Bienvenido a Cloud-Native Multi-Perimeter Security
- Gestión de IT
El desafío es evitar que cualquier código no autorizado (benigno o de otro tipo) se infiltre en las implementaciones de la nube antes de que se comprometan los datos confidenciales o las cargas de trabajo.
A falta de una automatización robusta para soportar este proceso, el desafío a menudo se ignora. Cuando eso no funciona, las soluciones a menudo permanecen en el ámbito de la burocracia, centrándose en los síntomas anecdóticos sin abordar la causa raíz.
La pregunta inevitablemente no es si su implementación está en riesgo, sino qué tan vulnerable es y si es demasiado tarde. Los resultados son medibles y con frecuencia perturbadores. A continuación se muestra la lista de verificación de KPI estándar con la que la mayoría de los DevSecOps están familiarizados:
Cargas de trabajo no autorizadas por la canalización de CI/CD. Normalmente, estas se abordan mediante herramientas de descubrimiento y exploraciones de red ad-hoc, pero a menudo se aceptan como un mal necesario.
Reglas de red defectuosas. Las iniciativas de microsegmentación a menudo conducen a una comunicación inesperada entre la carga de trabajo.
Las cargas de trabajo implementadas a través de la tubería de CI/CD podrían fallar en la comunicación efectiva, o peor aún, comunicarse para soportar actividades contraproducentes o incluso maliciosas.
Comunicación de carga de trabajo inesperada a PaaS de terceros. Un ejemplo de ello es la comunicación de la carga de trabajo a una base de datos como S3, que podría conducir a una violación de datos.
Errores de configuración de seguridad de red. Las vulnerabilidades introducidas por la configuración de seguridad de la red a menudo pasan desapercibidas durante meses. Este acceso no restringido se suele citar como el vector de ataque que permitió a los actores no autorizados infiltrarse en una superficie de ataque nativa en la nube.
Zombie Workloads Consuming Resources. En el mejor de los casos, solo estás desperdiciando recursos. Con demasiada frecuencia, una de esas cargas de trabajo de zombies está ocupada en el cryptojacking, haciendo que la criptomoneda no se vea afectada. El cryptojacking es tan rampante que ha superado al ransomware en 2018 como el vector de ataque más popular.
La mala noticia es que ninguna implementación en la nube puede erradicar los problemas anteriores completamente, utilizando tecnologías familiares. Sin embargo, puede mitigar algunos de los daños: Escanee su red más regularmente con su herramienta de código abierto favorita. Nunca deje una red completa en plano concediendo acceso ilimitado a nadie. Lo ideal es tomarse el tiempo para evaluar las nuevas tecnologías diseñadas para asegurar implementaciones nativas en la nube.
Los equipos de DevSecOps están aceptando gradualmente que las implementaciones nativas de la nube requieren un cambio de paradigma fundamental para mantener una postura de seguridad defendible sin sacrificar la agilidad. Muchos creen que estamos presenciando una revolución de seguridad nativa en la nube, muy parecida a la provocada por Internet en la década de 1990. DevSecOps ciertamente puede abordar los síntomas descritos anteriormente, pero las políticas de seguridad continuarán fallando miserablemente si ambos permanecen arraigados en la capa de red y dependen de la burocracia.
Descubre la innovación
Para asegurar el éxito empresarial, ahora y a futuro, es imprescindible maximizar el retorno de la inversión existente en software, a la vez que innovar y adoptar nuevas tecnologías. Los retos que hay abordar para competir en un mundo de TI Híbrida incluyen DevOps, Seguridad, Gestión de riesgos y Análisis predictivo. Puedes obtener más información sobre cómo abordar estos retos e innovar en este enlace.
