Los controles de seguridad en cloud
computing son la parte más importante al igual que en los sistemas
tradicionales, sin embargo a los modelos operacionales y tecnologías utilizadas
para activar los servicios de la nube representan algunos riesgos diferentes.
Estos controles de seguridad se implementan
a nivel físico, de red del sistema y de los aplicativos.
Para la seguridad de los sistemas
tradicionales típicamente se incluye firewall, zonas delimitadas (seguridad
perimetral), segmentación de redes, detección de intrusos y herramientas de
monitoreo de red.
Las responsabilidades se seguridad del
proveedor y el consumidor difieren de acuerdo a los modelos utilizados.
En contraste con el modelo estándar de
entrega de servicios, el cloud computing suscita serias inquietudes en cuanto a
la seguridad de la información, entre las que se encuentran las siguientes:
• Los proveedores de servicios en la nube,
¿están almacenando y manejando los datos de una forma segura?
• ¿Cómo se está garantizado la
confiabilidad y disponibilidad de los datos?
• Los proveedores de servicios en la nube,
¿cuentan con las protecciones suficientes en contra de ataques informáticos?
Algunos
casos interesantes
El sitio de bookmarking llamado Ma.gnolia experimentó una caída de los servidores que resultó en pérdidas
masivas de información, suficientes para que el servicio cerrara debido a que
la información de los usuarios no pudo ser recuperada… ni podrá serlo.
Este fue un accidente con poca incidencia a
la larga, pero también ha habido otros casos similares en donde los usuarios
han sido afectados. Por ejemplo, el servicio de almacenaje MediaMax salió del
mercado luego de un error del sistema que eliminó información de los
consumidores. También sucedió que los clientes de Salesforce sufrían mientras les era imposible acceder a sus aplicaciones por la
interrupción del servicio.
El caso de Amazon Web Services es emblemático y los de
Sensepost lo analizaron con detenimiento. El proceso de utilización del
servicio implica iniciar una nueva instancia dentro de la EC2 de Amazon (Elastic Compute
Cloud) y crear una AMI (Amazon Machine Image) que contenga tus
aplicaciones, librerías, información y datos.
Como una alternativa puedes utilizar una
imagen pre-configurada para estar listo para utilizar el servicio en un dos por
tres. Solo que hay un problema con eso. Mientras que Amazon nos ha provisto con
47 imágenes de máquina (si se vale la traducción literal), cuando las 2721
restantes fueron construidas por usuarios. ¿Cuántas de esas creen que fueron
construidas de forma segura?
Lo normal es que las personas utilicen
máquinas y protocolos creados por alguien más, porque servicios como el de
Amazon demuestran que muchas de las imágenes (o demás instancias en otros
servicios, pero igualmente creados por usuarios) dejan muchas puertas traseras
para la fuga de información.
En la seguridad para cloud computing se
retoman estas técnicas pero adicionalmente se consideran las amenazas de
seguridad provenientes de de maquinas virtuales dentro del mismo servidor.
EL
ASUNTO DE LAS CONTRASEÑAS EN CLOUD COMPUTING
Otro asunto preocupante de los servicios de
computación en nube es que, a pesar de las medidas de protección que
implementan todas las empresas, TODA CUENTA de TODO USUARIO es sólo TAN SEGURA
COMO EL PASSWORD QUE LE CONCEDE ACCESO A ELLA
Un ejemplo reciente de las consecuencias de
utilizar contraseñas inseguras fue evidente hace poco tiempo en el caso Twittergate. Este fue un evento en el que un
hacker obtuvo numerosos documentos corporativos pertenecientes al popular
servicio de micro blogging, Twitter, publicados por el
sitio de noticias y tecnología TechCrunch.
Estos documentos estaban alojados en Google Docs y a pesar de que Google no puede aceptar la responsabilidad por la
fuga de información, los archivos no hubieran sido robados en primer lugar si
hubieran estado seguramente albergados detrás de un firewall,
algo así como siguiendo el modelo de la vieja escuela. En lugar de eso, la
información clave de la compañía estaba a un paso de ser descubierta, “a un
password descifrado de distancia”
Cifrado de datos en la nube
Otra de las flaquezas (poco conocidas) de
la computación en nube es que pocas máquinas tienen acceso a los números
generados al azar que se necesitan para cifrar información.
Los detalles de este lío son excesivamente
técnicos pero el resultado es que la mera naturaleza de la computación virtual
hace mucho más simple la tarea a los hackers porque les permite adivinar con
facilidad los números utilizados para generar las llaves de cifrado.
Si bien este no es un problema inmediato
que amenaza la integridad de la nube, sí requerirá investigación al largo
plazo.
Abuso
y mal uso del cloud computing
Esta amenaza afecta principalmente a los
modelos de servicio IaaS y PaaS y se relaciona con un registro de acceso a
estas infraestructuras/plataformas poco restrictivo. Es decir, cualquiera con
una tarjeta de crédito válida puede acceder al servicio, con la consecuente
proliferación de spammers, creadores de código malicioso y otros criminales que
utilizan la nube como centro de operaciones.
Interfaces
y API poco seguros
Generalmente los proveedores de servicios
en la nube ofrecen una serie de interfaces y API (del inglés, Application
Programming Interface) para controlar e interactuar con los recursos. De este modo, toda la organización, el
control, la provisión y
la monitorización de los servicios cloud se realiza a través de estos
API o interfaces.
Dado que todo (autenticación, acceso,
cifrado de datos, etc.) se realiza a través de estas herramientas, se hace
necesario que los interfaces estén diseñados de forma segura, evitando así los problemas de seguridad,
tanto los que son intencionados como los que se
producen de forma accidental.
Amenazas
internas
Como en todos los sistemas de información,
la amenaza que suponen los propios usuarios
es una de las más importantes, dado que tienen acceso de forma natural a
los datos y aplicaciones de la empresa. En un entorno cloud esto no es en
absoluto diferente ya que se pueden desencadenar igualmente incidentes de
seguridad provocados por empleados descontentos y accidentes por error o
desconocimiento.
Además, en muchos casos, es el propio
proveedor del servicio el que gestiona
las altas y bajas de los usuarios, produciéndose brechas de seguridad
cuando el consumidor del servicio no informa al proveedor de las bajas de
personal en la empresa.
Como es lógico, estos incidentes repercuten
de forma importante en la imagen de la empresa y en los activos que son
gestionados.
Los proveedores de servicio deberán proveer
a los consumidores del servicio de medios y métodos para el control de las
amenazas internas.
Problemas
derivados de las tecnologías compartidas
Esta amenaza afecta a los modelos IaaS, ya que en un modelo de Infraestructura
como Servicio los componentes físicos (CPU, GPU, etc.) no fueron diseñados específicamente para una
arquitectura de aplicaciones compartidas. Se han dado casos en los que los
hipervisores de virtualización podían acceder a los recursos físicos del
anfitrión provocando, de esta forma, incidentes de seguridad.
Pérdida
o fuga de información
Existen muchas formas en las que los datos
se pueden ver comprometidos. Por ejemplo, el borrado o modificación de datos
sin tener una copia de seguridad de los originales, supone una pérdida de
datos.
En la nube, aumenta el riesgo de que los
datos se vean comprometidos ya que el número de interacciones entre ellos se
multiplica debido a la propia arquitectura de la misma. Esto deriva en pérdida
de imagen de la compañía, daños económicos y, si se trata de fugas, problemas
legales, infracciones de normas, etc.
Secuestro
de sesión o servicio
En un entorno en la nube, si un atacante
obtiene las credenciales de un usuario del entorno puede acceder a actividades
y transacciones, manipular datos, devolver información falsificada o redirigir
a los clientes a sitios maliciosos.
Riesgos
por desconocimiento
Uno de los pilares de las
infraestructuras cloud es reducir la
cantidad de software y hardware que
tienen que adquirir y mantener las compañías, para así poder centrarse en el
negocio. Esto, si bien repercute en ahorros de costes tanto económicos como
operacionales, no puede ser motivo para el deterioro de la seguridad por falta
de conocimiento de esta infraestructura.
Para asistir en la toma de decisiones sobre
las medidas de seguridad que se han de implantar en un entorno cloud es conveniente conocer, al menos en
parte, la información técnica de la plataforma. Datos como con quién se
comparte la infraestructura o los intentos de acceso no autorizados pueden
resultar muy importantes a la hora de decidir la estrategia de seguridad.
Accesos
de usuarios con privilegios
El procesamiento o tratamiento de datos
sensibles fuera de las instalaciones de la empresa conlleva un riesgo inherente, ya que es
posible que estos servicios externos sorteen los controles físicos, lógicos y
humanos siendo, por este motivo, necesario conocer quién maneja dichos datos.
Aislamiento
de datos
Los datos en los entornos cloud comparten infraestructura con datos de
otros clientes. El proveedor debe garantizar el aislamiento de los datos de los
respectivos clientes. El cifrado de los datos es una buena práctica, pero el
problema es cómo aislar los datos cuando se encuentran en reposo ya que el
cifrado, cuando no se hace uso de los datos, puede resultar una operación
costosa.
Viabilidad
a largo plazo
En un entorno ideal un proveedor de
servicios cloud siempre permanecerá en
el mercado dando un servicio de calidad
y con una disponibilidad completa, pero el mercado es cambiante y cabe la
posibilidad de que el proveedor sea
No hay comentarios:
Publicar un comentario