En AWS la responsabilidad está partida y esa es la primera cosa que hay que entender: el proveedor responde por la infraestructura, y el cliente por la configuración, los permisos y los datos. Casi todos los incidentes conocidos en nubes públicas cayeron del lado del cliente, y casi siempre por un permiso amplio o un almacenamiento abierto, no por una falla del proveedor.
Una credencial con permisos amplios vale más que cualquier vulnerabilidad. Lo que aplica: autenticación multifactor sin excepciones y en particular en la cuenta raíz, roles en lugar de llaves de acceso permanentes, permiso mínimo revisado contra el uso real, y rotación de lo que sí tenga que existir como llave.
El registro de actividad de la cuenta, la grabación de la configuración de cada recurso y el registro de flujos de red son la base: sin ellos, después de un incidente no hay forma de reconstruir qué ocurrió. Encima de eso, la detección de amenazas revisa esos mismos registros buscando comportamiento anómalo, y el tablero de postura junta las desviaciones de configuración en una sola lista priorizada.
Grupos de seguridad estrictos, puntos de conexión privados para que el almacenamiento y las bases no salgan a internet, cifrado con llaves administradas y bloqueo de acceso público a nivel de cuenta. Es menos vistoso que un producto de detección, y elimina más riesgo.
Iterati es distribuidor autorizado y opera desde Guadalajara para todo México. Facturamos en México con IVA y arrancamos por identidad, registro y configuración, porque un producto de detección sobre una cuenta mal configurada solo documenta lo que se podía haber evitado.
El proveedor responde por la seguridad de la infraestructura que opera. El cliente responde por su configuración, sus permisos, su red y sus datos. La mayoría de los incidentes conocidos cayeron de este segundo lado.
Por identidad y registro: autenticación multifactor en la cuenta raíz y en todos los usuarios, roles en vez de llaves permanentes, y el registro de actividad activo en todas las regiones. Es lo más barato y lo que más riesgo quita.
Ayuda, pero después. Un detector sobre una cuenta con permisos amplios y almacenamiento abierto genera alertas de cosas que la configuración podía haber impedido. Primero se cierra, luego se detecta.
Con el bloqueo de acceso público a nivel de cuenta, no solo por depósito, y revisando la configuración de forma continua en lugar de una vez. Es la causa más repetida de fuga de datos en nubes públicas.
Sí. Los servidores que no están en la nube se pueden integrar a la misma consola de postura y detección con un agente, que es lo que permite dejar de revisar dos tableros distintos.
¿Necesitas Seguridad para Nube o Cloud de Amazon AWS? Cotizamos licenciamiento, implementación y soporte para toda la República.
Solicitar cotización o llámanos: +52 (33) 41640070Permítanos sus datos para contactarle de inmediato de Seguridad para Nube o Cloud Amazon AWS!
Iterati es distribuidor autorizado de Amazon AWS y atiende todo México desde Guadalajara.