¿Tener demasiadas aplicaciones está ampliando su superficie de ataque?

Una superficie de ataque en expansión

Por supuesto, las aplicaciones son esenciales para el funcionamiento de su empresa. Si están bien diseñadas, pueden agilizar y facilitar prácticamente cualquier tarea o proceso. Pero ¿es posible abusar de algo bueno? Al parecer, sí. Los profesionales de operaciones de TI tienen dificultades para mantenerse al día con las arquitecturas de aplicaciones, las plataformas y los estándares tecnológicos modernos, que evolucionan constantemente. Como consecuencia, la seguridad, la visibilidad y el cumplimiento normativo de las aplicaciones son cada vez más preocupantes.

Sin duda, una importante empresa de transporte comprobó que así era. Incluso cuando la proliferación de aplicaciones aún no se consideraba un problema, este gigante de los servicios de transporte y oficina evaluó su cartera de aplicaciones y descubrió que contaba con más de 2.600, como consecuencia tanto de una intensa estrategia de adquisiciones como de un rápido crecimiento. Igual de preocupante fue constatar que disponía de más de 14.000 interfaces personalizadas para estas aplicaciones. La superficie de ataque que supone tal cantidad de aplicaciones representa un enorme riesgo para cualquier empresa que intente afrontarlo por sí sola, y este es solo uno de los muchos riesgos importantes asociados a este tipo de proliferación de aplicaciones.

Riesgos y soluciones

Gracias a un entorno de desarrollo de aplicaciones sumamente propicio, ahora las aplicaciones pueden pasar de la idea inicial a la prueba de concepto en cuestión de semanas. Una de las consecuencias de esta rapidez es que la responsabilidad de las decisiones sobre el desarrollo y el despliegue de aplicaciones —incluidas aquellas que afectan a la seguridad y al cumplimiento normativo— se ha ido desplazando hacia las primeras fases del proceso y ha pasado de los profesionales de redes y seguridad a los desarrolladores. Aunque esto favorece la rapidez —al liberar la capacidad de innovación latente y mejorar la posición competitiva de las organizaciones—, siguen existiendo importantes amenazas para la seguridad, requisitos de cumplimiento normativo y problemas operativos.

Las nuevas partes interesadas priorizan las opciones nativas de la nube y de código abierto y bajo coste frente a soluciones más robustas gestionadas por expertos en la materia. Esto se debe a la legítima preocupación de que la dependencia de otros equipos pueda generar fricciones en el proceso y ralentizar el ritmo de innovación. Sin embargo, entre los problemas habituales de este enfoque se encuentran la proliferación de herramientas de seguridad y gestión, la falta de visibilidad sobre el rendimiento de las aplicaciones y las importantes dificultades para cumplir los requisitos normativos.

Proliferación de herramientas de seguridad y gestión

Dado que alrededor del 87 % de las empresas utilizan implementaciones multinube, según nuestro Informe sobre el estado de los servicios de aplicaciones de 2019, existe una tendencia a utilizar las herramientas que ofrece el proveedor de servicios en la nube. Esto implica utilizar varias interfaces nativas para resolver, en esencia, el mismo problema, lo que genera dificultades derivadas de las diferencias en las funcionalidades, las políticas y las interfaces de gestión, y aumenta el riesgo para la empresa.

A esto hay que añadir no solo la enorme cantidad de aplicaciones que gestionan las organizaciones, sino también su complejidad. El resultado es una mayor superficie de ataque —o área con posibles vulnerabilidades de seguridad— a la que se enfrentan empresas como la suya. Hoy en día, debe trabajar con distintos frameworks web, como node.js y HTML5, entre otros, así como con servidores de aplicaciones y servidores web. Cada navegador permite acceder a aplicaciones diferentes. Con cada nueva capa de complejidad, aumentan las vulnerabilidades y los riesgos que hay que gestionar.

Entonces, ¿cómo se gestiona este riesgo? Cambiando el enfoque.

Siempre nos ha preocupado proteger la red. Pero ha llegado el momento de centrarnos también en la seguridad de las aplicaciones. Los cortafuegos de aplicaciones web, en particular, son una forma habitual de gestionar la seguridad de las aplicaciones. Esto se debe a que los ciberdelincuentes no solo atacan la red. Al fin y al cabo, aunque la red sea segura, si una aplicación tiene una vulnerabilidad, podrán acceder al sistema.

Tomemos de nuevo como ejemplo esa empresa de transporte. Cualquier persona del mundo puede acceder al sitio web para gestionar sus envíos. Estamos hablando de miles de millones de personas. Aunque la red esté completamente blindada, la aplicación podría ser la puerta de entrada, ya que cualquiera está autorizado a utilizarla. Por tanto, su mayor riesgo estaría en esa aplicación, no en su red, cuidadosamente protegida. Para muchas empresas, la aplicación es ahora mismo el eslabón más débil. Y los hackers lo saben.

Lo que debe hacer es crear servicios de aplicaciones estandarizados que puedan federarse a escala mundial sin obstaculizar la innovación de los equipos de desarrollo descentralizados. Adopte y facilite la automatización para garantizar que la seguridad esté integrada, con políticas de seguridad definidas y gestionadas por expertos en la materia y almacenadas como artefactos en repositorios de código fuente para su uso en canalizaciones de automatización de CI/CD, en lugar de codificarlas de forma rígida o configurarlas manualmente a posteriori. Para acelerar aún más (y de forma segura) la comercialización de las aplicaciones, es fundamental que programe únicamente lo necesario y aproveche los servicios de infraestructura reutilizables, como la autenticación y los cortafuegos de aplicaciones web.

Falta de visibilidad de las aplicaciones

En marzo de 2019, había más de 2,1 millones de aplicaciones disponibles para los usuarios de Android. La tienda de aplicaciones de Apple

ofrece más de 1,8 millones de aplicaciones. Y eso sin contar los millones de aplicaciones empresariales que se han desarrollado e implementado. En total, probablemente estemos hablando de más de mil millones de aplicaciones en uso actualmente en todo el mundo.

¿Quieres conocer un secreto sorprendente? La mayoría de las organizaciones no pueden decirte qué está ocurriendo con sus aplicaciones en un momento dado. No saben cuántas aplicaciones tienen, y mucho menos dónde están alojadas o quién tiene acceso a ellas. Incluso en el caso de las aplicaciones más importantes, las organizaciones rara vez disponen de una visibilidad constante sobre su rendimiento (por ejemplo, su disponibilidad o la latencia para el usuario final) o saben dónde buscar cuando algo falla.

Sea cual sea su estrategia, el objetivo debe ser determinar cómo implementar y gestionar aplicaciones de forma coherente en todos sus distintos silos de infraestructura. La mejor manera de hacerlo —y de obtener visibilidad sobre las rutas de todas sus aplicaciones— es aprovechar un conjunto uniforme de servicios de aplicaciones multinube. El uso de herramientas comunes le ayudará a reducir el riesgo, aumentar la repetibilidad y disminuir los defectos mediante la reutilización de servicios coherentes siempre que sea posible, especialmente en arquitecturas multinube. Al implementarse en todo su entorno de aplicaciones, estos servicios coherentes deben permitir inspeccionar por completo todo el tráfico que atraviesa la ruta de datos, lo que facilita la resolución de problemas cuando surgen, así como la interceptación y el bloqueo del tráfico malicioso.

Esta coherencia, junto con la visibilidad que ofrece este enfoque, también ayuda a reducir las fricciones entre los distintos equipos operativos que deben colaborar para mantener el alto rendimiento y la seguridad de las aplicaciones.

Desafíos de cumplimiento normativo

Muchas organizaciones actuales, especialmente aquellas que ejecutan aplicaciones en varias nubes (como ya hace o tiene previsto hacer la gran mayoría), se enfrentan a importantes dificultades para cumplir los requisitos normativos.

Como muchas ciudades modernas, las necesidades digitales de la ciudad de Bellevue han aumentado drásticamente. Hace una década, solo unos pocos empleados técnicos utilizaban su VPN para acceder a los sistemas de forma remota. Hoy, sus 1.600 empleados pueden trabajar a distancia. Para que la policía municipal pueda acceder a datos confidenciales sobre antecedentes penales, los sistemas deben cumplir estrictas directrices federales, entre ellas la política federal de seguridad de los Servicios de Información de Justicia Penal (CJIS) y la correspondiente Norma Federal de Procesamiento de la Información (FIPS). El cumplimiento de CJIS y FIPS se verifica mediante una auditoría federal anual. Si no se cumple la norma, la policía ve restringida la información a la que puede acceder sobre el terreno. En definitiva, la ciudad necesitaba poder proporcionar un acceso seguro y conforme con la normativa a todos los servicios municipales.

¿La solución? Sin ánimo de repetirnos, volvemos una vez más a la coherencia. Integrar políticas de seguridad coherentes y auditables en el proceso de CI/CD simplifica el cumplimiento normativo y aborda uno de los principales obstáculos que frenan la adopción de las prácticas y herramientas de DevOps.

Cuando se compilan e implementan aplicaciones, el flujo de trabajo de CI/CD garantiza que se publiquen siempre protegidas y conformes con la normativa.

De cara al futuro

No cabe duda de que las aplicaciones están proliferando. Algunos profesionales de TI podrían utilizar los términos TI «en la sombra» o «no autorizada», ya que muchas de estas aplicaciones son introducidas en la organización por usuarios de negocio, en lugar de por el departamento de TI. Sin embargo, estos términos despectivos no abordan los problemas que surgen cuando los usuarios de negocio se encargan por su cuenta de adquirir (o desarrollar) aplicaciones. Es preferible considerarlo como unas TI impulsadas por el negocio: una colaboración entre los usuarios de negocio y el departamento de TI para cumplir de la mejor manera posible la misión empresarial.

La proliferación de aplicaciones exige un control coherente, automatizable y centralizado. Hoy en día, es habitual que las empresas tengan sus activos de aplicaciones dispersos en distintas plataformas: en la nube, en sus centros de datos privados, en sus propias instalaciones y en diversos entornos SaaS. Las empresas están empezando a disponer de una visión unificada de toda su cartera de aplicaciones. Con este tipo de control, los riesgos resultan mucho más fáciles de gestionar.

La amplia y completa cartera de servicios de aplicaciones de F5 y su plataforma omnipresente permiten a las organizaciones centralizar y gestionar servicios auditables de seguridad e infraestructura de nivel empresarial en diversos entornos, lo que reduce el coste de los cambios y permite a los desarrolladores centrarse en la innovación.

Contenido relacionado

LIBRO ELECTRÓNICO

El laberinto multinube: 5 principios para alcanzar el éxito

Al igual que la virtualización revolucionó la infraestructura de TI, el auge de la nube ha vuelto a cambiar las reglas del juego.

Lee el eBook ›

BLOG

Son las 10 de la noche. ¿Sabe dónde están sus aplicaciones?

Las aplicaciones son el medio a través del cual las empresas ofrecen bienes y servicios. Bienvenidos a la era del capital de las aplicaciones.

Lee el blog ›

SEMINARIO WEB

Cómo abordar la gestión de aplicaciones multinube empresariales con F5

¿Tienes demasiadas aplicaciones? Descubre cómo simplificar la implementación uniforme de seguridad de nivel empresarial en todas tus aplicaciones.

Únete al seminario web ›

ARTÍCULO

Simplifique la gestión de aplicaciones multicloud

Es hora de implementar una estrategia de gestión de políticas que se adapte a tu organización y a tus aplicaciones. F5 puede ayudarte.

Lee el artículo ›