Prácticas recomendadas de seguridad para AWS Backup

AWS ofrece varios productos basados en la nube para computación, almacenamiento, análisis, etc. Dos de estos productos son utilizados con frecuencia por las organizaciones para el almacenamiento de copias de seguridad: Amazon S3, para el almacenamiento de objetos en la nube, y Amazon Elastic Block Store (EBS), para almacenar volúmenes de EC2 y sus copias de seguridad.

Las plataformas de almacenamiento en la nube son ideales para aplicar el enfoque de protección de datos «3-2-1». AWS también es una excelente opción tanto para recursos de almacenamiento como de computación, ya que ofrece una disponibilidad y una resiliencia excepcionales gracias a la georedundancia en diferentes regiones geográficas. No tiene que preocuparse de que se produzca un desastre en su zona que ponga en peligro el centro de datos; las copias de sus datos están repartidas por todo el mundo.

Sin embargo, dada la rápida evolución de las nuevas amenazas cibernéticas, es importante comprender cómo se pueden aplicar las prácticas recomendadas de seguridad de AWS para los backups en la nube, con el fin de reducir los riesgos potenciales para su organización, ya que la mayoría de los incidentes de seguridad en la nube se producen por culpa del cliente, no del proveedor de nube. Lea esta entrada para obtener más información sobre todas las opciones de seguridad de los diferentes productos de almacenamiento de AWS y cómo sacarles partido.

NAKIVO para el backup de AWS EC2

Backup de instancias de Amazon EC2 en EC2, AWS S3 y en las propias instalaciones. Opciones antirransomware. Rápida recuperación de instancias y objetos de aplicaciones.

DESCUBRE LA SOLUCIÓN

Modelo de responsabilidad compartida de AWS

Tanto si utilizas las opciones de almacenamiento en la nube de AWS como si migras toda la infraestructura a Amazon EC2, debes conocer el modelo de responsabilidad compartida de AWS para comprender quién es responsable de la seguridad de las copias de seguridad en AWS. Parte de la responsabilidad recae en el proveedor de nube, especialmente en lo que respecta a la seguridad y la disponibilidad de la plataforma en la nube. Sin embargo, la protección frente a muchas de las demás amenazas que afectan a tus cargas de trabajo y datos sigue siendo responsabilidad tuya, es decir, del cliente.

Al igual que ocurre con la mayoría de los proveedores de nube, la responsabilidad de la seguridad de los datos es compartida entre AWS y el cliente de la nube. Como proveedor de nube, Amazon asume la responsabilidad de la seguridad de la infraestructura de AWS. La seguridad de la plataforma es fundamental para proteger los datos y las aplicaciones críticos de los clientes. AWS detecta casos de fraude y abuso, y notifica dichos incidentes a sus clientes.

Por su parte, los clientes son responsables de las configuraciones de seguridad de los productos que utilizan en AWS. Deben asegurarse de que el acceso a los datos confidenciales, tanto desde dentro como desde fuera de la organización, esté debidamente restringido y de que se apliquen las políticas de protección de datos recomendadas.

Opciones de almacenamiento de AWS Backup

AWS ofrece dos plataformas principales en la nube: Amazon S3 y Amazon EC2 para distintos usos prácticos. El producto de computación Amazon EC2 se basa en la plataforma de almacenamiento Elastic Block Store (EBS).

• Amazon Simple Storage Service o Amazon S3 es una plataforma de almacenamiento de objetos diseñada para almacenar datos de cualquier origen —por ejemplo, aplicaciones web o móviles, sitios web o datos de sensores del IoT (Internet de las cosas)—. También es una opción muy popular como destino para copias de backup y copias de backup de máquinas virtuales e instancias de Amazon EC2.

• Amazon Elastic Block Store (EBS) ha sido diseñado por Amazon para proporcionar volúmenes de almacenamiento en bloques persistentes para cargas de trabajo en Amazon EC2.

Las dos opciones de almacenamiento de copias de seguridad suelen combinarse en una estrategia de copias de seguridad para instancias de Amazon EC2: Puede enviar copias de backup de las instancias a Amazon EBS y crear una copia de backup que se almacene en Amazon S3 para mayor fiabilidad.

Prácticas recomendadas de seguridad en la nube de AWS para copias de backup

Aunque existe una amplia variedad de servicios de AWS, los principales son Elastic Compute Cloud (EC2), Amazon S3 y Amazon Virtual Private Cloud (VPC), una nube privada aislada alojada dentro de una nube pública.

Como se ha mencionado, el modelo de responsabilidad compartida asigna al cliente la responsabilidad total de configurar los controles de seguridad. Para garantizar que sus datos en AWS permanezcan intactos y protegidos, siga las prácticas recomendadas en cinco áreas clave:

• Supervisión de la seguridad
• Seguridad de la cuenta
• Configuración de seguridad
• Gestión de entidades inactivas
• Restricciones de acceso

Considere también la posibilidad de aplicar las prácticas recomendadas de seguridad de AWS para cada servicio concreto de Amazon:

• Amazon S3
• Amazon EC2
• Amazon VPC

Supervisión de la seguridad

La supervisión de la seguridad es una de las principales prácticas recomendadas de seguridad de AWS, ya que permite detectar a tiempo eventos sospechosos y resolver de forma proactiva los problemas relacionados con la protección de datos.

1. Activación de CloudTrail. El servicio CloudTrail genera registros para todos los servicios web de Amazon, incluidos aquellos que no son específicos de una región, como IAM, CloudFront, etc.
2. Uso de la validación de archivos de registro de CloudTrail. Esta función sirve como una capa adicional de protección para la integridad de los archivos de registro. Con la validación de archivos de registro activada, se puede rastrear cualquier cambio realizado en el archivo de registro después de su entrega al bucket de Amazon S3.
3. Activación del registro multirregional de CloudTrail. CloudTrail proporciona un historial de llamadas a la API de AWS, lo que permite a los analistas de seguridad realizar un seguimiento de los cambios en el entorno de AWS, auditar el cumplimiento normativo, investigar incidentes y asegurarse de que se siguen las prácticas recomendadas de seguridad en AWS. Al habilitar CloudTrail en todas las regiones, las organizaciones pueden detectar actividades inesperadas o sospechosas en regiones que, de otro modo, no se utilizarían.
4. Integración del servicio CloudTrail con CloudWatch. El componente CloudWatch ofrece una supervisión continua de los archivos de registro de las Instancias de EC2, CloudTrail y otros orígenes. CloudWatch también puede recopilar y realizar un seguimiento de métricas para ayudarte a detectar amenazas rápidamente. Esta integración facilita el registro de actividades en tiempo real e históricas en relación con el usuario, la API, el recurso y la dirección IP. Puede configurar alarmas y notificaciones para actividades inusuales o sospechosas en la cuenta.
5. Habilitar el registro de acceso para los buckets de S3 de CloudTrail. Esta función está diseñada para impedir que los atacantes penetren más profundamente en los buckets de S3 de CloudTrail. Estos registros contienen los datos de registro capturados por CloudTrail, que se utilizan para la supervisión de la actividad y la investigación de incidentes. Mantenga activado el registro de acceso para los buckets de S3 de CloudTrail. Esto le permite realizar un seguimiento de las solicitudes de acceso y detectar rápidamente los intentos de acceso no autorizados.
6. Habilitar el registro de acceso para Elastic Load Balancer (ELB). Habilitar el registro de acceso de ELB permite que ELB registre y guarde información sobre cada solicitud TCP o HTTP. Estos datos pueden resultar extremadamente útiles para los profesionales de la seguridad y la resolución de problemas. Por ejemplo, los datos de registro de su ELB pueden resultar útiles a la hora de analizar patrones de tráfico que puedan ser indicativos de determinados tipos de ataques.
7. Habilitar el registro de auditoría de Redshift. Amazon Redshift es un servicio de AWS que registra detalles sobre las actividades de los usuarios, como las consultas y las conexiones realizadas en la base de datos. Al habilitar Redshift, puede realizar auditorías y facilitar investigaciones forenses posteriores a incidentes para una base de datos determinada.
8. Habilitar el registro de flujos de la nube privada virtual (VPC). El registro de flujos de VPC es un servicio de supervisión de red que aporta visibilidad al tráfico de red de la VPC. Esta función se puede utilizar para detectar tráfico inusual o sospechoso, proporcionar información de seguridad y alertarle de cualquier actividad anómala. La activación de VPC le permite identificar problemas de seguridad y acceso, como volúmenes inusuales de transferencia de datos, solicitudes de conexión rechazadas, grupos de seguridad o listas de control de acceso (ACL) de red excesivamente permisivas, etc.

Prácticas recomendadas de seguridad de cuentas de AWS

Es importante proteger las cuentas de usuario para garantizar que no puedan verse comprometidas fácilmente. Para ello, siga las prácticas recomendadas de seguridad de cuentas de AWS que se indican a continuación:

1. Autenticación multifactorial (MFA) para la eliminación de buckets de S3 de CloudTrail. Si tu cuenta de AWS se ve comprometida, es probable que el primer paso que dé un atacante sea eliminar los registros de CloudTrail para ocultar su intrusión y retrasar su detección. Configurar la MFA para la eliminación de buckets de S3 que contengan registros de CloudTrail dificulta mucho más la eliminación de registros por parte de un hacker, lo que reduce así sus posibilidades de pasar desapercibido.
2. Autenticación multifactorial (MFA) para la cuenta raíz. La primera cuenta de usuario que se crea al registrarse en AWS se denomina cuenta raíz. La cuenta raíz es el tipo de usuario con mayores privilegios, con acceso a cada recurso de AWS. Por eso debes habilitar la autenticación multifactorial (MFA) para la cuenta raíz lo antes posible. Una de las prácticas recomendadas de seguridad de AWS para la MFA de la cuenta raíz es evitar almacenar las credenciales en el dispositivo personal de un usuario. Para ello, debes disponer de un dispositivo móvil dedicado que se guarde en una ubicación remota. Esto introduce una capa adicional de protección y garantiza que siempre se pueda acceder a la cuenta raíz, independientemente de qué dispositivos personales se pierdan o se estropeen.
3. MFA para usuarios de IAM. Si tu cuenta se ve comprometida, la MFA se convierte en la última línea de defensa. Todos los usuarios que dispongan de una contraseña de consola para el servicio de Gestión de Identidades y Accesos (IAM) deben estar obligados a pasar por la autenticación multifactorial (MFA).
4. Acceso multimodal para usuarios de IAM. Habilitar el acceso multimodal para los usuarios de IAM te permite dividir a los usuarios en dos grupos: usuarios de aplicaciones con acceso a la API y administradores con acceso a la consola. Esto reduce el riesgo de acceso no autorizado si se ven comprometidas las credenciales de los usuarios de IAM (claves de acceso o contraseñas).
5. Políticas de IAM asignadas a grupos o roles. No asigne políticas ni permisos directamente a los usuarios. En su lugar, conceda los permisos a los usuarios a nivel de grupo y de rol. Este enfoque simplifica la gestión de permisos y la hace más cómoda. Además, se reduce el riesgo de que un usuario concreto reciba permisos o privilegios excesivos por error.
6. Rotación periódica de las claves de acceso de IAM. Cuanto más a menudo rote los pares de claves de acceso, menor será la probabilidad de que se acceda indebidamente a sus datos mediante una clave perdida o robada.
7. Política estricta de contraseñas. Como es lógico, los usuarios tienden a crear contraseñas demasiado sencillas. Esto se debe a que quieren algo que les resulte fácil de recordar. Sin embargo, este tipo de contraseñas suelen ser también fáciles de adivinar para otras personas. La implementación y el mantenimiento de una política de contraseñas estricta es otra de las prácticas recomendadas de seguridad de AWS para proteger las cuentas frente a intentos de inicio de sesión por fuerza bruta. Los detalles de la política pueden variar, pero debes exigir que las contraseñas contengan al menos una letra mayúscula, una letra minúscula, un número, un símbolo y tengan una longitud mínima de 14 caracteres.

Configuración de las prácticas recomendadas de seguridad en AWS

Configure las opciones de seguridad para proteger sus datos en AWS, incluidas las copias de seguridad.

1. Restricción del acceso a los buckets de S3 de CloudTrail. No habilites el acceso a los registros de CloudTrail para ninguna cuenta de usuario o administrador. La razón subyacente es que siempre corren el riesgo de verse expuestos a ataques de phishing. Limita el acceso únicamente a aquellas personas que necesiten esta función para realizar su trabajo. De este modo, reduces la probabilidad de accesos innecesarios.
2. Cifrado de los archivos de registro de CloudTrail . Existen dos requisitos para descifrar los archivos de registro de CloudTrail en reposo. En primer lugar, el permiso de descifrado debe estar configurado mediante la política de claves maestras del cliente. En segundo lugar, debe concederse permiso para acceder a los buckets de Amazon S3. Solo aquellos usuarios cuyas funciones laborales lo requieran deben recibir ambos permisos.
3. Cifrado de la base de datos EBS. Asegurarse de que la base de datos EBS esté cifrada proporciona una capa adicional de protección. Tenga en cuenta que esto solo se puede hacer en el momento de la creación del volumen EBS; el cifrado no se puede habilitar posteriormente. Por lo tanto, si hay algún volumen sin cifrar, debe crear nuevos volúmenes cifrados y transferir sus datos desde los que no lo están.
4. Reducir los intervalos de puertos abiertos para los grupos de seguridad de EC2. Los intervalos amplios de puertos abiertos exponen más vulnerabilidades a los atacantes que utilizan el escaneo de puertos.
5. Configurar los grupos de seguridad de EC2 para restringir el acceso. Debe evitarse conceder demasiados permisos de acceso a las Instancias de EC2. Nunca permita que intervalos amplios de direcciones IP accedan a las Instancias de EC2. En su lugar, sea específico e incluya únicamente direcciones IP exactas en su lista de acceso. Sigue a Prácticas recomendadas para los grupos de seguridad de AWS.
6. Evitar el uso de cuentas de usuario root. Al registrarte para obtener una cuenta de AWS, el correo electrónico y la contraseña que utilices se convierten automáticamente en la cuenta de usuario root. El usuario root es el usuario con más privilegios del sistema, ya que tiene acceso a todos los servicios y recursos de tu cuenta de AWS sin excepción. Las prácticas recomendadas son utilizar esta cuenta solo una vez, al crear el primer usuario de IAM. A partir de entonces, debes guardar las credenciales del usuario root en un lugar seguro, fuera del alcance de cualquier persona.
7. Utilizar versiones y cifrados SSL seguros. Al establecer conexiones entre el cliente y el sistema Elastic Load Balancing (ELB), evita utilizar versiones obsoletas de SSL o cifrados en desuso. Estos pueden dar lugar a una conexión insegura entre el cliente y el equilibrador de carga.
8. Cifrado de Amazon Relational Database Service (RDS). El cifrado de Amazon RDS aporta una capa adicional de protección. Se recomienda utilizar Prácticas recomendadas de seguridad para AWS RDS.
9. Evitar el uso de claves de acceso con cuentas root. Crea cuentas basadas en roles con permisos limitados y claves de acceso. Nunca utilices claves de acceso con la cuenta root, ya que son una forma segura de exponer la cuenta a riesgos.
10. Rotar las claves SSH de forma periódica. Rotar periódicamente las claves SSH. Esta práctica recomendada de seguridad de AWS reduce los riesgos asociados al hecho de que los empleados compartan accidentalmente claves SSH, ya sea por error o por negligencia.
11. Minimizar el número de grupos de seguridad independientes. Las organizaciones deben mantener el número de grupos de seguridad independientes lo más bajo posible. Esto reduce el riesgo de una configuración incorrecta, que puede dar lugar a la vulneración de la cuenta, y es una de las prácticas recomendadas para los grupos de seguridad de AWS.

Gestión de entidades inactivas

La gestión y eliminación de entidades inactivas es importante, ya que este tipo de entidades pueden ser utilizadas por terceros para obtener acceso no autorizado.

1. Reducir al mínimo el número de grupos de IAM . La eliminación de grupos de IAM en desuso u obsoletos reduce el riesgo de aprovisionar accidentalmente nuevas entidades con configuraciones de seguridad antiguas.
2. Eliminar claves de acceso en desuso . Las prácticas recomendadas de seguridad de AWS establecen que las claves de acceso que permanezcan sin utilizarse durante más de 30 días deben eliminarse. Mantener claves de acceso en desuso durante mucho tiempo aumenta inevitablemente el riesgo de que se vea comprometida una cuenta o de que se produzca una amenaza interna.
3. Desactivar el acceso de los usuarios de IAM inactivos. Del mismo modo, debes desactivar las cuentas de los usuarios de IAM que no hayan iniciado sesión durante más de 90 días. Esto reduce la probabilidad de que se vea comprometida una cuenta abandonada o en desuso.
4. Eliminar las claves públicas SSH en desuso. Elimine las claves públicas SSH en desuso para reducir el riesgo de acceso no autorizado mediante SSH desde ubicaciones sin restricciones.

Restricciones de acceso

La restricción del acceso es una categoría de prácticas recomendadas de seguridad de AWS que le permite minimizar la probabilidad de que se vean comprometidos los datos almacenados en AWS y mejora el nivel de seguridad.

1. Restricción del acceso a las imágenes de máquina de Amazon (AMI). El acceso libre a sus imágenes de máquina de Amazon (AMI) hace que estén disponibles en las AMI de la comunidad. Allí, cualquier miembro de la comunidad que disponga de una cuenta de AWS puede utilizarlas para iniciar Instancias de EC2. Las AMI suelen contener instantáneas de aplicaciones específicas de la organización con datos de configuración y de la aplicación. Se recomienda encarecidamente restringir cuidadosamente el acceso a las AMI.
2. Restricción del acceso entrante en puertos poco habituales. Restrinja el acceso en puertos poco habituales, ya que pueden convertirse en posibles puntos débiles para actividades maliciosas (por ejemplo, ataques de fuerza bruta, piratería informática, ataques DDoS, etc.).
3. Restricción del acceso a los grupos de seguridad de EC2. Se debe restringir el acceso a los grupos de seguridad de EC2. Esto contribuye aún más a evitar la exposición a actividades maliciosas.
4. Restricción del acceso a las instancias de RDS. Mediante el acceso a las instancias de RDS, entidades de Internet pueden establecer una conexión con su base de datos. Un acceso sin restricciones expone a una organización a actividades maliciosas como inyecciones SQL, ataques de fuerza bruta o piratería informática.
5. Restricción del acceso saliente. El acceso saliente sin restricciones desde los puertos puede exponer a una organización a amenazas cibernéticas. Solo debe permitir el acceso a entidades específicas; por ejemplo, puertos concretos o destinos específicos.
6. Restricción del acceso a puertos de protocolos conocidos. El acceso a los puertos conocidos debe restringirse. Si no los controlas, expones a tu organización a un acceso no autorizado a los datos; por ejemplo, CIFS a través del puerto 445, FTP a través de los puertos 20/21, MySQL a través del puerto 3306, etc.

Prácticas recomendadas de seguridad de AWS S3

Al ser uno de los tipos de almacenamiento en la nube más habituales para guardar backups, debes conocer Cómo funciona Amazon S3 y tener en cuenta las prácticas recomendadas de seguridad de AWS S3.

1. Activación del control de versiones. El control de versiones se utiliza para conservar varias versiones de un objeto en un depósito de S3 después de realizar cambios en dicho objeto. Si se producen cambios no deseados en los objetos de un depósito, es posible recuperar cualquier versión anterior del objeto.
2. Uso de almacenamiento inmutable (WORM). Amazon S3 admite el modelo «escribir una vez, leer muchas veces» (WORM) para acceder a los datos de los buckets de S3. Este enfoque permite proteger los datos contra el borrado accidental por parte de los usuarios o intencionado por ransomware u otro malware. Almacenar las copias de seguridad en almacenamiento inmutable mejora significativamente la seguridad de las copias de seguridad de AWS.
3. Bloqueo de los buckets públicos de Amazon S3. Bloquee el acceso público a los buckets de S3 para evitar el acceso no autorizado a los datos, incluidas las copias de seguridad que almacene en AWS S3. Puede configurar esta opción a nivel de cuenta y para buckets individuales.

Prácticas recomendadas de seguridad de AWS EC2

Diferentes instancias de EC2 de AWS con volúmenes EBS son otra forma de almacenar backups en la nube de Amazon. Tenga en cuenta estas prácticas recomendadas de seguridad de AWS EC2 para proteger sus backups creados en la nube de AWS EC2.

1. Protección de los pares de claves de acceso. Proteja los pares de claves (claves públicas y privadas que actúan como credenciales en AWS EC2) generados para acceder a las instancias de Amazon EC2. Cualquier persona que tenga acceso a estas credenciales y conozca el ID de la instancia puede acceder a ella y a los datos que contiene. Tenga en cuenta también que solo puede descargar esta clave una vez al crear una instancia de EC2, y que no dispone de una copia de la clave privada en AWS. Una vez descargada, esta clave debe guardarse en un lugar seguro.
2. Instalación de actualizaciones. Instala las actualizaciones de seguridad y actualiza los controladores en un sistema operativo invitado, como Windows, que se ejecute en una instancia de Amazon EC2.
3. Uso de volúmenes EBS independientes. Un volumen EBS es un disco virtual para una instancia de Amazon EC2 en AWS. Utiliza volúmenes EBS independientes para ejecutar un sistema operativo y almacenar backups. Asegúrate de que tu volumen EBS con los datos de backup persista después de la terminación de la instancia de Amazon EC2.
4. Configuración del acceso temporal.

Amazon Virtual Private Cloud (VPC) es un entorno en la nube que puedes aislar mediante una configuración de red específica. Este entorno aislado lógicamente (nube no pública) en AWS se puede utilizar para almacenar backups con un nivel de seguridad más elevado. Para proteger las copias de seguridad almacenadas en VPC, consulta las prácticas recomendadas de seguridad de AWS VPC que se enumeran a continuación: Utiliza varias zonas de disponibilidad para garantizar una alta disponibilidad al añadir subredes a VPC. Utiliza listas de control de acceso a la red (ACL) para controlar el acceso a las subredes. Utiliza grupos de seguridad para controlar el tráfico hacia las Instancias de EC2 en las subredes. Utilice los registros de flujo de VC para ver los eventos generados en la VPC. Separe sus entornos de VPC, como desarrollo, pruebas, backups, etc. Otras prácticas recomendadas para la seguridad de los datos en la nube en AWS Existen otras prácticas recomendadas de seguridad de AWS que pueden implementarse para varias categorías a la vez: Utilice el enfoque de seguridad unificado. Utilice el enfoque unificado para la seguridad en la nube de AWS y en los servidores locales. Las diferentes políticas para proteger los entornos de AWS y los locales pueden provocar una brecha de seguridad en uno de ellos. Como resultado, ambos entornos se vuelven vulnerables, ya que están conectados entre sí a través de la red. Automatización de los jobs de backup. Utilice software específico de protección de datos para realizar backups de los datos en AWS de forma automática. Para obtener la mejor seguridad en los backups de AWS, programe la programación de los backups y las copias de backup para que se ejecuten periódicamente en los buckets de Amazon S3. NAKIVO Backup & Replication es la solución universal compatible con y : Backups coherentes e incrementales de instancias de Amazon EC2 Múltiples funciones de automatización con copias de backup y replicación basadas en políticas, programación avanzada y encadenamiento de copias de backup para crear copias de backup automatizadas en Amazon S3 a partir de copias de backup primarias correctas Integrado con S3 Object Lock para crear copias de backup inmutables y resistentes al ransomware en buckets de Amazon S3

Backup y replicación de Amazon EC2 backup en Amazon S3

Prueba NAKIVO Backup & Replication

Solicita una versión de prueba gratuita para descubrir todas las funciones de protección de datos de la solución. 15 días gratis. Sin limitaciones de funciones ni de capacidad. No es necesario facilitar un número de tarjeta de crédito.

Probar gratis