El estado de la seguridad en la nube (parte 2): comience con una conversación - Calendae | Informática, Electrónica, CMS, Ciberseguridad

El estado de la seguridad en la nube (parte 2): comience con una conversación

Hola y mil gracias por leerme. Te habla Simón Sánchez y en esta ocasión te voy a hablar sobre El estado de la seguridad en la nube (parte 2): comience con una conversación

Si bien la computación en la nube presenta un nuevo riesgo de un fiasco de seguridad, hay muchas cosas que los proveedores y clientes pueden hacer para aprovechar los recursos bajo demanda de una manera segura y confiable. La gente inteligente lo ha pensado mucho.

Dave Durkee, director ejecutivo del proveedor de la nube ENKI, dice que la seguridad en la nube debe comenzar con defensas de hardware básicas y buenas: el énfasis en el hardware. «Soy un gran creyente en los firewalls de hardware», dice. “No es suficiente conocer la firma de un ataque. Necesita saber de dónde viene el tráfico para bloquearlo. Si llenan sus conexiones ascendentes, pueden cerrarlo. «

ENKI construye su sistema en torno a AppLogic, el motor de red de 3Tera, que «nos permite administrar las conexiones dentro del centro de datos virtual, para que podamos especificar las interconexiones entre cada servidor», dice Durkee. “Puede pasar del servidor A al servidor B, pero no puede llegar al C. Podemos integrar este nivel de seguridad en la arquitectura. Pero también debe seguir la ruta tradicional y tener detección de intrusiones basada en hardware y un firewall frente a todas esas cosas de la red. Necesitas múltiples capas de protección, como en la Edad Media, con el foso y las paredes exteriores que impiden que los invasores entren al castillo «.

Si bien la tecnología de virtualización puede habilitar sus propios riesgos de seguridad, también permite a los diseñadores de sistemas crear seguridad desde el primer paso. «La clave es crear seguridad en la fase de planificación, al diseñar máquinas virtuales», dice Tamar Newberger, vicepresidente de marketing de Catbird, que proporciona herramientas de monitoreo de seguridad para redes físicas y virtuales. «Debe diseñar políticas como» Ninguna máquina financiera puede salir del país «, por ejemplo. Si no desea que los empleados puedan enviar ciertos tipos de máquinas virtuales, por ejemplo, a Tokio, colóquelas en sus políticas y luego en su infraestructura. virtual. Puede tener herramientas de monitoreo que le notifiquen si alguien intenta hacer algo que viola las políticas de seguridad «.

IBM aprovecha las capacidades de virtualización dentro de los servidores que utiliza en los centros de la nube para implementar medidas de seguridad, dice Dennis Quan, director de tecnología de Soluciones bajo demanda de alto rendimiento en IBM. Lo más importante, dice, son las técnicas de aislamiento para mantener separados los datos y los activos de los clientes.

«Aún queda mucho trabajo por hacer para asegurar los canales que llegan a la nube fuera de su empresa», dice Quan, pero la empresa ha desarrollado soluciones en torno a su tecnología actual. “Creamos aislamiento en el hardware, pero también es necesario el aislamiento basado en la red. Esto se puede proporcionar como parte de una LAN virtual o podemos usar diferentes tecnologías de enrutamiento. En la nube que creamos para la ciudad de Wuxi en China, tuvimos que implementar muchas formas diferentes de seguridad. Tienen varias empresas de software que utilizan esta función y esas empresas tienen clientes que son grandes empresas en todo el mundo. Entonces necesitan aislamiento. Hemos implementado una VPN para asegurarnos de que todo el tráfico entrante en la nube esté autenticado. Usamos LAN virtuales y tecnologías de virtualización para mantener las máquinas virtuales completamente aisladas entre diferentes inquilinos en la nube. Hay mucho más que debemos hacer para fortalecer la autenticación a medida que evoluciona la nube, y eso es parte de lo que estamos aprendiendo a medida que construimos nubes en todo el mundo. Los productos de seguridad han tenido que mejorar para satisfacer las demandas de los clientes que utilizan estas nubes «.

Las herramientas de seguridad deberán adaptarse al modelo de pago por uso en la nube, dice Craig Balding, jefe de seguridad técnica de una empresa Fortune 500 y propietario de cloudsecurity.org . La verdadera seguridad en la nube requerirá «el aprovisionamiento dinámico y la configuración de firewalls y dispositivos de monitoreo de seguridad de red para controlar el tráfico de instancias de computación virtual iniciadas bajo demanda, quizás en múltiples continentes», dice Balding. “¿Qué sucede cuando la situación cambia repentinamente debido a la pregunta? Esto solo se solucionará mediante sistemas de seguridad autónomos inteligentes. »

Necesario: un palo estándar

Algún tipo de acuerdo formal sobre quién es responsable de qué ayudará a mejorar la seguridad de los clientes de la nube. Dominique Levin del proveedor de seguridad de red LogLogic sugiere algo similar al estándar desarrollado por las compañías de tarjetas de crédito para la seguridad de los datos, conocido como Payment Card Industry (PCI). “PCI define un conjunto de medidas mínimas que todas las organizaciones deben implementar para proteger la información confidencial. Estos incluyen cosas como el uso de un firewall, la limitación de los servicios riesgosos innecesarios en la red y el monitoreo de la actividad del usuario a través de los datos de registro «.

“El problema con los servicios basados ​​en la nube es la falta de un» palo «fuerte y centralizado para obligar a los proveedores a cumplir con cualquier estándar. Visa y MasterCard pueden forzar la adopción del estándar imponiendo fuertes multas o incluso negarse a procesar transacciones con tarjeta de crédito en caso de incumplimiento. Los clientes de proveedores de nube pueden votar con sus pies y negarse a hacer negocios hasta que se adopte un estándar de seguridad, pero no existe un «grupo de clientes de proveedores de nube» organizado para liderar y hacer cumplir un estándar. Lo mejor que podemos esperar es que algunos proveedores de servicios ilustrados adopten un estándar para diferenciarse. Una vez que un proveedor tiene éxito con esa estrategia, otros seguirán y terminaremos con un estándar de facto «.

Nubes transparentes

Una palabra parece surgir en prácticamente todas las conversaciones sobre el fortalecimiento de la seguridad en la nube: transparencia. (Ver también: falta de eso).

«La falta de transparencia es un gran problema en la computación en la nube», dice John Engates, director de tecnología de Rackspace, la gran empresa de alojamiento de sistemas de TI con su propia división en la nube, Mosso. «Debido a que la computación en la nube es un concepto bastante nuevo, la mayoría de los jugadores actuales mantienen muchos detalles de su plataforma cerca de su chaleco. Esto incluye detalles como el tamaño de la nube, la tecnología que impulsa la nube, prácticas de seguridad relacionadas con las operaciones. nube, ubicaciones de centros de datos, antecedentes del personal, etc. La seguridad contra la oscuridad no funciona. Los grandes compradores corporativos de TI requerirán auditorías de seguridad y garantía de controles. … La mayoría de las nubes existentes no proporcionan este tipo de transparencia . Antes de que veamos una adopción generalizada por parte de grandes corporaciones y agencias gubernamentales, necesitaremos un poco más de transparencia en este tipo de detalles. El secreto no es una ventaja competitiva a largo plazo y las empresas están dispuestas a por adelantado y decirles a sus clientes más sobre la infraestructura en la nube que aloja sus datos, al final ganará «.

Engates recomienda probar la transparencia preguntando también:

  • ¿Dónde está la nube? ¿Puedo ver el centro de datos?
  • ¿Puedo extraer mis datos de su nube?
  • ¿Se eliminan mis datos de la nube cuando los elimino?
  • ¿Cómo protegen mis datos de otras personas que tienen acceso a la nube?
  • ¿Alguna vez ha experimentado una violación de datos en su nube?
  • ¿Cifran mis datos en tránsito? ¿En reposo?

No todo el mundo dice estar preocupado por los problemas de seguridad en la nube. “Mucho de esto tiene que ver con barreras psicológicas más irracionales. Es como decir que no confío en que el banco se quede con mi dinero ”, dice Geva Perry, directora de marketing de Tecnologías GigaSpaces, cuyos productos permiten a las empresas ejecutar y escalar aplicaciones de alto rendimiento en redes. «No hay razón para pensar que cualquier centro de datos corporativo sea más seguro que el centro de datos de un proveedor de nube serio como Amazon o Google o cualquiera de los otros. Estas empresas se especializan en la gestión de grandes centros de datos».

«No rehuiría el uso de servicios basados ​​en la nube», dice Levin de LogLogic, «pero le pediría a mi proveedor de nube que redoble las medidas de seguridad y cumplimiento. Me gustaría hacer preguntas simples como» ¿Sabrá quién accede a mis datos en un momento dado? » «

A medida que la nube evoluciona y más y más personas almacenan datos «allí», la herramienta de seguridad más importante podría ser realmente simple: «Puede tener la mejor gente de seguridad, la tecnología más inteligente, pero está listo para tener la conversación. en seguridad? » Pregunta Balding. «¿Está dispuesto a comprometerse a un nivel significativo? El mayor problema hoy en día desde fuera de la nube es que la seguridad es definitivamente en la nube, cuando debe ser transparente».

Recuerda compartir en en tu Twitter y Facebook para que tus colegas lo flipen

??? ? ? ???

Comparte