RIESGOS EN LA NUBE
Aunque las tecnologías cloud ofrecen numerosos beneficios en inversión y mantenimiento, su naturaleza siempre disponible y “abierta” las hace vulnerables a ataques. Los riesgos de la nube se dividen en tres categorías: amenazas internas, amenazas externas y riesgos específicos del entorno cloud.
Índice de temas
Qué son los riesgos de la nube
Expertos de S21sec han catalogado una serie de riesgos de la nube o cloud computing, es decir, problemas que pueden ir asociados a los entornos cloud si no extremamos precauciones. A la hora de establecer una estrategia cloud hay que tener en cuenta potenciales amenazas.
“Las tecnologías cloud proporcionan sin duda muchos beneficios a los negocios actuales, ya sea en términos de inversión como en términos de mantenimiento”, destaca un portavoz de la firma. “No obstante, se trata de entornos siempre disponibles y ‘abiertos’, por tanto susceptibles de ser atacados en cualquier momento”.
3 tipos de riesgos de la nube
Los expertos dividen en tres los tipos las amenazas vinculadas al cloud: amenazas internas, amenazas externas – ambas comunes con otros entornos tecnológicos- y los riesgos asociadas específicamente al cloud.
Amenazas internas
1. Insiders malintencionados
Los insiders malintencionados son empleados o personal autorizado que, con acceso legítimo a los sistemas de la nube, abusan de sus privilegios con el fin de causar daño a la organización. Pueden robar datos sensibles, alterar configuraciones críticas o sabotear operaciones. Estos actores internos son particularmente peligrosos porque conocen bien los sistemas, las políticas de seguridad y las posibles vulnerabilidades de la empresa, lo que les permite actuar con un alto grado de eficacia y discreción
2. Errores de uso
A menudo, las amenazas internas no provienen de una intención maliciosa, sino de simples errores humanos. Un empleado puede, sin darse cuenta, configurar incorrectamente un servicio en la nube, dejando datos sensibles expuestos públicamente. Otras veces, un usuario puede borrar accidentalmente archivos importantes o dejar activas credenciales de acceso en lugares inseguros, lo que puede ser aprovechado por atacantes externos
3. Falta de concienciación y conocimiento
La falta de concienciación sobre las mejores prácticas de seguridad en la nube representa otro riesgo significativo. Los empleados que no están bien formados en el uso seguro de las herramientas y servicios en la nube pueden ser vulnerables a ataques de ingeniería social, phishing, y otras tácticas que los atacantes utilizan para obtener acceso no autorizado.
4. Gestión inadecuada de accesos
La nube permite un acceso amplio y flexible a los recursos corporativos, pero sin una gestión adecuada de esos accesos, puede convertirse en un vector de riesgo. Los permisos excesivos, la falta de revisión periódica de los accesos y la utilización de credenciales compartidas pueden crear oportunidades para que los usuarios malintencionados accedan a recursos que no necesitan, aumentando el riesgo de abuso o de errores no intencionados
5. Supervisión descuidada
La falta de supervisión y monitoreo en tiempo real puede provocar que las amenazas internas pasen desapercibidas hasta que ya han causado daños significativos. Sin sistemas robustos de monitoreo de actividades y alertas de comportamiento anómalo, las organizaciones pueden no detectar acciones sospechosas o errores graves hasta que es demasiado tarde.
Estas últimas, que son habitualmente las menos consideradas, pueden ser debidas al propio proveedor del entorno cloud o directamente a los servicios ofertados. A continuación se incluye un decálogo donde todos estos riesgos están contemplados:
Amenazas externas
1. Ataques dirigidos
Los ataques dirigidos, son ciberataques meticulosamente planificados y ejecutados contra objetivos específicos. En el contexto de la nube, estos ataques suelen tener como objetivo la obtención de datos sensibles o el acceso a sistemas críticos. Los atacantes utilizan técnicas cada vez más sofisticadas, como spear phishing, donde se envían correos electrónicos personalizados que engañan a los empleados para que revelen credenciales de acceso o descarguen malware
2. Malware en la nube
El malware sigue siendo la gran amenaza de las infraestructuras en la nube. Este software malicioso puede infiltrarse en los sistemas de la nube a través de diferentes vectores, como archivos adjuntos de correo electrónico, descargas de aplicaciones no seguras o incluso a través de dispositivos infectados conectados a la red. Una vez que el malware se instala en la nube, puede provocar una variedad de daños, desde el robo de datos hasta la destrucción de información crítica o el secuestro de recursos (ransomware).
3. Grupos de Amenazas Persistentes Avanzadas (APT)
Los Grupos de Amenazas Persistentes Avanzadas (APTs, por sus siglas en inglés) representan una de las amenazas más serias para las organizaciones que utilizan la nube. Estos grupos son altamente organizados y están respaldados, en muchos casos, por estados o grandes organizaciones criminales. Las APT son conocidas por su enfoque en el acceso prolongado y sostenido a los sistemas de la nube. Suelen infiltrarse en una red y permanecer inactivos durante largos períodos, recolectando información y esperando el momento adecuado para lanzar un ataque devastador
4. Hacktivistas
Los hacktivistas son individuos o grupos que utilizan técnicas de hacking para promover causas políticas o sociales. En el entorno de la nube, estos actores pueden atacar infraestructuras como parte de sus campañas para generar conciencia o protestar contra una organización o gobierno. Los hacktivistas a menudo emplean ataques de denegación de servicio (DDoS), desfiguraciones de sitios web, o la exposición de datos confidenciales (doxing) para avergonzar a sus objetivos o interrumpir sus operaciones.
Amenazas específicas vinculadas al cloud
Y entre las amenazas específicas vinculadas al cloud, los expertos desgranan los siguientes puntos:
Servicios de soporte
Los servicios cloud están siempre disponibles, ¿está el service desk preparado para controlarlos?
Ritmo de cambio
El cloud es un entorno que siempre está cambiando y transformándose. ¿es posible adaptarse a su ritmo?
Nuevos elementos
Las aplicaciones cloud usan nuevos elementos de comunicación. ¿Sabe la empresa controlarlos?
Entorno multicloud
Es posible consumir servicios de distintas nubes en la misma infraestructura, ¿sabe la compañía cómo interactúan?
Uso de recursos
En estos entornos se paga por recurso consumido, ¿es posible evitar el mal uso?
Microservicios
El cloud proporciona acceso a contenedores y microservicios, ¿es posible asegurar esta tecnología?
Cambios regulatorios
Estas variaciones se dan con frecuencia, ¿es posible adaptar los procesos rápidamente para actualizarse?
Control de políticas
Diferentes políticas afectan a las aplicaciones, ¿se hallan bajo control?
Cómo protegerse de los riesgos de seguridad en la nube
Los expertos de S21sec destacan que hay que considerar todo este conjunto de riesgos al diseñar la estrategia cuando se opta por soluciones cloud. En esta tarea es necesario apoyarse en marcos de trabajo (como los controles CIS o el marco internacional NIST), así como elementos de seguridad (tanto nativos del cloud como de terceros) y tácticas específicas.
En una segunda fase de diseño, además, los expertos subrayan que abordar el 100% de los vectores de seguridad es muy caro, y puede afectar a la operación del negocio cuando no es necesario para cubrir los requisitos. Por tanto, es esencial considerar la especificidad del negocio en esta fase de diseño y desplegar herramientas para auditar el cumplimiento y confirmar que se cuidan todos los requisitos establecidos. Por último, tener en cuenta la monitorización es fundamental. La visibilidad global de los entornos cloud minimizará los tiempos de detección y respuesta.
