Línea base de Seguridad – Protección de Servidores en la Nube:

La definición y despliegue de una línea base de seguridad (conocido también como hardening) permite elevar las probabilidades de éxito para que las aplicaciones/sistemas o servidores de la organización puedan soportar/resistir mejor a posibles ataques cibernéticos (que eventualmente puedan ocurrir) sin sufrir riesgos mayores.

Ahora bien, sabemos que todas las organizaciones tienen diferentes realidades y a su vez diferentes compromisos que cumplir, desde temas normativos o generalidades que puedan haberse definido como buenas prácticas. Indistinto al escenario o realidad de la organización, algo que todas deben tener en común es la necesidad de mantener toda su información de negocio segura. A raíz de esta necesidad, las áreas de TI y de Seguridad buscan constantemente reforzar sus barreras de seguridad dentro de su infraestructura tecnología, y una herramienta o iniciativa para ayuda bastante a elevar esta valla son las implementaciones de líneas base de seguridad.

Con el uso de plataformas de Nube para el alojamiento de sistemas/aplicaciones de la organización, se debe tener en cuenta que generalmente los Proveedores de Nube (Microsoft, AWS, Huawei, otros) pueden proporcionar muchas herramientas/mecanismos para que la seguridad de sus componentes/servicios sean lo más seguros posible. Para el caso de la nube de Microsoft (Azure) cada servicio incluye por default una línea base de seguridad que ya está diseñada para proporcionar seguridad en los casos de uso más comunes. Sin embargo, dado que Azure no puede predecir cómo se va a usar un servicio en particular, los responsables de TI de las organizaciones deben revisar los controles de seguridad para evaluar si se mitigan los riesgos adecuadamente o sí se deben complementar/aumentar estos controles.

Nota: La seguridad es una preocupación que comparten los proveedores de nube y los clientes.

Es así como surge la opción de personalizar estás líneas base de seguridad para cualquier componente de nube que integre nuestra aplicación/sistema, ya sea porque se encuentran desplegadas en máquinas virtuales (Linux o Windows) o porque se encuentran desplegadas en un esquema de Plataforma como Servicio (PaaS).

Para el caso de máquinas virtuales en Azure, se recomienda que al menos la línea base de seguridad pueda considerar lo siguiente:

• Garantizar que el disco del SO está cifrado.
• Garantizar que solo están instaladas las extensiones aprobadas por la organización.
• Utilizar Azure Security Center para la recopilación de datos.
• Garantizar que se aplican las revisiones de sistema operativo para las máquinas virtuales.
• Garantizar que las máquinas virtuales tienen una solución de protección de puntos de conexión instalada y en ejecución

Referencia: Creación de una línea de base de máquina virtual de Azure – Learn | Microsoft Docs

Para el caso específico de máquinas virtuales Linux en Azure, se puede utilizar las siguientes recomendaciones/consideraciones descritas en el siguiente artículo: Referencia: Línea base de configuración de invitados de Azure Policy para Linux – Azure Policy | Microsoft Docs

De igual forma, a nivel general existe una guía de seguridad proporcionada por Center for Internet Security para establecer una configuración de línea de base segura para Azure. El objetivo de esta guía de referencia es establecer el nivel básico de seguridad al adoptar Azure Cloud.

Referencia:

• Mapping of Azure Security Benchmark V2 and CIS Microsoft Azure Foundations Benchmark | Microsoft Docs
• Microsoft Azure (cisecurity.org)
• Overview of the Azure Security Benchmark V2 | Microsoft Docs

Finalmente, se recomienda que, para asegurarse de que la protección implementada no se vea degrada con el tiempo, se realicen periódicamente auditorías/revisiones para comprobar el cumplimiento de las normas de la organización. Dentro de estas revisiones se sugiere que siempre pueda tener en cuenta lo siguiente:

• Mejorar la puntuación de seguridad de Azure Security Center.
• Utilizar una prueba comparativa estándar del sector/rubro para evaluar la posición de su seguridad actual
• Realizar auditorías de cumplimiento internas y externas de forma periódica.
• Revisar y actualizar los requisitos de directivas de seguridad de su organización.

En Gestión y Sistemas podemos ayudarte a asegurar la protección de la línea base de seguridad de tu organización. Escríbenos ahora a informes@gestiónysistemas.com