Aplicación nativa en la nube Estructura
Las aplicaciones nativas de la nube tienen una estructura nueva y distinta que afecta a la forma en que los atacantes abordan estas aplicaciones, lo que cambia el panorama de las amenazas. A medida que los atacantes cambian su enfoque y avanzan hacia los ataques Gen VI, los profesionales de la seguridad y los desarrolladores deben ajustar en consecuencia su forma de defender las aplicaciones nativas de la nube.
Necesitan dedicar más tiempo y recursos a estas nuevas amenazas para prevenirlas mejor en su organización. Los recursos deben asignarse estratégicamente, pero primero hay que entender qué amenazas son las más probables en este nuevo panorama de amenazas.
Tipos de amenazas a la aplicación nativa en la nube
Los servicios informáticos en la aplicación nativa de la nube están diseñados para ser efímeros y tienden a tener una vida corta. Este es uno de los muchos atributos que hacen que la aplicación nativa en la nube sea intrínsecamente más segura. Los atacantes no pueden lograr fácilmente una presencia a largo plazo en su sistema y, por lo tanto, deben cambiar de táctica. Una estrategia resultante es el Ataque del Día de la Marmota , en el que un atacante elabora un ataque mucho más corto que roba, por ejemplo, solo unos pocos números de tarjetas de crédito y luego se repite. Los atacantes aprovechan el escalado automático de la aplicación nativa de la nube para sortear lo efímero de la misma.
Otro enfoque es el ataque ascendente, o envenenamiento del pozo en el que los atacantes pretenden obtener más persistencia a largo plazo en su aplicación. La aplicación nativa en la nube suele constar de muchos módulos y bibliotecas. Una sola función sin servidor podría incluir decenas de miles de líneas de código de una variedad de fuentes distintas del trabajo de los desarrolladores. Los atacantes trabajan para incluir código malicioso en proyectos comunes. Entonces, tras envenenar el pozo, el código malicioso de su aplicación en la nube puede llamar a casa, obtener instrucciones y sembrar el caos.
Cómo proteger una aplicación nativa en la nube
Afortunadamente, las aplicaciones nativas en la nube tienden a ser más difíciles de atacar. Pero como un nuevo tipo de arquitectura, presentan nuevos desafíos de seguridad y los desarrolladores deben actuar para mitigar el riesgo. Las siguientes son algunas de las mejores prácticas para asegurar la aplicación nativa en la nube:
- Aplique la seguridad perimetral a nivel defunciónLa fragmentación de su aplicación en componentes más pequeños que se pueden llamar, junto con el uso de disparadores basados en eventos procedentes de diversas fuentes (como el almacenamiento, las colas de mensajes y las bases de datos) significa que los atacantes tienen más objetivos y más vectores de ataque.
Además de asegurarse de que sus servicios de protección de aplicaciones y API web (WAAP ) son avanzados para hacer frente a los requisitos de la próxima generación, otra práctica recomendada de seguridad nativa de la nube consiste en aplicar la seguridad perimetral también a nivel de función. Preste especial atención a las funciones que se activan con un tipo de fuente diferente.
- Cree roles adecuados y mínimos para cadafunciónDebe establecer roles para las numerosas interacciones entre sus recursos nativos de la nube. La capacidad de asignar un conjunto único de permisos a cada función sin servidor ofrece una excelente oportunidad para mejorar AppSec aún más.
Cuando se realiza IAM en la granularidad de las funciones, IAM se convierte en una herramienta de AppSec. Dedique tiempo a crear roles mínimos adecuados para cada una de sus funciones. Además, asegúrese de que cada una de sus funciones se ejecute con el conjunto de privilegios más pequeño posible, de modo que el daño de cualquier agujero que se cuele sea mínimo.
- Aplicación segura DependenciasLas funcionessuelen incluir dependencias, extraídas de npm (Node.js), PyPI (Python), Maven (Java) u otros repositorios relevantes. Asegurar las dependencias de la aplicación requiere acceso a una buena base de datos y herramientas automatizadas, incluidas herramientas nativas de orquestación para activar la seguridad de la aplicación durante el desarrollo,-. La ejecución continua de estas herramientas evita que se utilicen nuevos paquetes vulnerables y recibe alertas sobre problemas recién revelados.
- Hacer que la seguridad sea un problema de todos
Forje alianzas estrechas entre los equipos de desarrolladores, DevOps y AppSec. Encuentre el equilibrio en el que los desarrolladores no posean la seguridad, pero tampoco estén exentos de responsabilidad: la codificación segura como ejemplo. Mark Collier, director de operaciones de la Fundación OpenStack, fue citado en un artículo de Bloomberg en el que afirmaba que "el cambio de la tecnología monolítica/en cascada a la ágil/DevOps tiene más que ver con el proceso y la psicología organizativa que con qué tecnologías emplear".
Se ha hablado de esto durante varios años y no va a desaparecer pronto. Es un gran problema que las empresas deben abordar y va a llevar años llegar allí, ya que es un cambio generacional en la filosofía".
Es importante que los equipos colmen las lagunas pronto, aunque vaya en contra del comportamiento normal del ADN de la empresa, ya que la nube nativa requiere un enfoque diferente en la forma en que las organizaciones gestionan la seguridad y el desarrollo. Esto crea una oportunidad real para que los departamentos faciliten este cambio y tengan un verdadero impacto.
Asegure la aplicación nativa en la nube con Check Point
Ops debe crear pipelines que permitan a los desarrolladores trabajar a la velocidad de serverless y seguir desplegando la aplicación de forma realista y segura.
Estos son sólo algunos de los muchos elementos relativos a la seguridad en los que hay que pensar cuando se migra a la aplicación nativa en la nube y a los microservicios. Cada día se diseñan nuevas herramientas para ayudar a optimizar esta transición y crear una mayor visibilidad, observabilidad, seguridad y prevención de amenazas. Para obtener más información sobre cómo abordar la seguridad nativa de la nube, consulte la guía Soluciones de seguridad en la nube de Check Point Software.
Comentarios