#LockTheDoor de una vez
A estas alturas, uno pensaría que nada relacionado con la seguridad podría sorprenderme.
Quizá no es que me sorprenda, sino que me decepciona.
Decepcionado por no respetar ni siquiera los principios de seguridad más básicos. Ya sabes, como cerrar la puerta con llave.
Un informe reciente de Lacework puso de relieve la necesidad de reiterar una de las reglas básicas de seguridad más comunes:
NO DEJARÁS ABIERTAS LAS CONSOLAS DE ADMINISTRACIÓN
El informe, que analizó Internet, descubrió que había accesibles «más de 21.000 sistemas de orquestación de contenedores y gestión de API».
Eso, en sí mismo, no resulta preocupante, dado que el 95 % de esos sistemas se ejecutaban en AWS. Si va a implementar contenedores y puertas de enlace de API en la nube pública, debe poder gestionarlos. Lo más habitual es hacerlo mediante algún tipo de consola de operaciones.
Lo preocupante es que se descubrió que se podía acceder a más de 300 de esos paneles sin necesidad de credencial alguna.
Quiero señalar que el informe de Lacework no es el único que advierte de este riesgo existencial. Ya en mayo de 2017, el Informe de seguridad en la nube de RedLock publicó sus conclusiones sobre cientos de consolas de administración de Kubernetes accesibles a través de Internet sin necesidad de credenciales.
Así que esto no es nada nuevo, pero sí es algo a lo que debemos intentar anticiparnos antes de que su adopción generalizada siga aumentando. Porque una de las cosas que hacen los atacantes con estas consolas abiertas es poner en marcha sus propios contenedores para llevar a cabo diversas actividades maliciosas, como la minería de bitcoins y la ejecución de bots. No buscan necesariamente tus datos, sino capacidad de computación gratuita y un nuevo conjunto de direcciones IP que aún no estén bloqueadas en las listas de denegación de Internet.
Y también quieren el acceso saliente sin restricciones que con demasiada frecuencia encuentran en estos entornos. El informe más reciente de RedLock reveló que «el 85 % de los recursos asociados a grupos de seguridad no restringe en absoluto el tráfico saliente. Esto supone un aumento respecto al año anterior, cuando esa cifra era del 80 %». Al no haber restricciones sobre el tráfico saliente, no sorprende que el equipo de RedLock también detectara que alrededor del 39 % de los hosts desplegados en Amazon que supervisa «presentan patrones de actividad asociados a instancias comprometidas o al reconocimiento por parte de atacantes».
No hace falta decir que, si utilizas cualquier tipo de consola web o basada en una API, debes protegerla. Como mínimo, debes exigir credenciales.
Sé que las organizaciones tienen infinidad de normas y listas de comprobación de seguridad que pueden resultar abrumadoras. Pero casi todas pueden resumirse en estas tres reglas básicas de seguridad:
1. No confiarás en los datos introducidos por el usuario. Jamás.
2. No codificarás credenciales directamente en el código. Nunca.
3. No dejarás abiertas las consolas de administración.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.