Tema 10: Seguridad en Cloud y Redes Virtuales

Tema 10. Seguridad en Cloud

• Este tema abarca los elementos esenciales para desplegar servicios de forma segura en la nube.
• Con una perspectiva de redes virtuales y cómo facilitan la conexión de recursos en la nube con despliegues locales.
• Se explica el concepto de IAM en entornos de nube.
• Se detalla cómo especificar permisos de usuario granulares, tomando a AWS como un caso práctico.
• Se explora la tendencia emergente donde los servicios de seguridad se ofrecen directamente en la nube en lugar de desplegarse localmente.

10.2. Redes Virtuales

• Las redes virtuales en la nube posibilitan la comunicación segura entre varios recursos, como máquinas virtuales, tanto internas como externas.
• Ofrecen beneficios adicionales como escalabilidad y alta disponibilidad inherentes a la infraestructura de la nube.
• Sirven como base para arquitecturas de nube nativas e híbridas, en donde se conectan, de forma segura, recursos nativos e infraestructura de nube con centros de datos físicos.
• Elementos esenciales:
• Al crear una red virtual, se debe definir un espacio de direcciones IP privadas.
• Las subredes dividen la red virtual en segmentos más pequeños, asignando una parte del espacio de direcciones a cada uno.
• La segmentación de subredes emula a las redes tradicionales, aumentando la eficiencia en la asignación de direcciones.
• Se ofrecen grupos de seguridad para proteger los recursos dentro de las subredes.
• Región: Una región es un conjunto de centros de datos de baja latencia en un área.
• Emparejamiento de redes virtuales: las redes virtuales se limitan a una región, pero se pueden entrelazar mediante el emparejamiento.
• Suscripción: las redes virtuales se vinculan a una cuenta, en la que se pueden definir tantas redes virtuales como sea necesario.

Escenarios De Interconexión De Redes Virtuales

• Conexión con Internet: De manera predeterminada, cualquier recurso en una red virtual empieza una comunicación saliente hacia Internet.
• Los recursos son accesibles desde Internet con una dirección IP pública, un balanceador de carga, y el tráfico se permite con un grupo de seguridad de red.
• Conexión con otros recursos en la nube: Se conectan a través de la red virtual o por medio del emparejamiento de redes, si se encuentran en diferentes redes virtuales.
• Conexión con recursos locales: Los recursos locales y las redes virtuales en la nube se conectan a través de una VPN.

10.3. Identity and Access Management

• IAM sirve para gestionar el acceso de usuarios a recursos y las acciones que pueden realizar.
• Una política bien planificada de IAM es un componente clave de la seguridad.
• IAM distingue entre autenticación, basada en usuarios y grupos, y autorización, que depende de políticas.
• AWS gestiona el acceso a recursos a través de Amazon Resource Names (ARN), un identificador único global para los objetos de AWS.
• El formato general de un ARN es: arn:partition:service:region:account-id:resource-type/resource-id, donde:
• partition: es un grupo de regiones de AWS; ejemplo aws
• service: el servicio de AWS que ofrece el recurso
• region: la región en la que se encuentra el recurso; no es necesaria en recursos globales
• account-id: el ID de la cuenta propietaria del recurso; se omite en algunos recursos globales
• resource-id: es el identificador del recurso
• Las directivas de IAM separan a usuarios y grupos de las acciones que realizan.
• Las directivas de IAM son documentos JSON que detallan qué acciones permite realizar un usuario.
• Se aplican a usuarios o grupos, otorgando acceso únicamente a los servicios especificados en el documento.
• Los elementos principales para definir una directiva son los statements o declaraciones, que enlazan acciones y recursos.
• El atributo effect indica si las acciones sobre los recursos se permiten (Allow) o se deniegan (Deny).
• De forma predeterminada, un usuario sin directivas no puede ejecutar acción alguna sobre ningún recurso.
• action especifica las acciones permitidas o denegadas con un texto, un campo o una lista.
• Los permisos admiten comodines para reducir el número requerido para lograr un acceso.
• resource determina el recurso o recursos afectados por la declaración, identificado con ARN, un texto o una lista.

Usuarios y Grupos

• Usuarios: Un humano que inicia sesión en la consola de administración web o un programa con credenciales de acceso para interactuar con las API de AWS.
• Las directivas de IAM a un usuario determinan las acciones que pueden realizar.
• Al crear un usuario, se puede permitir el inicio de sesión en la consola o el acceso directo a las API con un SDK o la herramienta de línea de comandos.
• El acceso a las API requiere una clave y un secreto adicionales, aleatorios y más complejos que las credenciales de inicio de sesión.
• Los usuarios pueden tener dos claves activas; y en caso de no poder cambiar la contraseña, es necesario tener al menos dos claves para rotarlas.

Roles

• Características:
• Al igual que los usuarios y grupos, los roles de IAM también tienen directivas aplicadas que otorgan permisos.
• Los roles se aplican a una instancia en el momento del arranque: AWS genera y proporciona automáticamente la clave y el secreto de acceso mediante la API de metadatos.
• Se pueden usar credenciales para acceder a servicios de AWS con los permisos delineados por las políticas del rol.
• Los SDK de AWS y awscli pueden leer las claves de manera automática, sin ajustes de desarrolladores o administradores, solo se requiere que la aplicación se ejecute en una instancia de EC2.
• Los roles también se pueden aplicar a otros servicios de AWS como Lambda o API Gateway, usuarios, aplicaciones móviles o entidades externas para permitir la gestión de recursos en la cuenta del cliente.
• Se pueden asignar roles de una cuenta (A) a usuarios de otra cuenta (B):
• Cuando el usuario de la cuenta B desea acceder a los recursos de la cuenta A, el usuario asume un rol de la cuenta B.
• Las acciones permitidas son las que delimitan las directivas aplicadas a ese rol.

10.4. Seguridad en la Nube como Servicio

• Definición: Consiste en ofrecer servicios de seguridad, que normalmente se ejecutan localmente, dentro de un entorno en la nube.
• Lista de servicios de seguridad ofrecidos en la nube
• Gestión de identidades y accesos
• Prevención de pérdida de datos
• Seguridad web: filtrado web, análisis de vulnerabilidades, monitorización, etc.
• Seguridad del correo electrónico
• SIEM
• VPN
• Herramientas de seguridad perimetral: firewalls, IDS, etc.
• Ventajas de delegar servicios de seguridad en entornos de nube:
• Disponibilidad del servicio constante
• Gestión simplificada
• Escalabilidad
• Se debe tener en cuenta que la seguridad de la organización se delega a un tercero con rigurosos acuerdos de servicio.