quieras otorgar permiso, por ejemplo, para llevar tu respaldo de una consola hacia una consola B, OK? Y ahí te topas con pared porque dentro del servicio tienes que colocar digamos como la relación de confianza con la otra cuenta para poder llevar a cabo ese movimiento. Y sinceramente eso protege muchísimo porque OK, si alguien se metió a tu cuenta, eso es muy malo, ¿No? Pero de entre lo malo, lo bueno, si tienes activo el servicio, pues al menos vas a evitar que se lleve literal tu respaldo hacia otra consola porque sí se pueden compartir, si no está encriptado, es un riesgo que se puede correr y que se puede volver real a final de cuentas. Y digo para que lo detectemos solamente si tienen activas las reglas del config.

De hecho.

El tercer punto es la implementación de un firewall y de reglas de seguridad, en este caso está el servicio de IWAV que es literal un firewall de aplicaciones web, este nos va a estar ayudando a proteger nuestras aplicaciones web de los ataques comunes, inyecciones SQL, ataques de fuerza bruta por ejemplo y adicional a ello pues obviamente el WAV pues sí nos permite una integración de poder configurar diversos tipos de reglas dependiendo la necesidad que tenga, no sé, vulnerabilidades a nivel sistema operativo Windows o Linux, tiene una vasta cantidad de reglas que se pueden configurar de forma gratuita o nativas y además la integración con Marketplace de proveedores de firewalls que también tienen sus reglas y que se pueden comprar y colocar también en la plataforma. Y algo también muy bueno es la integración que tiene de bot control que nos permite estar visualizando porque muchas veces las cargas de trabajo se saturan nada más de puro bot, entonces pues bueno ya los puedes ir bloqueando, al menos detectas cuál es el bot que está haciendo más peticiones, lo bloqueas y listo, es algo bastante bueno que pues hasta en temas de performance se puede llegar a ver el resultado o el impacto. El cuarto punto es temas de auditoría, seguridad y cumplimiento y ahí rescato un poco de lo que comentabas anteriormente porque AWS nos ofrece varias herramientas y servicios que nos van a estar ayudando ahora sí que a realizar estas auditorías de seguridad, mantener nuestra consola en cumplimiento y pues tú comentabas para temas de cumplimiento ya tenemos Security Hub si lo vemos así porque nos está brindando incluso como el porcentaje de qué tanto me encuentro en compliance basado en los estándares que comentabas anteriormente. Y adicional a ello pues está el tema de config que como bien decías por la integración con las reglas podemos llegar a tener un muy buen control de nuestra cuenta y pues el tema de CloudTrail, que CloudTrail es bastante relevante considero por el hecho de que puedan preservar los logs por la n cantidad de años que deseen y que muchas veces en las auditorías es información que les piden y les piden hasta retención de un año por ejemplo, entonces comenzar cuanto antes a almacenar esta información creo que es bastante bueno y digo tampoco es que sea caro mandarle un boque. Tenemos también un glaciar que lo pueden estar moviendo entre las diversas capas de almacenamiento. Pero sí, el último punto que tengo es acerca de la gestión de parches y actualizaciones. Aquí también retomo un poco de lo que comentabas del modelo de responsabilidad compartida, dependiendo el tipo de servicio va a ser el modelo que se va a llegar a tener. No es lo mismo la administración que se tiene por ejemplo con una RDS que tener alojada nuestra base de datos en un EC, porque es mayor la interacción en un EC por el tema de parches, de actualizaciones que se tienen que hacer no solamente a la base de datos, sino también ahora sí que al sistema operativo, la EC en sí. Es por ello que aquí llega el servicio de System Manager, que este es un servicio que nos permite hacer así que con un rol hacemos la integración con el servicio y nos permite estar mandando como actualizaciones o documentos que le llama el servicio que pueden ser personalizados o de los nativos que ya tiene. Y aquí entran ustedes en Customer Success, que muchas veces les toca realizar estas actualizaciones, digo, también es una reducción de trabajo manual que anteriormente hacía el cliente o que tenía que literal entrar al equipo y hacer la actualización y descargarlo y todo, pues de alguna forma se optimiza también el tiempo, los recursos humanos en este caso para que se pueda ejecutar a través de esta herramienta sin necesidad de estar accediendo directamente e incluso el documento que generes personalizado pues no lo vas a poder utilizar una vez, lo vas a poder replicar múltiples veces porque al final de cuentas va a quedar almacenado en tu consola y tú vas a saber o decidir a qué otro servicio lo quieres estar integrando.

Efectivamente. Bueno, fíjate que se me hacen interesantes las prácticas que comentas, en realidad siento yo que son muy útiles ya sobre todo si las ponemos en práctica, porque pues ahora sí que una cosa es mencionarlas y otra vez es tomarlas en cuenta, ver la manera de implementarlas y pues tener la mejor infraestructura posible. En esta ocasión pudimos platicar y hacer mención sobre cómo podemos detectar las posibles amenazas, qué servicios nos pueden ayudar para la detección, cómo los podemos implementar también por ejemplo, una vez la detección, cómo podemos prevenirnos sobre servicios, prácticas, todo muy interesante. Entonces en este caso no queda más que manos a la obra, ahora sí que poner en práctica todo lo mencionado y pues no hay más.

Sí, sí, sí, considero que esto va muy de la mano, detección y prevención van muy ligados, o sea, la documentación sí puede existir, pero pues igual necesitamos este origen de datos para poder tomar acciones y automatizar y todo. Entonces, sí, fue un tema bastante agradable, bastante interesante. Espero que también aquí al público le haya gustado mucho la charla. También agradecerte, Pau, por esta plática tan amena que tuvimos acerca de la detección y la prevención de amenazas. Esperamos tenerte nuevamente por aquí para que nos puedas seguir apoyando y nos sigas compartiendo, ahora sí que de tu conocimiento en nuevos temas, muchísimos temas por aquí no paramos con esta información, tú sabes, hay que seguirnos manteniendo al día y no solamente nosotros, sino a nuestros clientes.

Pues muchísimas gracias, Dani, y yo pues encantadísima de seguirlos acompañando en estas ocasiones.

Los invitamos también a que nos sigan escuchando con nuevos tips, con conversaciones como estas a través de nuestras diferentes plataformas digitales.

Muchas gracias por escuchar este episodio de Hablemos de Tecnología en Nube. Contáctanos al o como compucloud de en redes sociales. Hasta la próxima.