Estrategias de seguridad en la nube

Las empresas deben centrarse en tres áreas principales para su estrategia de seguridad en la nube, según Govshteyn:

1. Herramientas. Las herramientas de seguridad que implemente en entornos de nube deben ser nativas de la nube, y capaces de proteger las aplicaciones web y las cargas de trabajo de la nube. “Las tecnologías de seguridad formuladas para la protección de puntos finales se centran en un conjunto de vectores de ataque que no se ven comúnmente en la nube, y están mal equipadas para hacer frente a las 10 amenazas principales de OWASP, que constituyen el 75% de todos los ataques en la nube”, anota Govshteyn. Señala que las amenazas de endpoints se dirigen a los navegadores web y al software cliente; mientras que las amenazas a la infraestructura, se dirigen a los servidores y a los marcos de trabajo de aplicaciones.

2. Arquitectura. Defina su arquitectura en torno a los beneficios de seguridad y gestión que ofrece la nube, no la misma arquitectura que utiliza en sus centros de datos tradicionales. “Ahora tenemos datos que muestran que los entornos públicos puros permiten a las empresas experimentar tasas de incidentes más bajas, pero esto solo es posible si se utilizan las capacidades de la nube para diseñar una infraestructura más segura”, indica Govshteyn. Recomienda que aísle cada aplicación o micro-servicio en su propia nube privada virtual, lo que reduce el radio de acción de cualquier intrusión. “Brechas importantes como la de Yahoo, comenzaron con aplicaciones web triviales como vector de entrada inicial, por lo que las aplicaciones menos importantes a menudo se convierten en su mayor problema”. Además, no repare las vulnerabilidades en sus despliegues de nube. En su lugar, implemente una nueva infraestructura en nube que ejecute el código más reciente y desmantele su infraestructura antigua. “Solo se puede hacer esto si se automatizan las implementaciones, pero se obtiene el nivel de control sobre la infraestructura que nunca se podría lograr en los centros de datos tradicionales”, indica Govshteyn.

3. Puntos de conexión. Identifique los puntos en los que las implementaciones cloud están interconectadas con los centros de datos tradicionales que ejecutan código heredado. “Es probable que estos sean su mayor fuente de problemas, ya que vemos una clara tendencia a que los despliegues de nubes híbridas tiendan a ver la mayoría de los incidentes de seguridad”, señala.

No todo en la estrategia de seguridad existente de una empresa tiene que cambiar para la nube. “El uso de la misma estrategia de seguridad (por ejemplo, la inspección de contenido en profundidad para análisis forenses y detección de amenazas) para la nube como en las instalaciones, no es una mala idea por sí misma. Las empresas que persiguen este objetivo suelen buscar la coherencia entre sus arquitecturas de seguridad para limitar las brechas en su postura de seguridad”, indica Tom Clavel, director senior de marketing de productos en Gigamon.

“El desafío es cómo obtener acceso al tráfico de la red para este tipo de inspección”, añade Clavel. “Aunque estos datos están fácilmente disponibles en las instalaciones usando una variedad de formas, no están disponibles en la nube. Además, incluso si tienen acceso al tráfico, direccionar el flujo de información a las herramientas locales para su inspección sin inteligencia, es extremadamente caro y contraproducente”.