Un informe de la empresa de seguridad en la nube Tenable descubrió que el 74% de las empresas encuestadas tenían almacenamiento expuesto u otras configuraciones erróneas. Esta es una peligrosa puerta abierta a los ciberdelincuentes. En general, la seguridad en la nube está empeorando. La disponibilidad y calidad de las herramientas de seguridad está mejorando, pero las personas que confirman la infraestructura de computación en la nube se están volviendo más tontas. Algo tiene que ceder. El estudio también revela que más de un tercio de los entornos de nube son críticamente vulnerables debido a una confluencia de factores: cargas de trabajo altamente privilegiadas, expuestas públicamente y críticamente débiles. Esta alarmante “tríada de nubes tóxicas” coloca a estas organizaciones en un riesgo elevado de sufrir ataques cibernéticos y subraya la necesidad de intervenciones inmediatas y estratégicas. Un problema frecuente es el almacenamiento expuesto públicamente, que a menudo incluye datos confidenciales debido a permisos excesivos, lo que lo convierte en un objetivo principal para los ataques de ransomware. Además, el uso inadecuado de las claves de acceso sigue siendo una amenaza importante: un asombroso 84 % de las organizaciones conserva claves altamente privilegiadas no utilizadas. Históricamente, estos descuidos de seguridad han facilitado las infracciones, como lo demuestran incidentes como la filtración de datos de MGM Resorts en septiembre de 2023. Los problemas de seguridad en los entornos de Kubernetes de orquestación de contenedores presentan otra capa de riesgo. El estudio señala que el 78% de las organizaciones tienen servidores API de Kubernetes de acceso público, y una parte importante permite el acceso entrante a Internet y el control irrestricto del usuario. Esta postura de seguridad laxa exacerba las vulnerabilidades potenciales. Abordar estas vulnerabilidades exige un enfoque integral. Las organizaciones deben adoptar un espíritu de seguridad basado en el contexto integrando información sobre identidad, vulnerabilidad, configuración incorrecta y riesgo de datos. Esta estrategia unificada permite una evaluación y priorización de riesgos precisas. Gestionar el acceso a Kubernetes mediante el cumplimiento de los estándares de seguridad de Pod y limitar los contenedores privilegiados es esencial, al igual que la auditoría periódica de las credenciales y permisos para hacer cumplir el principio de privilegio mínimo. La priorización es clave Es vital priorizar la remediación de la vulnerabilidad, particularmente en áreas de alto riesgo. Las auditorías periódicas y la aplicación de parches proactivos pueden minimizar la exposición y mejorar la resiliencia de la seguridad. Estos esfuerzos deben estar alineados con prácticas sólidas de gobernanza, riesgo y cumplimiento (GRC), garantizando la mejora continua y la adaptabilidad de los protocolos de seguridad. La seguridad en la nube exige una postura proactiva, integrando tecnología, procesos y políticas para mitigar los riesgos. Las organizaciones pueden proteger mejor sus infraestructuras en la nube y salvaguardar sus activos de datos evolucionando de medidas reactivas a un marco de seguridad sostenible, pero ¿cómo diablos se hace esto? Implementar fuertes medidas de control de acceso. Audite y revise periódicamente las claves de acceso para garantizar que sean necesarias y tengan el nivel de permiso adecuado. Rote las claves de acceso con frecuencia y elimine las claves no utilizadas o innecesarias para minimizar el riesgo de acceso no autorizado. Mejore la gestión de identidades y accesos (IAM). Implemente políticas estrictas de IAM que hagan cumplir el principio de privilegio mínimo. Utilice controles de acceso basados ​​en roles (RBAC) para garantizar que los usuarios solo tengan acceso a los recursos que necesitan para realizar sus funciones laborales. Realice auditorías de seguridad periódicas y pruebas de penetración. Examine los entornos de nube para identificar y abordar vulnerabilidades y configuraciones erróneas antes de que los atacantes puedan explotarlas. Recomiendo recurrir a organizaciones externas que se especialicen en este tema en lugar de utilizar su propio equipo de seguridad. No sé con qué frecuencia hice una autopsia de una infracción y descubrí que se han estado calificando a sí mismos durante años. ¿Adivina qué? Se dieron a sí mismos una A, e incluso la vincularon a las bonificaciones. Implementar sistemas automatizados de seguimiento y respuesta. Las herramientas automatizadas brindan monitoreo continuo y detección de amenazas en tiempo real. Implemente sistemas que puedan responder automáticamente a ciertos tipos de incidentes de seguridad para minimizar el tiempo entre la detección y la remediación. Implemente las mejores prácticas de Kubernetes. Asegúrese de que los servidores API de Kubernetes no sean accesibles públicamente a menos que sea necesario y limite los permisos de los usuarios para reducir posibles vectores de ataque. Priorizar la gestión de vulnerabilidades. Actualice y parchee periódicamente todo el software y los servicios en la nube, especialmente aquellos con altas clasificaciones de prioridad de vulnerabilidad, para protegerse contra las debilidades recién descubiertas. Fortalecer los marcos de gobernanza, riesgo y cumplimiento (GRC). Desarrollar y mantener continuamente prácticas sólidas de GRC para evaluar y mejorar la eficacia de los controles de seguridad. Esto debería incluir el desarrollo de políticas, la evaluación de riesgos, el seguimiento del cumplimiento y las iniciativas de mejora continua. Capacitar al personal en materia de seguridad. Proporcionar programas continuos de capacitación y concientización para todos los empleados para garantizar que comprendan las amenazas actuales y las mejores prácticas para mantener la seguridad dentro de los entornos de nube. Como dije antes, la mayoría de los problemas de seguridad de la computación en la nube están presentes; las personas son la clave aquí. La cuestión central son los recursos, no la disponibilidad de mejores prácticas y herramientas de seguridad sólidas. Contamos con todas las herramientas y procesos que necesitamos para tener éxito, pero las empresas no están asignando recursos para llevarlos a cabo de manera efectiva. Pregúntele a MGM cómo funciona eso.