Ataques cibernéticos: tips para la gestión del Identity Access

Los informes sobre las últimas 24 horas de caos en el tráfico aéreo, que han llevado a la cancelación de más de 1,200 vuelos (incluido el vuelo de Rob, lo siento Rob), apuntan con cautela a un posible ataque cibernético. Si esto fuese cierto, este preocupante evento formaría parte de una serie más amplia de ataques de alto perfil que afectan al gobierno y a la Infraestructura Nacional Crítica (CNI) del Reino Unido.

A principios de agosto, la Policía de Irlanda del Norte sufrió una importante infracción de datos debido a que miembros junior del personal obtuvieron permisos de acceso indebidos. Las consecuencias de este ataque de seguridad autoinfligida trascienden el ámbito de los datos, ya que arrojan una sombra de vulnerabilidad sobre la policía, suscitando inquietudes acerca de la seguridad y la integridad de sus operaciones.

Y para concluir este verano marcado por ciberataques, recientemente se reveló que en junio la mal configuración de un bucket de almacenamiento AWS S3, administrado por la empresa 'Capita', expuso información detallada sobre beneficios de los residentes del Consejo de la Ciudad de Colchester.

Estos incidentes subrayan la relevancia de adherirse a prácticas seguras de cloud engineering y, en particular, la necesidad de implementar protocolos meticulosos de Gestión de Acceso e Identidad (IAM). Para conocer nuestro enfoque sobre las mejores prácticas de IAM, le pedí a nuestro líder de Ingeniería de Plataforma, Rodrigo Nascimento, que comparta algunos consejos.

Mejores prácticas para una gestión efectiva de identidad y acceso (IAM)

Dentro del ámbito de la gestión de identidades de usuarios y derechos de acceso, hay un dominio crítico que es independiente de la plataforma. En Codurance, hemos desarrollado un conjunto de principios que sirven como guía invaluable al abordar las necesidades de IAM en nuestros proyectos.

La IAM, fundamental para los workloads en la nube, tiene el potencial de convertirse en un obstáculo si no se aborda de manera adecuada. Las repercusiones de prácticas deficientes pueden ir desde la concesión engorrosa de acceso individual hasta la implementación de políticas de seguridad insuficientes. Más allá de los riesgos cibernéticos más preocupantes, estos errores pueden resultar en una visibilidad comprometida de los usuarios, acceso no autorizado a componentes críticos y, en última instancia, impactos perjudiciales en las operaciones comerciales.

Por esta razón, es crucial comprender cómo configurar expertamente a los usuarios y roles de IAM en entornos específicos del cliente. Esto no solo ayuda a mitigar diversos riesgos, sino que también promueve un entorno de trabajo más propicio.

Guía para la configuración de usuarios de IAM

• Utiliza distintos roles para cada usuario en lugar de crear cuentas de usuario separadas para cada cuenta: asigna los permisos pertinentes a estos roles para permitir el acceso a distintas cuentas.
• Aprovecha la funcionalidad de grupos, ya que resulta más eficaz: asigna permisos a grupos en lugar de a usuarios individuales para garantizar una gestión más eficiente.
• Protege las contraseñas con mucha precaución: almacena las contraseñas de acceso de manera segura en un administrador de contraseñas sólido, ya sea uno proporcionado por tu proveedor de la nube o herramientas confiables como BitWarden.
• Rota contraseñas: actualiza periódicamente las claves de acceso para mantener los niveles de seguridad y prevenir posibles vulnerabilidades.
• Adopta el principio de menor privilegio en usuarios y roles: de esta manera, aseguras que el acceso esté restringido a lo necesario.
• Fomenta el empleo de roles de IAM: establece como predeterminado el uso de roles de IAM, ampliando su aplicación a entidades como instancias de EC2 y funciones de Lambda.
• Evita caer en la trampa del root user: este usuario debe ser considerado un último recurso, no una herramienta de uso habitual. Su uso debe ser estrictamente circunstancial para preservar la seguridad.

Concede acceso utilizando el principio de menor privilegio

Dentro de la amplia gama de equipos de proyecto, que incluye áreas como ingeniería, producto, ventas, entre otras, surgen roles diversos. Cada nivel presenta requisitos de acceso exclusivos, y las subcategorías requieren consideraciones personalizadas. Tanto si se trata de desarrolladores de front-end, que buscan acceso de solo lectura, como de equipos de plataforma que necesitan amplios permisos de edición, la granularidad es fundamental.

No obstante, esta necesidad de granularidad no se limita a los roles; también se aplica a las máquinas, que presentan requisitos diversos. Las sutilezas en las funciones de Lambda ilustran este punto, subrayando la importancia de la precisión. Aunque pueda resultar tentador adoptar un enfoque de "acceso completo para todos", esta táctica a corto plazo expone a tu organización a riesgos significativos.

Adoptar un enfoque basado en cero privilegios y otorgar acceso de manera incremental representa una opción más segura y adecuada. Gracias a las capacidades de IAM, cumplir con los requisitos de acceso temporales se puede lograr extendiendo simplemente los roles de los usuarios existentes en lugar de conceder acceso directo.

Las necesidades de acceso de tu organización pueden ser específicas, pero seguir el principio de menor privilegio es fundamental para establecer una implementación segura del control de acceso.

Gestión efectiva de credenciales e integración de usuarios

La manera en que se incorporan nuevos usuarios al sistema dependerá de la complejidad de la solución. La creación de grupos de usuarios con permisos personalizados para posteriormente agregar a los nuevos usuarios se plantea como la opción más sencilla. Lo ideal sería automatizar este proceso utilizando herramientas como la interfaz de línea de comandos de AWS o Terraform.

Un proveedor de identidad centralizado, como AWS SSO, Azure AD o Google SSO, se integra de manera fluida con una estrategia de acceso coherente. Sin embargo, también es posible la integración con proveedores de SSO de terceros.

Cuando se busca un nuevo comienzo, la implementación de servicios como AWS Control Tower o las Zonas de Aterrizaje de Azure/GCP, junto con soluciones SSO integradas, asegura un acceso controlado a través de las cuentas.

Domina la seguridad del root user y la autenticación multifactor (MFA)

El root user, es decir, la cuenta inicial, debe reservarse exclusivamente para crear un usuario de "gestión" y utilizarse únicamente para realizar tareas administrativas. Una vez que la cuenta de gestión esté operativa, las credenciales de la cuenta raíz deben mantenerse en un almacén de contraseñas seguro, accesible sólo al personal autorizado.

Mejorar la seguridad, especialmente para el usuario root, es indispensable. La Autenticación Multifactor (MFA) proporciona una sólida capa de defensa. Aunque las soluciones basadas en software, como la Aplicación Microsoft Authenticator, son adecuadas en la mayoría de los casos, los estándares de seguridad más rigurosos pueden requerir dispositivos de seguridad FIDO o dispositivos de MFA de hardware.

En Codurance, incorporamos y aplicamos estos principios de IAM gracias a nuestra filosofía de Software Craftsmanship, que navega de manera pragmática a través de las mejores prácticas emergentes en ciberseguridad. Si estás interesado/a en descubrir más prácticas en Gestión de Acceso e Identidad (IAM), te animamos a que te pongas en contacto con nosotros.

¡Nuestros expertos están aquí para ayudarte con consultas y soluciones personalizadas!