Introducción al pilar de seguridad

La seguridad de la información siempre ha sido un asunto complejo y que evoluciona rápidamente con la creatividad en cuanto a ideas e implementaciones de los atacantes y los investigadores de seguridad. El origen de las vulnerabilidades de seguridad empezó con la identificación y el aprovechamiento de errores de programación comunes y casos extremos inesperados. Sin embargo, con el tiempo, la superficie expuesta a ataques que un atacante puede explorar y aprovechar se ha ampliado mucho más allá de estos errores comunes y casos perimetrales. Ahora, los atacantes aprovechan libremente las vulnerabilidades de las configuraciones del sistema, las prácticas operativas y los hábitos sociales de los usuarios de los sistemas. A medida que aumentan la complejidad del sistema, la conexión y la variedad de usuarios, los atacantes tienen más oportunidades para identificar casos perimetrales no protegidos. Los atacantes pueden hackear sistemas para hacer cosas que no estaban diseñadas para hacer.

La seguridad constituye uno de los aspectos más importantes de cualquier arquitectura. Proporciona las siguientes garantías contra ataques deliberados y abuso de sus valiosos datos y sistemas:

  • Confidencialidad
  • Integridad
  • Disponibilidad

Perder estas garantías puede afectar negativamente a las operaciones y los ingresos empresariales, así como a la reputación de su organización. En este pilar de seguridad, trataremos las principales consideraciones y principios arquitectónicos referentes a la seguridad y cómo se aplican a Azure.

La seguridad de los sistemas complejos depende de la comprensión del contexto empresarial, el contexto social y el contexto técnico. A medida que diseñe el sistema, tendrá que cubrir estas áreas:

Screenshot showing security design areas.

Entender una solución de TI a medida que interactúa con el entorno circundante es la clave para evitar actividades no autorizadas e identificar el comportamiento anómalo que puede representar un riesgo para la seguridad.

Otro factor clave en el éxito: adopte una mentalidad de asumir el error de los controles de seguridad. Suponiendo que el error le permite diseñar controles de compensación que limiten el riesgo y los daños si se produce un error en un control principal.

Suponiendo que se puede hacer referencia a errores como asumir vulneración o asumir riesgos. Supongamos que la infracción está estrechamente relacionada con el enfoque de Confianza cero de validar continuamente las garantías de seguridad. El enfoque Confianza cero se describe en la sección Principios de diseño de seguridad con más detalle.

Las arquitecturas en la nube pueden ayudar a simplificar la compleja tarea de proteger el patrimonio de una empresa mediante la especialización y las responsabilidades compartidas:

Especialización: Los equipos especialistas en proveedores de nube pueden desarrollar funcionalidades avanzadas para operar y proteger sistemas en nombre de las organizaciones. Este enfoque es preferible a numerosas organizaciones que desarrollan individualmente conocimientos profundos sobre la administración y protección de elementos comunes, como:

  • Seguridad física del centro de datos
  • Aplicación de revisiones de firmware
  • Configuración del hipervisor

Las economías de escala permiten a los equipos especialistas de los proveedores en la nube invertir en una optimización de la administración y seguridad que supera con creces las posibilidades de la mayoría de las organizaciones.

Los proveedores de nube deben cumplir los mismos requisitos normativos de TI que el agregado de todos sus clientes. Los proveedores deben desarrollar conocimientos para defenderse contra el conjunto agregado de adversarios que atacan a sus clientes. Como consecuencia, la postura de seguridad predeterminada de las aplicaciones implementadas en la nube suele ser mucho mejor que la de las aplicaciones hospedadas localmente.

Modelo de responsabilidad compartida: A medida que los entornos informáticos pasan de los centros de datos controlados por el cliente a la nube, la responsabilidad de la seguridad también se desplaza. La seguridad del entorno operativo ahora es una preocupación compartida por los proveedores de servicios en la nube y los clientes. Las organizaciones pueden reducir el foco en las actividades que no son competencias empresariales principales cambiando estas responsabilidades a un servicio en la nube como Azure. En función de las opciones de tecnología concretas, algunas protecciones de seguridad se integrarán en el servicio determinado, mientras que las otras seguirán siendo responsabilidad del cliente. Para asegurarse de que se proporcionan controles de seguridad adecuados, las organizaciones deben evaluar cuidadosamente los servicios y las opciones tecnológicas.

A diagram of shared responsibility and key strategies.

Responsabilidad compartida y estrategias clave

Después de leer este documento, estará equipado con información clave sobre cómo mejorar la posición de seguridad de la arquitectura.

Como parte del diseño de la arquitectura, debe tener en cuenta todas las áreas relevantes que afectan al éxito de la aplicación. Aunque este artículo se refiere principalmente a los principios de seguridad, también debe priorizar otros requisitos de un sistema bien diseñado, como:

  • Disponibilidad
  • Escalabilidad
  • Costos
  • Características operativas (negociando una sobre la otra según sea necesario)

No es aconsejable sacrificar constantemente la seguridad por las ganancias en otras áreas, ya que los riesgos de seguridad tienden a aumentar dinámicamente con el tiempo.

El aumento de los riesgos de seguridad da lugar a tres estrategias clave:

  • Establezca un perímetro moderno: Para los elementos que controla la organización para asegurarse de que tiene un conjunto coherente de controles (un perímetro) entre esos recursos y las amenazas. Los perímetros deben diseñarse en función de la interceptación de solicitudes de autenticación para los recursos (controles de identidad) frente a la interceptación del tráfico de red en redes empresariales. Este enfoque tradicional no es factible para los recursos empresariales fuera de la red.

Más información sobre los perímetros y cómo se relacionan con Confianza cero y Enterprise Segmentación se encuentran en las secciones Gobernanza, Riesgo y Cumplimiento yContención de seguridad & de red.

  • Modernización de la seguridad de la infraestructura: En el caso de los sistemas operativos y los elementos de middleware que requieren las aplicaciones heredadas, aproveche la tecnología en la nube para reducir el riesgo de seguridad de la organización. Por ejemplo, saber si todos los servidores de un centro de datos físico se actualizan con revisiones de seguridad siempre ha sido difícil debido a la detectabilidad. Los centros de datos definidos por software permiten una detección sencilla y rápida de todos los recursos. Esta detección rápida permite a la tecnología como Microsoft Defender for Cloud medir rápidamente y con precisión el estado de revisión de todos los servidores y corregirlos.

  • "Confiar pero comprobar" cada proveedor de nube: Para los elementos, que están bajo el control del proveedor de nube. Debe asegurarse de que las prácticas de seguridad y el cumplimiento normativo de cada proveedor de servicios en la nube (grande o pequeño) cumplan sus requisitos.

Para evaluar la carga de trabajo con los principios que se encuentran en el marco de buena arquitectura de Microsoft Azure, consulte la reseña del marco de buena arquitectura de Microsoft Azure.

A diagram of the security cycle.

Tratamos las siguientes áreas en el pilar de seguridad del marco de Microsoft Azure Well-Architected:

Tema de seguridad Descripción
Principios de diseño de seguridad Estos principios describen un sistema diseñado de forma segura hospedado en centros de datos locales o en la nube, o una combinación de ambos.
Gobernanza, riesgo y cumplimiento ¿Cómo se va a supervisar y auditar la seguridad de la organización y se van a emitir informes al respecto? ¿a qué tipos de riesgos se enfrenta la organización al intentar proteger la información de identidad, de propiedad intelectual y financiera? ¿Hay requisitos específicos del sector, el gobierno o las normativas que dictan o proporcionan recomendaciones sobre los criterios que deben cumplir los controles de seguridad de su organización?
Cumplimiento normativo Los gobiernos y otras organizaciones suelen publicar estándares que permitan definir buenas prácticas de seguridad (diligencia debida) para que las organizaciones puedan evitar la negligencia en la seguridad.
Administración La administración es la práctica de supervisión, mantenimiento y operación de sistemas de tecnologías de la información (TI) para satisfacer los niveles de servicio que necesita la empresa. La administración presenta algunos de los riesgos de seguridad de mayor impacto, ya que realizar estas tareas requiere acceso con privilegios a un amplio conjunto de estos sistemas y aplicaciones.
Aplicaciones y servicios Las aplicaciones y los datos asociados a ellas actúan en última instancia como almacén principal del valor empresarial en una plataforma en la nube.
Administración de identidades y acceso La identidad aporta gran parte de las garantías de seguridad.
Protección y almacenamiento de información La protección de datos en reposo es necesaria para mantener las garantías de confidencialidad, integridad y disponibilidad en todas las cargas de trabajo.
Independencia y seguridad de la red La seguridad de la red ha sido el eje tradicional de los esfuerzos de seguridad de la empresa. No obstante, la informática en la nube ha aumentado el requisito de que los perímetros de red sean más porosos, y muchos atacantes han dominado el arte de los ataques en elementos del sistema de identidad (que casi siempre omiten los controles de red).
Operaciones de seguridad Las operaciones de seguridad mantienen y restauran las garantías de seguridad del sistema como ataques de los adversarios en directo. Las tareas de operaciones de seguridad están muy bien descritas por las funciones del Marco de ciberseguridad de NIST para la detección, la respuesta y la recuperación.

Administración de identidades

Considere el uso de Azure Active Directory (Azure AD) para autenticar y autorizar a los usuarios. Azure AD es un servicio de administración de identidades y acceso completamente administrado. Puede usarlo para crear dominios que existen exclusivamente en Azure o integrarlo con las identidades de Active Directory locales.

Azure AD también se integra con:

  • Office365
  • Dynamics CRM Online
  • Muchas aplicaciones SaaS de terceros

En el caso de las aplicaciones orientadas al consumidor, Azure Active Directory B2C permite a los usuarios autenticarse con sus cuentas sociales existentes, como:

  • Facebook
  • Google
  • LinkedIn

Los usuarios también pueden crear una nueva cuenta de usuario administrada por Azure AD.

Si desea integrar un entorno de Active Directory local con una red de Azure, tiene a su disposición varios enfoques en función de los requisitos. Para más información, consulte Arquitecturas de referencia de Identity Management .

Protección de la infraestructura

Controle el acceso a los recursos de Azure que implemente. Tocas las suscripciones de Azure tienen una relación de confianza con un inquilino de Azure AD.

Use el control de acceso basado en rol de Azure (rol RBAC de Azure) para conceder a los usuarios de su organización los permisos correctos para los recursos de Azure. Para conceder el acceso, asigne los roles de Azure a usuarios o grupos en un ámbito determinado. El ámbito puede ser:

  • Suscripción
  • Resource group
  • Recurso único

Audite todos los cambios realizados en la infraestructura.

Seguridad de la aplicación

En general, los procedimientos recomendados de seguridad para el desarrollo de aplicaciones todavía se aplican en la nube. Algunos de los procedimientos recomendados son los siguientes:

  • Uso SSL/TLS en todas partes
  • Protección contra CSRF ataques y XSS
  • Evitar ataques por inyección de SQL

Las aplicaciones en la nube suelen utilizar servicios administrados que tienen claves de acceso. No compruebe nunca estas claves en el control de código fuente. Considere la posibilidad de almacenar los secretos de la aplicación en Azure Key Vault.

Cifrado y soberanía de datos

Asegúrese de que los datos permanecen en la zona geopolítica correcta al utilizar los servicios de datos de Azure. El almacenamiento con replicación geográfica de Azure usa el concepto de región emparejada en la misma región geopolítica.

Use Key Vault para proteger los secretos y las claves criptográficas. Al usar Key Vault, podrá cifrar claves y secretos mediante el uso de claves que están protegidas por los módulos de seguridad de hardware (HSM). Muchos de los servicios de base de datos y de almacenamiento de Azure admiten el cifrado de datos en reposo; por ejemplo:

Recursos de seguridad

Paso siguiente