Nos gustaría señalar que las amenazas y vulnerabilidades involucradas en la migración a la nube están en constante evolución, y las que se enumeran aquí no son exhaustivas. Es importante considerar otros desafíos y riesgos asociados con la adopción de la nube específicos para sus misiones, sistemas y datos.
El modelo de nube del Instituto Nacional de Estándares y Tecnología (NIST) proporciona una definición de computación en la nube y cómo se puede usar e implementar.
NIST identifica las siguientes características y modelos para computación en la nube:
- Características esenciales: autoservicio bajo demanda, amplio acceso a la red, agrupación de recursos, elasticidad rápida y servicio medido
- Modelos de servicio: software como servicio (SaaS), plataforma como servicio (PaaS) e infraestructura como servicio (IaaS)
- Modelos de implementación: nube privada, nube comunitaria, nube pública y nube híbrida
Amenazas, riesgos y vulnerabilidades de computación en la nube
Los entornos en la nube experimentan, a un alto nivel, las mismas amenazas que los entornos de centros de datos tradicionales; la imagen de amenaza es la misma. Es decir, la computación en la nube ejecuta software, el software tiene vulnerabilidades y los adversarios intentan explotar esas vulnerabilidades. Sin embargo, a diferencia de los sistemas de tecnología de la información en un centro de datos tradicional, en la computación en la nube, la responsabilidad de mitigar los riesgos que resultan de estas vulnerabilidades de software se comparte entre el CSP y el consumidor de la nube. Como resultado, los consumidores deben comprender la división de responsabilidades y confiar en que el CSP cumple con sus responsabilidades. Sobre la base de nuestras búsquedas de literatura y nuestros esfuerzos de análisis, se identificó la siguiente lista de vulnerabilidades y amenazas únicas y compartidas en la nube/en las instalaciones. La siguiente figura también detalla el panorama de amenazas para las plataformas de computación en la nube.
Amenazas y riesgos únicos en la nube
Las siguientes vulnerabilidades son el resultado de la implementación por parte de un CSP de las cinco características de computación en la nube. Estas vulnerabilidades no existen en los centros de datos de TI clásicos.
Los Consumidores#1 Tienen Visibilidad y Control Reducidos. Al hacer la transición de activos/operaciones a la nube, las organizaciones pierden algo de visibilidad y control sobre esos activos/operaciones. Cuando se utilizan servicios en la nube externos, la responsabilidad de algunas de las políticas y la infraestructura se traslada al CSP.
El cambio real de responsabilidad depende de los modelos de servicio en la nube utilizados, lo que lleva a un cambio de paradigma para las agencias en relación con la supervisión de la seguridad y el registro. Las organizaciones deben realizar la supervisión y el análisis de la información sobre aplicaciones, servicios, datos y usuarios, sin utilizar la supervisión y el registro basados en la red, que están disponibles para la TI local.
#2 El Autoservicio Bajo Demanda Simplifica El Uso No Autorizado. Los CSP facilitan la prestación de nuevos servicios. Las funciones de aprovisionamiento de autoservicio bajo demanda de la nube permiten al personal de una organización proporcionar servicios adicionales desde el CSP de la agencia sin el consentimiento de TI. La práctica de usar software en una organización que no es compatible con el departamento de TI de la organización se conoce comúnmente como TI de sombra.
Debido a los menores costos y la facilidad de implementación de productos PaaS y SaaS, aumenta la probabilidad de uso no autorizado de servicios en la nube. Sin embargo, los servicios aprovisionados o utilizados sin conocimiento de TI presentan riesgos para una organización. El uso de servicios en la nube no autorizados podría dar lugar a un aumento de las infecciones de malware o la exfiltración de datos, ya que la organización no puede proteger los recursos que desconoce. El uso de servicios en la nube no autorizados también disminuye la visibilidad y el control de la red y los datos de una organización.
#3 Las API de administración accesibles por Internet pueden verse comprometidas. Los CSP exponen un conjunto de interfaces de programación de aplicaciones (API) que los clientes utilizan para administrar e interactuar con los servicios en la nube (también conocidos como el plano de administración). Las organizaciones utilizan estas API para aprovisionar, administrar, organizar y supervisar sus activos y usuarios. Estas API pueden contener las mismas vulnerabilidades de software que una API para un sistema operativo, biblioteca, etc. A diferencia de las API de administración para computación local, las API de CSP son accesibles a través de Internet, lo que las expone de manera más amplia a la explotación potencial.
Los actores de amenazas buscan vulnerabilidades en las API de administración. Si se descubren, estas vulnerabilidades se pueden convertir en ataques exitosos y los activos de la nube de la organización pueden verse comprometidos. A partir de ahí, los atacantes pueden usar los activos de la organización para perpetrar más ataques contra otros clientes de CSP.
#4 Falla La Separación Entre Varios Inquilinos. La explotación de las vulnerabilidades del sistema y del software dentro de la infraestructura, las plataformas o las aplicaciones de un CSP que admiten múltiples alquileres puede llevar a que no se mantenga la separación entre los inquilinos. Este error puede ser utilizado por un atacante para obtener acceso desde el recurso de una organización a los activos o datos de otro usuario u organización. El arrendamiento múltiple aumenta la superficie de ataque, lo que aumenta la probabilidad de fuga de datos si los controles de separación fallan.
Este ataque se puede lograr explotando vulnerabilidades en las aplicaciones, hipervisor o hardware del CSP, subvirtiendo los controles de aislamiento lógico o los ataques en la API de administración del CSP. Hasta la fecha, no ha habido un fallo de seguridad documentado de la plataforma SaaS de un CSP que haya dado lugar a que un atacante externo obtenga acceso a los datos de los inquilinos.
No se identificaron informes de un ataque basado en un fallo de separación lógica; sin embargo, se han demostrado exploits de prueba de concepto.
#5 La eliminación de datos está incompleta. Existen amenazas asociadas con la eliminación de datos porque el consumidor tiene una visibilidad reducida de dónde se almacenan físicamente sus datos en la nube y una capacidad reducida para verificar la eliminación segura de sus datos. Este riesgo es preocupante porque los datos se distribuyen en una serie de dispositivos de almacenamiento diferentes dentro de la infraestructura del CSP en un entorno de arrendamiento múltiple. Además, los procedimientos de eliminación pueden diferir de un proveedor a otro. Es posible que las organizaciones no puedan verificar que sus datos se eliminaron de forma segura y que los restos de los datos no están disponibles para los atacantes. Esta amenaza aumenta a medida que una agencia utiliza más servicios de CSP.
Amenazas y riesgos en la nube y en las instalaciones
Los siguientes son riesgos que se aplican a los centros de datos de TI en la nube y en las instalaciones que las organizaciones deben abordar.
# 6 Se roban las credenciales. Si un atacante obtiene acceso a las credenciales de nube de un usuario, el atacante puede tener acceso a los servicios del CSP para aprovisionar recursos adicionales (si las credenciales permiten el acceso al aprovisionamiento), así como dirigirse a los activos de la organización. El atacante podría aprovechar los recursos de computación en la nube para dirigirse a los usuarios administrativos de la organización, a otras organizaciones que utilizan el mismo CSP o a los administradores del CSP. Un atacante que obtenga acceso a las credenciales en la nube de un administrador de CSP puede usar esas credenciales para acceder a los sistemas y datos de la agencia.
Los roles de administrador varían entre un CSP y una organización. El administrador de CSP tiene acceso a la red, los sistemas y las aplicaciones de CSP (dependiendo del servicio) de la infraestructura del CSP, mientras que los administradores del consumidor solo tienen acceso a las implementaciones en la nube de la organización. En esencia, el administrador de CSP tiene derechos de administración sobre más de un cliente y admite varios servicios.
#7 El Bloqueo de proveedores Complica el paso a Otros CSP. El bloqueo de proveedores se convierte en un problema cuando una organización considera mover sus activos/operaciones de un CSP a otro. La organización descubre que el costo / esfuerzo / tiempo de programación necesario para la mudanza es mucho mayor de lo que se consideró inicialmente debido a factores como formatos de datos no estándar, API no estándar y la dependencia de las herramientas propietarias de un CSP y API únicas.
Este problema aumenta en los modelos de servicio en los que el CSP asume más responsabilidad. A medida que una agencia utiliza más funciones, servicios o API, aumenta la exposición a las implementaciones únicas de un CSP. Estas implementaciones únicas requieren cambios cuando una capacidad se mueve a un CSP diferente. Si un CSP seleccionado sale del negocio, se convierte en un problema importante, ya que los datos se pueden perder o no se pueden transferir a otro CSP de manera oportuna.
#8 El Aumento De La Complejidad Tensa al Personal De TI. La migración a la nube puede introducir complejidad en las operaciones de TI. Administrar, integrar y operar en la nube puede requerir que el personal de TI existente de la agencia aprenda un nuevo modelo. El personal de TI debe tener la capacidad y el nivel de habilidad para administrar, integrar y mantener la migración de activos y datos a la nube, además de sus responsabilidades actuales para la TI local.
Los servicios de administración de claves y cifrado se vuelven más complejos en la nube. Los servicios, las técnicas y las herramientas disponibles para registrar y supervisar los servicios en la nube suelen variar entre los CSP, lo que aumenta aún más la complejidad. También puede haber amenazas/riesgos emergentes en implementaciones de nube híbrida debido a la tecnología, las políticas y los métodos de implementación, que agregan complejidad. Esta complejidad añadida conduce a un mayor potencial de brechas de seguridad en las implementaciones locales y en la nube de una agencia.
#9 Insiders Abusan del Acceso Autorizado. Los miembros de la comunidad, como el personal y los administradores de organizaciones y CSP, que abusan de su acceso autorizado a las redes, sistemas y datos de la organización o CSP, están en una posición única para causar daños o filtrar información.
El impacto es probablemente peor cuando se usa IaaS debido a la capacidad de un interno para aprovisionar recursos o realizar actividades nefastas que requieren análisis forenses para su detección. Es posible que estas capacidades forenses no estén disponibles con recursos en la nube.
#10 Se pierden los Datos almacenados. Los datos almacenados en la nube se pueden perder por motivos distintos de ataques maliciosos. La eliminación accidental de datos por parte del proveedor de servicios en la nube o una catástrofe física, como un incendio o un terremoto, puede provocar la pérdida permanente de datos de los clientes. La carga de evitar la pérdida de datos no recae únicamente en los hombros del proveedor. Si un cliente cifra sus datos antes de subirlos a la nube, pero pierde la clave de cifrado, los datos se perderán. Además, la comprensión inadecuada del modelo de almacenamiento de un CSP puede provocar la pérdida de datos. Las agencias deben considerar la recuperación de datos y estar preparadas para la posibilidad de que su CSP sea adquirido, cambie las ofertas de servicios o vaya a la quiebra.
Esta amenaza aumenta a medida que una agencia utiliza más servicios de CSP. Recuperar datos en un CSP puede ser más fácil que recuperarlos en una agencia porque un SLA designa porcentajes de disponibilidad/tiempo de actividad. Estos porcentajes deben investigarse cuando la agencia seleccione un CSP.
#11 La Cadena de suministro de CSP está Comprometida. Si el CSP subcontrata partes de su infraestructura, operaciones o mantenimiento, es posible que estos terceros no satisfagan/apoyen los requisitos que el CSP está contratado para proporcionar a una organización. Una organización necesita evaluar cómo el CSP impone el cumplimiento y verificar si el CSP transfiere sus propios requisitos a terceros. Si no se imponen los requisitos a la cadena de suministro, la amenaza para la agencia aumenta.
Esta amenaza aumenta a medida que una organización utiliza más servicios de CSP y depende de los CSP individuales y sus políticas de cadena de suministro.
#12 La Diligencia Debida Insuficiente Aumenta El Riesgo De Ciberseguridad. Las organizaciones que migran a la nube a menudo realizan una diligencia debida insuficiente. Mueven los datos a la nube sin comprender el alcance completo de hacerlo, las medidas de seguridad utilizadas por el CSP y su propia responsabilidad de proporcionar medidas de seguridad. Toman decisiones para usar servicios en la nube sin comprender completamente cómo deben protegerse esos servicios.
Terminando y mirando hacia el futuro
Es importante recordar que los CSP utilizan un modelo de responsabilidad compartida para la seguridad. El CSP acepta la responsabilidad de algunos aspectos de la seguridad. El CSP y el consumidor comparten otros aspectos de la seguridad. Por último, algunos aspectos de la seguridad siguen siendo responsabilidad exclusiva del consumidor. La seguridad efectiva en la nube depende de conocer y cumplir con todas las responsabilidades del consumidor. El hecho de que los consumidores no entiendan o no cumplan con sus responsabilidades es una de las principales causas de incidentes de seguridad en los sistemas basados en la nube.
En esta publicación de blog, hemos identificado cinco amenazas únicas en la nube y siete en la nube y en las instalaciones a las que se enfrentan las organizaciones cuando consideran migrar sus datos y activos a la nube. En la próxima publicación de esta serie, exploraremos una serie de prácticas recomendadas destinadas a ayudar a las organizaciones a trasladar datos y aplicaciones a la nube de forma segura.
Recursos adicionales
Lea la siguiente publicación de esta serie, Prácticas recomendadas para la seguridad en la nube.
Para obtener más información sobre la seguridad de la computación en la nube, visite los siguientes sitios:
El Programa Federal de Gestión de Riesgos y Autorizaciones (FedRAMP) es un programa para todo el gobierno que proporciona un enfoque estandarizado para la evaluación de la seguridad, la autorización y la supervisión continua de productos y servicios en la nube.
La Alianza de Seguridad en la Nube trabaja para promover el uso de las mejores prácticas para proporcionar garantía de seguridad dentro de la Computación en la Nube, y proporcionar educación sobre los usos de la Computación en la Nube para ayudar a proteger todas las demás formas de computación
La página de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA) sobre seguridad en la nube.