Seguridad en la nube. En realidad, el término en sí carece de sentido si no se matiza. ¿Te refieres a la seguridad de la infraestructura subyacente que conforma la «nube»? ¿O quizá a la de las API de mando y control que permiten aprovisionar y gestionar recursos informáticos, almacenamiento y servicios en la «nube»?
Porque sé que no estabas pensando en su capacidad para protegerte mágicamente de tus propios errores. Ya sabes, esos en los que cambias deliberadamente las políticas de seguridad predeterminadas de los buckets de Amazon S3 para permitir que cualquiera que tenga la dirección IP acceda a los datos que almacenan.
Si piensas que es una idea absurda, tienes razón. Pero te equivocarías si creyeras que eso significa que ninguna organización con una seguridad bastante sólida ha hecho precisamente eso.
Un ejemplo: recientemente se reveló que un determinado integrador de sistemas había dejado todo tipo de datos jugosos expuestos y accesibles en Amazon S3. Ya sabe, cosas como credenciales, claves privadas y demás. Según nos cuentan, el «error» se subsanó rápidamente, pero lo cierto es que, para que S3 llegue a estar abierto a cualquiera, se requiere una acción por parte de un operador.
Debes desbloquear la puerta de forma consciente. De forma predeterminada, Amazon S3 cuenta con estrictos controles de seguridad en lo que respecta al acceso. Según la documentación de Amazon:
De forma predeterminada, todos los recursos de Amazon S3 son privados, lo que significa que solo el propietario del recurso puede acceder a él.
-- Configuración de los permisos de acceso a buckets y objetos
Por tanto, para dejarlo en un estado en el que cualquiera con la dirección IP adecuada pueda explorar el contenido de un bucket, es necesaria la intervención consciente de una persona.
El integrador de sistemas en cuestión no es el primero en sufrir las consecuencias de haber desprotegido Amazon S3. En febrero de 2017, el investigador Troy Hunt detalló una fascinante serie de incidentes provocados por errores de seguridad en la nube relacionados con un juguete del IoT, Cloud Pets. Entre ellos había «un bucket de Amazon S3 que no requería ninguna autorización específica». En julio supimos que uno de los tres grandes proveedores de servicios expuso registros de suscriptores debido a una configuración incorrecta de Amazon S3.
Para ilustrar hasta qué punto está extendido este problema, Rhino Security Labs ofreció una perspectiva fascinante de sus pruebas de Amazon S3 en los 10 000 sitios más populares de Alexa. Descubrió que «107 buckets (el 1,07 %) tenían permisos de listado y pertenecían a 68 dominios únicos. De estos 107 buckets, 61 (el 57 %) permitían la descarga a cualquiera que los consultara. 13 (el 12 %) permitían la subida de archivos y el 8 % contaba con los tres tipos de permisos».
Permitir las descargas sin restricciones ya es bastante grave, pues expone los datos al robo. Pero ¿permitir también las subidas sin restricciones? Es como animar a los empleados a hacer clic en correos electrónicos de phishing.
La nube no puede protegerte de ti mismo. Ya sea por la falta de barreras de seguridad, de controles o de supervisión, no puedes limitarte a conceder permisos de acceso al almacenamiento en la nube y esperar que nadie lo encuentre. Es como instalar un sistema de videovigilancia y dejar el acceso por Telnet abierto al mundo exterior.
Vaya, ¿eh?
La cuestión es la siguiente: las aplicaciones y los datos son tan seguros como las políticas y los procedimientos que utilices para protegerlos. Hay motivos legítimos para permitir el acceso «abierto» a servicios de almacenamiento en la nube como S3. Pero, al igual que ocurre con los puertos del cortafuegos corporativo, no deberías dejarlos completamente abiertos a menos que haya una muy buena razón para ello.
Si aún no has implantado algún tipo de política que exija revisar la «seguridad en la nube» antes de activar esa aplicación o compartir esa URL, tienes que hacerlo. Ahora mismo. Deja de leer y ponte manos a la obra.
No seas tu peor enemigo. Revisa tus políticas y procedimientos, y asegúrate de que adapten la seguridad a la importancia y al uso previsto de los datos que almacenas en la nube.
Solo tú puedes evitar que las configuraciones incorrectas de S3 acaparen titulares.
Si necesitas ayuda para proteger los buckets de Amazon S3, Amazon pone a tu disposición no solo documentación sino también herramientas útiles.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.