Millora de les pràctiques de seguretat a l’era del núvol (03.28.24)

La informàtica en núvol està prosperant i la captació de serveis basats en el núvol ha crescut significativament en els darrers anys. Gairebé totes les organitzacions petites, mitjanes i empresarials tenen en marxa alguna forma d’iniciativa de transformació digital o estratègia de computació en núvol. La seguretat és un component important de la indústria i la protecció de dades sensibles i informació privilegiada és una prioritat.

Els proveïdors de serveis al núvol operen plataformes intrínsecament segures que estan dissenyades des del principi per protegir i controlar els actius empresarials accés en un mètode lògic, però segur. Afortunadament, en seleccionar un soci dedicat al núvol, les empreses poden optar per connectar-se directament a una plataforma de seguretat com a servei existent, que ja està dissenyada per superar les millors pràctiques del sector i que pot alleujar la complexitat tècnica i els enormes costos d’un enfocament de bricolatge intern.

La protecció del núvol és una responsabilitat compartida entre el proveïdor, el consumidor i tots els tercers rellevants. No hi ha dubte que la presa de decisions de seguretat és vital en l'era del núvol, totes les plataformes basades en el núvol han de consumir els serveis d'infraestructura del núvol amb diligència. Encara hi ha una probabilitat real que un administrador del sistema desconfiat pugui haver configurat malament un servidor al núvol, deixant potencialment la porta oberta a tot el sistema.

Anàlisi del núvol

És vital que tots els sistemes informàtics, natius o sistemes en procés de transició a un proveïdor de núvol, seguretat completa a causa de la revisió de la diligència. Aquest procés està dissenyat per entendre com es comparteixen i s’accedeix a les dades sensibles. Saber exactament quines dades teniu, com processeu i transformeu les dades i on s’emmagatzemen o es transmeten aquestes dades és un component obligatori de revisió de seguretat.

L'anàlisi és una activitat desafiadora que requereix molt de temps per completar, però és vital identificar dades sensibles o regulades i prendre les mesures adequades per protegir-les. Molts proveïdors tenen eines basades en agents que poden enviar directament les dades de configuració i configuració del sistema per revisar-les. Aquest procés automatitzat triga uns minuts a configurar-se, però pot ajudar a crear un esquema de l'entorn existent.

La informació recopilada ajuda a auditar la plataforma de núvol existent o proposada i és una gran eina per identificar i prevenir el servidor configuració errònia. També pot descobrir qualsevol comportament maliciós o inesperat que es produeixi a la xarxa. Alguns exemples inclouen usuaris que comparteixen credencials, serveis del sistema que s’executen en un compte d’usuari de directori actiu, polítiques de contrasenya dèbils o permisos de fitxers i carpetes febles.

L'objectiu és solucionar els problemes abans de migrar al núvol. És en aquesta etapa inicial on ja s’hauria de començar la formació dels empleats. Compartir informació i oferir formació sobre les futures aspiracions de l’estratègia en núvol és un bon començament. Formeu-vos sobre l’etiqueta del soci, l’usuari i l’ordinador escollits i proporcioneu detalls sobre les pràctiques recomanades de seguretat per ajudar a prevenir programes maliciosos, virus i ransomware.

Protecció dels serveis al núvol plataforma al núvol de l’organització. Un cop les càrregues de treball i els sistemes de producció comencen a funcionar al núvol, s’ha de revisar l’arquitectura de seguretat per assegurar-se que és adequada per al propòsit. La majoria de les proteccions de capa de maquinari, com ara el xifratge, la segmentació de xarxa i els tallafocs, ja estaran instal·lades i el proveïdor ajustarà els processos.

Cal crear i revisar diverses polítiques de seguretat. Aquests tracten aspectes importants relacionats amb el control de dades. La capacitat d’emmagatzematge gairebé il·limitada del núvol és un atractiu enorme per a les empreses. No obstant això, el tipus d’emmagatzematge i els controls establerts tenen una gran importància. Polítiques sobre quines dades s’emmagatzemen i en quina ubicació? Es permeten dades confidencials a l'estranger o s'han de mantenir a terra per motius de compliment?

Els dipòsits d'emmagatzematge han de tenir controls d'auditoria sobre la creació i supressió de dades. Els controls d'accés s'han de comprovar per garantir que els usuaris autoritzats tinguin els permisos correctes per manipular fitxers. S’estableixen controls per controlar el període de conservació i supressió de les dades; algunes empreses opten per conservar les dades durant un màxim de set anys; després d’aquest període, l’organització està obligada a eliminar les dades. L’emmagatzematge al núvol pot automatitzar la gran majoria d’aquest mal de cap.

La integritat de les dades és vital a l'era del núvol. Es recomana encriptar totes les dades del núvol, preferiblement mitjançant les vostres pròpies claus de xifratge. Cal prendre mesures per evitar que les dades es traslladin a dispositius externs, com ara un bolcat de dades a un disc USB. Moltes suites de seguretat ofereixen aquesta funcionalitat de manera immediata.

Una altra pràctica de seguretat important és controlar constantment les vulnerabilitats de seguretat a tot l'entorn. Aquesta és una tasca crucial que pot requerir un equip de professionals de la seguretat. Les plataformes de seguretat s’utilitzen per escanejar adreces IP externes públiques des d’Internet públic i també els professionals de SecOp analitzen les xarxes i sistemes interns per detectar punts febles.

Aquesta activitat crea un gran nombre d'accions necessàries per solucionar la vulnerabilitat. Entre els exemples típics s’inclouen els punts febles del sistema operatiu i les aplicacions, els xifrats de seguretat febles que s’utilitzen als llocs web i les contrasenyes febles o predeterminades. Les exploracions també es completen amb una extensa base de dades de vulnerabilitats conegudes. S'informa de cada vulnerabilitat i inclou la gravetat i el risc probable d'una explotació.

L'autenticació multifactor (MFA) és l'estàndard esperat per garantir l'accés als serveis al núvol. El mètode més comú per accedir-hi és proporcionar un nom d’usuari, un PIN personal i un codi segur des d’un dispositiu, normalment un telèfon mòbil. Normalment, aquestes proteccions es troben a la capa de xarxa, com ara iniciar un túnel VPN al núvol de destinació VPS, però es poden utilitzar com a capa addicional de seguretat per als llocs web i els servidors de producció sensibles.

Moltes organitzacions fan un pas més i representen tot el trànsit de la xarxa mitjançant un servei de detecció que inspecciona els paquets quan entren o surten de la xarxa. Aquest enfocament millora les capacitats de registre i seguiment, però també és molt senzill incloure a la llista negra adreces no autoritzades.

SecOps

Després d’incorporar els sistemes informàtics d’una organització al núvol, hi ha molts requisits d’activitat operativa quotidiana . Aquests processos estan dissenyats per millorar les millors pràctiques de seguretat a l'era del núvol. Actualitzar i modificar constantment les polítiques d’accés al núvol ajuda les empreses a reforçar l’accés, cosa que garanteix que els usuaris aprovats només tinguin accés al sistema.

La gestió de la informació de seguretat requereix que els procediments tècnics estiguin actualitzats i que hi hagi disponibles procediments operatius documentats per a la plataforma del núvol. Això serveix per a diversos propòsits. Ajuda amb la transferència de coneixement i la formació dels empleats i també proporciona a l’organització capacitats de continuïtat empresarial. Les pràctiques recomanades de seguretat estableixen que els procediments de reinici del sistema i recuperació de dades estiguin disponibles en cas de fallada del sistema.

La documentació ha de definir explícitament com l’organització processa i gestiona la informació, defineix la política de còpia de seguretat, inclou els requisits de programació (inici / temps final de les tasques) i inclouen instruccions per tractar errors o altres condicions excepcionals, així com la forma en què es processa i elimina la informació confidencial.

La pràctica de seguretat de SecOps cobreix el procés de gestió de canvis. Això inclou el registre de canvis significatius, la planificació i la prova dels canvis, incloses les avaluacions d'impacte. Tots els canvis han de ser aprovats per un panell que inclogui oficials de seguretat i totes les persones rellevants estiguin informades.

Altres pràctiques de seguretat destacades inclouen la planificació de la gestió de la capacitat i la separació de les instal·lacions de desenvolupament, proves i producció. Implementar controls contra el programari maliciós i garantir que hi hagi controls antivirus. Les còpies de seguretat del sistema i les còpies de seguretat de dades es completen i es manté la informació segons la legislació local (GDPR o CCPA).

Es recomana un registre i auditoria detallats dels serveis. Es poden recollir i mantenir registres dins d’una plataforma SIEM. Això inclou els nivells adequats de registre habilitats als servidors web, servidors d'aplicacions i productes de bases de dades. Altres àrees inclouen la supervisió de l'accés privilegiat, intents d'accés no autoritzat, alertes del sistema i qualsevol canvi realitzat a la configuració de seguretat del sistema.


Vídeo de YouTube: Millora de les pràctiques de seguretat a l’era del núvol

03, 2024