Gestión de la postura de seguridad en la nube (CSPM)
Casi todas las brechas de seguridad importantes en la nube sobre las que he leído un análisis a posteriori se remontan a una configuración errónea, no a un sofisticado ataque de día cero. Un depósito de almacenamiento dejado con acceso público, un rol de identidad con muchos más permisos de los que la carga de trabajo realmente necesita, un grupo de seguridad abierto a todo Internet porque resultaba más fácil durante las pruebas y nadie lo cerró después. Las plataformas en la nube le ofrecen una enorme flexibilidad, y esa flexibilidad implica que es perfectamente posible crear algo que funcione a la perfección y que, al mismo tiempo, esté totalmente abierto, sin que ningún mensaje de error se lo indique.
La gestión de la postura de seguridad en la nube es la disciplina continua que consiste en comprobar constantemente su entorno en la nube con respecto a las mejores prácticas de seguridad y a su propia política, detectando el «bucket» que se ha configurado como público, el rol de IAM excesivamente amplio o la base de datos sin cifrar, antes de que un atacante lo descubra primero. Los entornos que veo meterse en problemas no suelen ser aquellos que nunca se han sometido a una revisión de seguridad, sino aquellos que superaron una revisión satisfactoria una vez y luego siguieron creciendo sin que nadie volviera a comprobarlos.
Cómo trabajo en esto
Comienzo por analizar su huella real en la nube, que a menudo se extiende a través de múltiples cuentas, servicios y, en ocasiones, múltiples proveedores, y establezco una supervisión continua de la configuración en lugar de una auditoría puntual. Una evaluación puntual le ofrece información sobre la situación actual; un error de configuración introducido el mes que viene por una nueva implementación no se detectará hasta que surja algún problema.
A partir de ahí, priorizo los hallazgos en función de su explotabilidad real; una base de datos expuesta públicamente con datos sensibles tiene mucha más importancia que un entorno de pruebas interno con permisos ligeramente laxos, e integro las medidas correctivas en su flujo de trabajo de implementación real, en lugar de realizar una revisión de seguridad independiente que se lleve a cabo a posteriori. El objetivo es detectar las configuraciones erróneas como parte del proceso de implementación habitual de su equipo, mediante revisiones de «infraestructura como código» y comprobaciones de «políticas como código», en lugar de depender de que alguien se acuerde de auditar manualmente la configuración de forma periódica.
¿A quién va dirigido?
Si su entorno en la nube ha crecido más rápido que su proceso de revisión de seguridad, si nunca ha llevado a cabo una auditoría específica de la configuración de la nube o si no está seguro de que se daría cuenta de una vulnerabilidad pública antes de que un atacante la descubriera, merece la pena ponerlo en marcha.
Póngase en contacto con nosotros y analicemos en profundidad cuál es la situación real de su entorno en la nube en la actualidad.