Cloud Security Alliance (CSA). Principales Amenazas para el Cloud Computing y la Seguridad en áreas críticas de atención en Cloud Computing.

  

Ya que en la nube se concentran todos los datos en un solo lugar los riesgos de disponibilidad, rendimiento y seguridad de información pueden aumentar, con el uso de nuevas tecnologías implementadas como la virtualización y diversas nuevas aplicaciones web, en riesgo en la seguridad se ve afectada.

 En el Cloud Computing se tiene a maximizar la seguridad y privacidad de la información ya que el cliente puede llegar a desconfiar de que sus datos y aplicaciones residan en proveedores externos que tengan parcial o total control de la plataforma. Por ellos la seguridad en Cloud Computing se centra en la privacidad, la confidencialidad e integridad de los datos, la autenticación, la

localización de los datos.

Ahora paso a nombrar cuales son las principales amenazas para el Cloud Computing según la CSA.

1.    Abuso y uso inadecuado del Cloud Computing.
2.     Interfaces y APIS  inseguras.
3.    Amenazas internas malintencionadas.
4.    Inconvenientes debido a las tecnologías compartidas.
5.    Pérdida o fuga de datos.
6.    Secuestro de sesión o de servicio.
7.    Riesgos por desconocimiento.

     Abuso y uso inadecuado del Cloud Computing:

En las plataformas de Cloud Computing se debe seguir un firme proceso de identificación y debe de ser restrictivo. Actualmente el único requisito que se solicita para efectuar el pago de tu tarifa de Cloud Computing es una tarjeta de crédito valida, así se mantiene el anonimato y evitas el spammer.

 Las soluciones que nos plantean para evitar lo mejor posible estas amenazas son:

-          Procesos de validación y registro muy estrictos donde se confirmen los datos de una forma rigurosa.

-          Estar en contacto y coordinados con la entidad que procesa la tarjeta de crédito, para evitar problemas de fraude.

-          Monitoreo de las listas negras de cada bloqueo de direcciones IP de un proveedor de Cloud Computing.

     Interfaces y APIS Inseguras:

Los proveedores que ofrecen Cloud Computing ofrecen un conjunto de interfaces que pueden ser un riesgo para la empresa debido al tema de seguridad, a la integridad y a la confidencialidad de la información, ya que estas pueden ser un buen medio para causar daño sea intencionado o accidental.

Las soluciones que se nos plantean para evitar este problema son:

-          Analizar el modelo de seguridad de las interfaces del proveedor de Cloud

-          Asegurarse del método de autentificación y control de acceso que se esté utilizando, teniendo en cuenta que se haga cifrado de datos.

    Amenazas internas malintencionadas:

Este es uno de los problemas más conocidos de seguridad de la información que tiene cualquier organización, ya que los propios trabajadores tienen libre acceso a todos estos datos y aplicaciones que se manejan, por ello la empresa debe cerciorarse de que persona contrata, ya que puede ser un hacker, o alguien que quiera apropiarse de información confidencial de la empresa.

Las empresas de Cloud Computing deben asegurarse muy bien de quienes son sus empleados ya que trabajan con la data confidencial de cada uno de sus clientes.

Las soluciones planteadas para esta amenaza son:

-          El área de Recursos Humanos de un proveedor de servicios de Cloud debe establecer cláusulas legales y de confidencialidad en los contratos laborales.

-          Exigir al proveedor transparencia en lo referente a los procedimientos usados para el manejo y la Seguridad de la Información.

       Inconvenientes debido a tecnologías compartidas:

Esta amenaza afecta más directamente a los servicios IaaS, ya que los discos duros particionados no fueron diseñados con propiedades de aislamiento en arquitecturas compartidas. EL que supervisa lo referente a la virtualización intermedia el acceso entre los recursos físicos del anfitrión y el sistema operativo del huésped.

Estos inconvenientes derivados de la infraestructura compartida pueden evitarse bastante si se tienen un sistema de defensa solido que garantice a cada que ningún otro usuario pueda tener acceso a archivos que no sean los suyos.

Soluciones para mitigar esta amenaza son:

-          Implementar buenas prácticas de seguridad para la instalación y la configuración de servicios IaaS.

-           Monitorear el entorno para detectar cambios en la actividad anormal.

-           Proporcionar control de acceso y autenticación para el acceso de administración y de operaciones.

-           Realizar auditorías y análisis de vulnerabilidades

    Pérdida o Fuga de datos.

El tratamiento de la información va aumentando debido al número de interacciones, por ello los proveedores deben tomar acciones para que los datos no puedan ser ni manipulados, ni borrados ni extraídos por terceros ya que esto supondría un gran impacto en cualquier empresa, por ello se debe garantizar la integridad de los datos y mantener la buena imagen y la buena reputación del proveedor en el mercado del Cloud Computing.

Para minimizar estas amenazas debemos:

-          Implementar APIs robustas para el control de acceso.

-          Protección y cifrado de los datos en tránsito

-          Análisis de la protección de datos

-          Establecer buenos mecanismos para generar claves

-          Especificar mediante un contrato las políticas de conservación y seguridad de los datos.

  

    Secuestro de sesión o servicio:

El atacante que se coloca en medio de dos máquinas para poder apoderarse de una sesión abierta. Esta es una amenaza superior por lo que en la nube se debe prestar una mayor importancia para evitar que el intruso pueda obtener credenciales y contraseña y pueda llegar a manipular la información, realizar transacciones o re-direccionar clientes a sitios ilegítimos, ya que conseguiría que la reputación del servidor quedara seriamente afectada.

Por ello, para evitar estas amenazas se recomienda:

-          Prohibir la compartición de credenciales entre los usuarios y los servicios

-          Implementar técnicas de autentificación que tengan doble factor para poder garantizar que el proceso sea más seguro

-          Realizar un monitoreo que pueda detectar cualquier actividad que no haya sido autorizada con anterioridad

      Riesgos por Desconocimiento:

Ya que uno de los principales objetivos de la contratación de servicios de Cloud Computing es la de ahorrar costes ya que no se compra el hardware y el software, ya que estos los proporciona el servicio de Cloud, pero el cliente no debe dejar de conocer los datos relevantes sobre la seguridad de sus datos, este debe solicitar al proveedor un registro de los intentos no autorizados que hayan sido direccionados hacia su red.

Para evitar estar amenazas se recomienda:

-          Acceso a los logs de los sistemas que está usando el cliente

-          Conocer los factores técnicos de la infraestructura

-          Monitoreo de alarmas cuando se realicen acciones con los datos críticos.