Guía Esencial

Navegue en las secciones

BACKGROUND IMAGE: iSTOCK/GETTY IMAGES

Este contenido es parte de Guía Esencial: Guía Esencial: Evolución de la seguridad de la información
Resolver Problemas Consiga ayuda para problemas específicos con sus proyectos, procesos y tecnologías.

Resguarde la seguridad de la nube privada con procedimientos y herramientas estrictos

A pesar de opiniones contrarias, la nube privada no es segura sólo porque es privada. La seguridad en la nube privada requiere un plan bien pensado.

Garantizar la seguridad de la nube privada comienza examinando la seguridad de la red en la que reside la nube. Dependiendo de la naturaleza de la nube privada específica, esto puede tomar muchas formas. Sin embargo, hay protocolos y controles comunes a la mayoría de las redes.

El primer paso en el mantenimiento de la seguridad en su nube privada es la planificación por adelantado. Implemente protocolos y procedimientos para acceder a los datos en la nube privada en sus etapas de planificación. Si la nube solo está destinada a ser visitada internamente, claramente una empresa debe asegurarse de que estos servicios no se puedan acceder externamente. Pero si es necesario acceder a los recursos de la nube privada cuando los miembros del personal están fuera de la red de la empresa, decida cómo se protegerán los datos y ponga un mecanismo de autenticación. Además, determine qué restricciones –en su caso– se deben colocar sobre el acceso a los recursos. Si varias personas tienen acceso a los recursos, creando múltiples máquinas virtuales (VM) y ejecutando múltiples aplicaciones, la nube privada puede verse seriamente sobrecargada en términos de cómputo, amenazando su seguridad. Por lo tanto, planifique hacia adelante para mitigar este riesgo y hacer cumplir sus protocolos.

Al construir una nube privada, además de o en lugar de una nube pública, asegúrese de que su empresa tiene el personal de seguridad para mitigar los riesgos. El personal que estará asegurando el entorno debe estar preparado para responder en consecuencia durante eventos catastróficos.

Pruebe la seguridad de su nube privada

Comience por realizar capturas periódicas de Wireshark o TShark en las máquinas físicas que albergan la infraestructura virtualizada. Una vez que los administradores tienen una idea general sobre qué tipos de tráfico deben y no deben estar entrando o saliendo de la red, pueden fácilmente escribir comandos sobre esto. Es también una buena manera de desarrollar una línea de base con respecto a lo que es el comportamiento normal de la red. Por ejemplo, si los administradores de red saben que no existe ningún servidor DHCP en su nube privada, y sin embargo empiezan a ver mensajes "DHCP OFFER" que aparecen en una captura de Wireshark, es crucial que investiguen más a fondo.

Al utilizar Wireshark dentro de un entorno de nube privada, asegúrese de que la captura se realiza desde un máquina host. Esto permitirá una captura más exhaustiva del tráfico de la red, en lugar de simplemente capturar el tráfico desde dentro de una máquina virtual.

Además, realice auditorías frecuentes de los registros del sistema, ya que pertenecen al entorno de nube privada. Hay numerosos dispositivos de hardware y aplicaciones de software que realizan análisis de registro automatizado robustos, completos con mensajes de alerta y disparadores de  alarmas. Por ejemplo, si un individuo está ingresando a la nube privada a las 2 de la mañana de un sábado, esto podría ser considerado irregular por un sistema automatizado y registrado como tal. Sin embargo, estos sistemas son solo tan buenos como las personas que los crearon y nunca pueden sustituir por completo a un par experimentado de ojos humanos que saben lo que están buscando. Por lo tanto, se le debe permitir a un profesional experimentado que está cómodo realizando auditorías realizarlas de manera frecuente.

¿Merece la pena moverse a la nube pública?

Muchas organizaciones se están moviendo a la nube pública porque la descarga del costo y la responsabilidad de mantener su propia infraestructura de nube se consideraba que bien valía la pena su tiempo y dinero. Sin embargo, ¿es el mejor movimiento para la seguridad? Bueno, sí y no.

Muchas empresas se sienten menos vulnerables a los DoS y otros ataques debido a que su infraestructura reside en, por ejemplo, uno de los centros de datos masivos de Amazon Web Services. El proveedor es responsable si la infraestructura de una organización es víctima de un ataque. Sin embargo, la empresa sería responsable de llamar a los administradores de sistemas y redes durante el fin de semana, y dedicar grandes cantidades de tiempo y recursos a mitigar un ataque a una nube privada. Ventaja: la nube pública.

Por otro lado, las empresas que decidan trasladarse a la nube pública tienen muy poca –si es que tienen alguna– idea de dónde residen los datos y cómo se están tratando. Cuando una empresa utiliza una nube pública, no tiene acceso de root a la máquina física donde reside. Por lo tanto, los individuos nefastos con acceso de raíz a una caja determinada pueden causar estragos en los datos de una empresa. Por ahora, todavía hay pros y contras para ambas nubes públicas y privadas.

Sobre el autor: Brad Casey es un antiguo experto de SearchSecurity.com. Posee una Maestría en Ciencias en Aseguramiento de la Información por la Universidad de Texas en San Antonio, y tiene una amplia experiencia en las áreas de pruebas de penetración, infraestructura de clave pública, VoIP y análisis de paquetes de red. También tiene conocimiento en los ámbitos de administración de sistemas, Active Directory y Windows Server 2008. Pasó cinco años haciendo pruebas de evaluación de seguridad en la Fuerza Aérea de Estados Unidos, y en su tiempo libre puede encontrarlo viendo capturas de Wireshark y jugando con diferentes distribuciones de Linux en máquinas virtuales.

Este artículo se actualizó por última vez en diciembre 2014

Inicie la conversación

Envíenme notificaciones cuando otros miembros comenten sobre este artículo.

Por favor cree un Nombre de usuario para poder comentar.

- ANUNCIOS POR GOOGLE

Close