El informe revela un acceso sin restricciones a los paneles de Kubernetes, así como credenciales en texto plano para otras infraestructuras críticas en entornos de nube pública.
La mayoría de la gente cierra la puerta con llave, al menos cuando no está en casa. Al fin y al cabo, nadie quiere volver a casa y encontrarse a alguien repantigado en su sofá, viendo Netflix y destrozando por completo los algoritmos que determinan qué aparece en la «lista de recomendaciones» por ponerse a ver un género que tú jamás verías. Imagínate el horror.
Por eso, quizá te sorprenda saber que según las estadísticas sobre delincuencia, alrededor del 30 % de los ladrones entran por una ventana o puerta abierta o sin cerrar con llave.
Si dirigimos la mirada hacia la tecnología, encontramos «ventanas y puertas abiertas» similares en un informe reciente del equipo de RedLock CSI. RedLock es una plataforma de supervisión de la seguridad de infraestructuras basada en la nube y compatible con API que proporciona visibilidad sobre su entorno en la nube. Es, por tanto, como ADT para la nube. Su informe reciente se basa en el análisis de los entornos de sus clientes. Se evaluaron más de un millón de recursos que procesaban 12 petabytes de tráfico de red. Se detectaron bastantes prácticas de seguridad desaconsejadas, pero esta me llamó la atención:
“285 paneles de Kubernetes (interfaz de administración web) implementados en Amazon Web Services (AWS), Microsoft Azure y Google Cloud Platform que no estaban protegidos con contraseña. Tras investigar más a fondo, el equipo encontró credenciales en texto sin formato para acceder a otras infraestructuras críticas dentro de los sistemas Kubernetes. [énfasis mío] ”
El descubrimiento de credenciales en texto plano, por desgracia, no resulta sorprendente. Quizá recuerde que esta cuestión se planteó a principios de 2016, cuando hablamos de «La nueva amenaza interna: los marcos de automatización». Lamentablemente, si deja la puerta principal abierta, el uso de credenciales en texto plano para autorizar actividades en distintos entornos de contenedores podría suponer una amenaza tanto externa como interna.
Ahora bien, podríamos argumentar que quizá estos paneles totalmente abiertos no eran críticos y probablemente ni siquiera estaban en producción. Solo eran entornos de pruebas o desarrollo, ¿verdad? Eran una prueba de concepto para una futura contenerización de aplicaciones que simplemente se olvidaron o no se consideraron una amenaza. Sin embargo, sabemos que este tipo de entornos sin gobernanza en la nube contribuyen a la proliferación descontrolada de recursos en la nube, lo que va mermando los presupuestos e introduce otros riesgos, además del que supone, en fin, el acceso sin restricciones a un sistema al que se le puede ordenar que ponga en marcha innumerables sistemas con solo pulsar un botón.
El mismo informe reveló que «el 14 % de las cuentas de usuario están inactivas: sus credenciales siguen activas, pero no se ha iniciado sesión en los últimos 90 días», lo que sin duda parece aportar más pruebas de que un buen número de recursos en la nube se dejan sin gestionar y, probablemente, sin supervisar su actividad.
Dejar una sola puerta o ventana sin cerrar aumenta el riesgo. En lo que respecta a la seguridad física, por lo general, los delincuentes deben comprobar físicamente si la puerta está cerrada o no. Eso requiere tiempo y esfuerzo. En el mundo digital, ese requisito desaparece. Puedo analizar tus sistemas con un script y hacer que me envíe, en cuestión de segundos, un mensaje con información detallada sobre todos los sistemas que ha encontrado en funcionamiento y accesibles. Las barreras de entrada al robo digital son menores, lo que hace que dejar una sola puerta abierta sea aún más peligroso.
La lenta pero constante migración a entornos basados en la nube ha repercutido en muchos aspectos de las TI. Uno del que rara vez hablamos es la administración. Pero deberíamos hacerlo, sobre todo porque hoy en día la mayoría se gestionan mediante una interfaz web y ofrecen un acceso sencillo a través del puerto 80 a cualquiera que lo busque. Esto significa que la seguridad de las consolas y los paneles de administración debe considerarse una prioridad. Estos sistemas se basan en componentes web estándar, muchos de los cuales son vulnerables a los mismos fallos de seguridad que sus equivalentes orientados al usuario. Ya se trate de secuencias de comandos entre sitios, inyección SQL, contraseñas predeterminadas o accesos mediante puertas traseras, debemos (y se trata de un DEBEMOS al estilo de los RFC) dedicar tiempo y presupuesto a probar y proteger la parte de gestión de los sistemas y entornos que utilizamos para desplegar nuestras aplicaciones.
No estamos hablando de un «nuevo» paradigma de seguridad, sino de seguridad básica de las aplicaciones web. Restringir el acceso a las aplicaciones web es algo que llevamos haciendo casi veinte años. Es una práctica bien conocida y no deberíamos ignorarla alegremente solo porque se trate de un entorno de desarrollo o de pruebas.
A un ladrón, sea digital o no, le basta con encontrar una puerta abierta para acceder a toda la casa. Y, cuando se trata de un ladrón digital, las consecuencias se propagan más lejos y con mayor rapidez gracias a la tecnología y a la facilidad con la que podemos escanear, vulnerar y acceder a sistemas conectados.
Mantente a salvo. No descuides la seguridad de tus consolas y sistemas de administración.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.