Muy bien, chicos. Ha llegado el momento de que tengamos «esa conversación». Ya sabéis cuál: esa de la que habéis estado hablando en voz baja con vuestros amigos, pero sobre la que hasta ahora no os habíais atrevido a preguntar porque, claro, todo el mundo sabe de qué va y no queríais quedar, bueno, como unos pringados al admitir que no lo sabíais de verdad.
Pero no lo saben o, al menos, si lo saben, tampoco hablan de ello. Y ya va siendo hora de que hablemos de tomar las precauciones adecuadas al utilizar la nube. Ya sabes, de cómo proteger tus aplicaciones en la nube frente a infecciones y ataques.
Sí, hoy por fin vamos a hablar de la seguridad de las aplicaciones en la nube.
No hablamos de cifrado. Ni de gestión de identidades y accesos. Ni tampoco de seguridad de red.
Seguridad de las aplicaciones.
De entre todos los documentos, estudios, consejos y debates generales sobre la «seguridad en la nube» disponibles hoy en la inmensidad de Internet, muy pocos* mencionan las palabras «seguridad de las aplicaciones». Puedo encontrar estudios y estadísticas sobre el uso del cifrado, sobre quién debería proteger los datos en la nube (y quién no lo está haciendo) y sobre quién utiliza qué tipo de gestión de identidades y accesos para controlar el acceso a las aplicaciones en cualquier lugar. Pero ¿sobre la seguridad de las aplicaciones? Nada. Ni una palabra. Cero.
Lo cual resulta realmente sorprendente (y preocupante), dado que las aplicaciones web son la segunda causa principal de incidentes de seguridad en los servicios financieros, solo por detrás del siniestro «crimeware», según el informe más reciente Informe de Verizon sobre investigaciones de filtraciones de datos (DBIR). También sorprende que, tras analizar las 25 mayores brechas de seguridad de este siglo, se descubra que casi la mitad (44 %) se llevaron a cabo a través de una aplicación web. También resulta desalentador porque parece existir una correlación entre el deterioro de la postura de seguridad y la migración de aplicaciones a la nube.
La realidad es que el cifrado no es la panacea.
Permítanme repetirlo, esta vez en mayúsculas para recalcar la gravedad del asunto: EL CIFRADO NO ES LA PANACEA.
Tampoco lo son la seguridad de la red ni la gestión de identidades y accesos.
Todas estas medidas son positivas, pero, por separado, no son más que una parte de un sistema de protección mucho más amplio. Un sistema de protección que debería incluir —aunque a menudo no lo hace— la seguridad de las aplicaciones.
Network security no va a detener un ataque DDoS HTTP. La gestión de identidades y accesos no va a impedir que se explote una vulnerabilidad de una plataforma web como Heartbleed o Apache Killer.
El cifrado no va a detener una inyección SQL. Cifrar el código malicioso solo sirve para ocultarlo de los innumerables servicios de la red diseñados para detectarlo.
La aplicación es, por su propia naturaleza, un recurso de acceso público. La ponemos a disposición de todos y esperamos —es más, animamos, incitamos, suplicamos— que los usuarios interactúen con ella. Que la utilicen. Que la instalen. Que la visiten a menudo. Vivimos en un mundo dominado por las aplicaciones, lo que significa que son fundamentales para todos los aspectos de la actividad empresarial, ya estén orientadas a los clientes, a los empleados o al funcionamiento de los sistemas internos. Hoy en día dependemos de las aplicaciones para prácticamente todo lo que hacemos y, sin embargo, cuando hablamos de seguridad, nunca parecemos acordarnos de ellas.
Ya es hora de que empecemos a prestar más atención a la seguridad de las aplicaciones y no solo a la seguridad de los datos, la seguridad de la red o las comunicaciones cifradas. Los datos son más vulnerables cuando se procesan en la aplicación. Esto se debe a que, en ese momento, están en texto plano y quedan completamente bajo el control de dicha aplicación. La aplicación puede mostrarlos, modificarlos y entregárselos a quienquiera (o, cada vez más, a lo que sea, dado el auge de los bots, las arañas web y el malware) que consiga que los revele.
Eso significa que debemos prestar más atención a proteger las aplicaciones frente a vulnerabilidades y ataques. Desde la plataforma (el servidor web o de aplicaciones), pasando por los protocolos (TCP y HTTP), hasta el propio código. Debemos analizar, depurar y detectar las innumerables técnicas utilizadas en los ataques para explotar toda la pila de aplicaciones, y protegernos frente a ellas.
Según F-Secure Labs, la frecuencia de los ataques contra aplicaciones web se duplicó, pasando de menos del 20 % en 2012 al 40 % en 2013. Por su parte, Neustar constató en 2014 que el 55 % de los objetivos de ataques DDoS sufrieron ataques de distracción (ataques DDoS volumétricos utilizados para encubrir los verdaderos ataques, dirigidos a la capa de aplicación); casi el 50 % acabó con malware o virus instalados y el 26 % perdió datos de clientes.
Los ataques a aplicaciones constituyen una amenaza real y significativa, especialmente a medida que estas migran a la nube, donde puede haber menos opciones disponibles para protegerlas.
Los servicios nativos disponibles en la nube centrados en la seguridad se ocupan principalmente del acceso y el cifrado. Ninguno de ellos ofrece seguridad de la «capa de aplicación» ni la cobertura necesaria para confiar en que se podrá resistir un ataque diseñado para deshabilitar o dañar la aplicación, o para extraer datos aprovechando vulnerabilidades de la propia aplicación. Esto significa que necesita otra solución: otro servicio diseñado para proteger las aplicaciones y los datos que estas gestionan en la nube, tal como hace en el centro de datos. Esto puede implicar el uso de un WAF (cortafuegos de aplicaciones web) o de un WAF como servicio o, como mínimo, la aplicación rigurosa de las prácticas recomendadas por OWASP en todas las aplicaciones desplegadas en la nube.
La seguridad en la nube puede considerarse una responsabilidad compartida, en la que el proveedor y el cliente se encargan de distintos aspectos de la protección de «la nube», pero la seguridad de las aplicaciones es responsabilidad al 110 % de quien las implementa en la nube. Veamos esta entrevista (publicada en The Register) con Bill Murray, responsable de programas de seguridad global de AWS (el énfasis es mío):
«La seguridad en AWS es una responsabilidad compartida entre AWS y sus clientes», afirmó Murray en una entrevista reciente. Es responsable de la seguridad de AWS, incluida la seguridad física de los centros de datos de Amazon, y también se ocupa de las órdenes judiciales y citaciones de las fuerzas del orden.
«Los clientes son responsables de protegerlo todo, desde el sistema operativo invitado que ejecutan en AWS hasta las aplicaciones que utilizan», declaró a El Reg. «Nosotros somos responsables del sistema operativo anfitrión, de la máquina virtual y de todo lo demás, hasta el hormigón del suelo del centro de datos».
«Nos hacen mucho esta pregunta: “¿Qué les quita el sueño?”. Lo que nos quita el sueño en el equipo de seguridad de AWS es que los clientes no configuren correctamente sus aplicaciones para protegerse», afirmó Murray.
Ese cliente es usted, y eso significa que debe considerar detenidamente qué servicios y soluciones va a implementar para proteger esa aplicación frente al ataque que, inevitablemente, acabará sufriendo.
La seguridad de las aplicaciones no es como un guardaespaldas caro. No es algo reservado únicamente a las aplicaciones VIP. Se parece más a la seguridad personal y es algo que debería tener toda aplicación expuesta al público. Y esto es así tanto si esas aplicaciones están en el centro de datos como en la nube.
* Digo «muy pocos», pero, sinceramente, no pude encontrar ni uno solo. Quizá me hayan fallado mis dotes con Google, pero lo más probable es que se deba a que nadie parece querer hablar de ello.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.