riesgos y amenazas en el cloud computing

8/7/2019 Riesgos y Amenazas en el Cloud Computing

1/32

RIESGOS Y AMENAZAS ENCLOUD COMPUTING

INTECO-CERT

Marzo 2011


2/32

Riesgos y amenazas en Cloud Computing 2

La presente publicacin pertenece al Instituto Nacional de Tecnologa de la Comunicacin (INTECO) y esta bajolicencia Reconocimiento-No comercial 3.0 Espaa de Creative Commons, y por ello estar permitido copiar, distribuiry comunicar pblicamente esta obra bajo las condiciones siguientes:

Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros,citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web:www.inteco.es. Dicho reconocimiento no podr en ningn caso sugerir que INTECO presta apoyo a dichotercero o apoya el uso que hace de su obra.

Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados yexhibidos mientras su uso no tenga fines comerciales.

Al reutilizar o distribuir la obra, tiene que dejar bien claro los trminos de la licencia de esta obra. Alguna de estascondiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada enesta licencia menoscaba o restringe los derechos morales de INTECO. http://creativecommons.org/licenses/by-nc-sa/3.0/es/

El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format).As, se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual,marcado de idioma y orden de lectura adecuado.

Para ampliar informacin sobre la construccin de documentos PDF accesibles puede consultar la gua disponibleen la seccin Accesibilidad > Formacin > Manuales y Guas de la pgina http://www.inteco.es
http://creativecommons.org/licenses/by-nc-sa/3.0/es/http://creativecommons.org/licenses/by-nc-sa/3.0/es/http://creativecommons.org/licenses/by-nc-sa/3.0/es/http://creativecommons.org/licenses/by-nc-sa/3.0/es/http://www.inteco.es/http://www.inteco.es/http://www.inteco.es/http://www.inteco.es/http://creativecommons.org/licenses/by-nc-sa/3.0/es/http://creativecommons.org/licenses/by-nc-sa/3.0/es/


3/32

Informe sobre la seguridad en IPv6 3

NDICE

1. INTRODUCCIN 5

2. C LOUD C OMPUTING 6

2.1. Tipos de Infraestructurascloud 6 2.1.1. Pblico 6 2.1.2. Privado 7 2.1.3. Comunitario 8 2.1.4. Hbridos 9

2.2. Tipos de serviciosCloud 10

2.2.1. Software como Servicio (SaaS ) 10 2.2.2. Plataforma como Servicio (PaaS ) 11 2.2.3. Infraestructura como Servicio (IaaS ) 11

3. SEGURIDAD ENCLOUD 12

3.1. Amenazas segn CSA (Cloud Security Alliance ) 12 3.1.1. Abuso y mal uso delcloud computing 12 3.1.2. Interfaces yAPI poco seguros 13 3.1.3. Amenaza interna 13

3.1.4. Problemas derivados de las tecnologas compartidas 14 3.1.5. Perdida o fuga de informacin 14 3.1.6. Secuestro de sesin o servicio 15 3.1.7. Riesgos por desconocimiento 15

3.2. Riesgos detectados por Gartner 16 3.2.1. Accesos de usuarios con privilegios 16 3.2.2. Cumplimento normativo 16 3.2.3. Localizacin de los datos 16 3.2.4. Aislamiento de datos 17 3.2.5. Recuperacin 17 3.2.6. Soporte investigativo 17 3.2.7. Viabilidad a largo plazo 17

3.3. Aspectos clave de seguridad encloud segn NIST 17 3.3.1. Gobernanza 18 3.3.2. Cumplimiento 18 3.3.3. Confianza 19 3.3.4. Arquitectura 21

3.3.5. Identidad y control de acceso 23


4/32


3.3.6. Aislamiento de Software 24 3.3.7. Proteccin de Datos 25

3.3.8. Disponibilidad 26 3.3.9. Respuesta a incidentes 28

3.4. Recomendaciones de seguridad segn NIST 28

4. CONCLUSIONES 30

5. GLOSARIO 31

6. REFERENCIAS 32


5/32


1. INTRODUCCIN

En la actualidad una de las tendencias del mercado de los sistemas de informacin es laproliferacin de los servicios operando en la nube, los cuales son servicios que permiten laasignacin dinmica de recursos en funcin de necesidades de los clientes y que aportanuna reduccin de costes en infraestructuras considerable.

La reciente publicacin delNIST (National Institute of Standards and Technologies )Guidelines on Security and Privacy in Public Cloud Computing pone de manifiesto,adems de la actualidad de este nuevo modelo para la distribucin de servicios yaplicaciones, la necesidad de difundir buenas prcticas de seguridad para este modelo. Esteno es el nico documento que refleja la creciente preocupacin por la seguridad en estasplataformas, como se refleja en documentos de entidades de referencia que tambinabordan este tema.

El informe siguiente resume algunos de estos documentos con el propsito de facilitar unavisin general de amenazas, riesgos y aspectos a considerar en la seguridad encloud .

Este informe realiza, en primer lugar, una descripcin de los tipos de infraestructuras yservicioscloud para, a continuacin, abordar los distintos elementos que han de tenerse encuenta para abordar su seguridad, segn el citado documento del NIST e informes recientesde la organizacin internacional CSA (Cloud Security Alliance ) y de la consultora Gartner.

Las preocupaciones que derivan de estos informes se centran en aspectos lagestin delos datos , fundamentalmente en la propiedad de los mismos y la forma de operarlos ytratarlos por parte de los proveedores, as como en laidentificacin y control de acceso alos recursos.
http://www.nist.gov/index.htmlhttp://www.nist.gov/index.htmlhttp://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://www.cloudsecurityalliance.org/http://www.cloudsecurityalliance.org/http://www.cloudsecurityalliance.org/http://www.gartner.com/technology/home.jsphttp://www.gartner.com/technology/home.jsphttp://www.gartner.com/technology/home.jsphttp://www.gartner.com/technology/home.jsphttp://www.cloudsecurityalliance.org/http://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://www.nist.gov/index.html


6/32


2. CLOUD COMPUTING

Cloud computing se ha definido por el NIST1 como un modelo para hacer posible el accesoa red adecuado y bajo demanda a un conjunto de recursos de computacin configurables ycompartidos (por ejemplo, redes, servidores, almacenamiento, aplicaciones y servicios)cuyo aprovisionamiento y liberacin puede realizarse con rapidez y con un mnimo esfuerzode gestin e interaccin por parte del proveedor delcloud .El origen del trmino est en el grfico de uso comn para representar Internet como sifuera una nube (cloud ). Los recursos de computacin (hardware y software) de estosmodelos estn disponibles a travs de Internet.

A continuacin, se describen los distintos tipos de infraestructuras y servicioscloud .

2.1. TIPOS DE INFRAESTRUCTURASCLOUD Atendiendo a la titularidad de la infraestructura en la nube se pueden distinguir tres tipos deinfraestructuras cloud : privada, pblica y comunitaria. A continuacin se presentan lasventajas e inconvenientes de cada uno.

2.1.1. PblicoEs aquel tipo de cloud en el cual la infraestructura y los recursos lgicos que forman partedel entorno se encuentran disponibles para el pblico en general a travs de Internet.

Suele ser propiedad de un proveedor que gestiona la infraestructura y el servicio o serviciosque se ofrecen.

Ventajas Inconvenientes

Escalabilidad. Se comparte la infraestructura con msorganizaciones.

Eficiencia de los recursos mediante losmodelos de pago por uso.

Poca transparencia para el cliente, ya queno se conoce el resto de servicios que

comparten recursos, almacenamiento, etc.

Gran ahorro de tiempo y costes. Dependencia de la seguridad de un tercero.

1

Peter Mell, Tim Grance, The NIST Definition of Cloud Computing, Version 15,October 7, 2009, .


7/32


Imagen 1: Cloud Pblico

Empresa A

Cloud Pblico

Particulares

Fuente: INTECO-CERT

2.1.2. PrivadoEste tipo de infraestructurascloud se crean con los recursos propios de la empresa que loimplanta, generalmente con la ayuda de empresas especializadas en este tipo detecnologas.


Cumplimiento de las polticas internas. Elevado coste material.

Facilidad para trabajo colaborativo entresedes distribuidas.

Dependencia de la infraestructuracontratada.

Control total de los recursos. Retorno de inversin lento dado su carcterde servicio interno.


8/32


Imagen 2: Cloud Privado

Empresa A

Cloud Privado

Fuente: INTECO-CERT

2.1.3. ComunitarioUn cloud comunitario se da cuando dos o ms organizaciones forman una alianza paraimplementar una infraestructuracloud orientada a objetivos similares y con un marco deseguridad y privacidad comn.


Cumplimiento con las polticas internas. Seguridad dependiente del anfitrin de lainfraestructura.

Reduccin de costes al compartir lainfraestructura y recursos.

Dependencia de la infraestructuracontratada.

Rpido retorno de inversin.


9/32


Imagen 3: Cloud Comunitario

Empresa BEmpresa A Empresa C

Cloud Comunitario

Fuente: INTECO-CERT

2.1.4. HbridosEste es un trmino amplio que implica la utilizacin conjunta de varias infraestructurascloud de cualquiera de los tres tipos anteriores, que se mantienen como entidades separadas peroque a su vez se encuentran unidas por la tecnologa estandarizada o propietaria,proporcionando una portabilidad de datos y aplicaciones.

En este caso las ventajas e inconvenientes son los mismos que los relativos a los tipos decloud que incluya la infraestructura.


10/32


Imagen 4: Cloud Hibrido

Cloud Hbrido Cloud Pblico

Particulares

Cloud Privado

Empresa BEmpresa A

Fuente: INTECO-CERT

2.2. TIPOS DE SERVICIOSCLOUD Los servicios en cloud pueden identificarse segn se ofrezca software, plataformas oinfraestructuras como servicio.

2.2.1. Software como servicio (SaaS )Este modelo, Software como servicio oSaaS (del ingls,Software as a Service ) consiste enun despliegue de software en el cual las aplicaciones y los recursos computacionales se handiseado para ser ofrecidos como servicios de funcionamiento bajo demanda, con estructurade servicios llave en mano. De esta forma se reducen los costes tanto de software comohardware, as como los gastos de mantenimiento y operacin.

Las consideraciones de seguridad son controladas por el proveedor del servicio. Elsuscriptor del servicio nicamente tiene acceso a la edicin de las preferencias y a unosprivilegios administrativos limitados.


11/32


12/32


3. SEGURIDAD ENCLOUD

Se plantean, a continuacin, las consideraciones de seguridad de infraestructuras yservicios encloud .

Se analizan las amenazas, los riesgos y las recomendaciones que han descrito los lderesdel sector: la organizacin internacional CSA (Cloud Security Alliance ), la consultora Gartnery el instituto norteamericano NIST (National Institute of Standards and Technology) .

3.1. AMENAZAS SEGNCSA (CLOUD SECURITY ALLIANCE )La Cloud Security Alliance se define como una organizacin internacional sin nimo de lucropara promover el uso de mejores prcticas para garantizar la seguridad encloud .

En marzo del 2010 public un informe Top Threats to Cloud Computing V1.0 sobre lassiete mayores amenazas de la infraestructuras cloud , con el propsito de asistir a lasorganizaciones en la toma de decisiones y en la adopcin de estrategias que incluyancloud computing. Estas amenazas se actualizan regularmente buscando el consenso de losexpertos. A continuacin, se resumen las amenazas descritas en este informe.

3.1.1. Abuso y mal uso del cloud computing Esta amenaza afecta principalmente a los modelos de servicioIaaS y PaaS y se relacionacon un registro de acceso a estas infraestructuras/plataformas poco restrictivo. Es decir,

cualquiera con una tarjeta de crdito vlida puede acceder al servicio, con la consecuenteproliferacin despammers, creadores de cdigo malicioso y otros criminales que utilizan lanube como centro de operaciones.

Ejemplos:o IaaS que han albergado la Zeus Botnet o Botnets que han alojado sus centros de control en infraestructuras cloudo rangos completos de direcciones de infraestructurascloud bloqueadas por envo

de correo basura

Recomendaciones:o implementar un sistema de registro de acceso ms restrictivo o coordinar y monitorizar el fraude en tarjetas de crdito o monitorizar el trafico de clientes para la deteccin de posibles actividades ilcitas o comprobar las listas negras pblicas para identificar si los rangos IP de la

infraestructura han entrado en ellas
http://www.cloudsecurityalliance.org/http://www.cloudsecurityalliance.org/http://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdfhttp://www.zdnet.com/blog/security/zeus-crimeware-using-amazons-ec2-as-command-and-control-server/5110http://www.zdnet.com/blog/security/zeus-crimeware-using-amazons-ec2-as-command-and-control-server/5110http://www.zdnet.com/blog/security/zeus-crimeware-using-amazons-ec2-as-command-and-control-server/5110http://cert.inteco.es/Formacion/Amenazas/botnets/http://cert.inteco.es/Formacion/Amenazas/botnets/http://cert.inteco.es/Formacion/Amenazas/botnets/http://www.zdnet.com/blog/security/zeus-crimeware-using-amazons-ec2-as-command-and-control-server/5110http://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdfhttp://www.cloudsecurityalliance.org/


13/32


3.1.2. Interfaces y API poco segurosGeneralmente los proveedores de servicios en la nube ofrecen una serie de interfaces yAPI ( del ingls,Application Programming Interface) para controlar e interactuar con los recursos.De este modo, toda la organizacin, el control, la provisin y la monitorizacin de losservicioscloud se realiza a travs de estos API o interfaces.

Dado que todo (autenticacin, acceso, cifrado de datos, etc.) se realiza a travs de estasherramientas, se hace necesario que los interfaces estn diseados de forma segura,evitando as los problemas de seguridad, tanto los que son intencionados como los que seproducen de forma accidental.

Ejemplos:o

permitir acceso annimo, reutilizacin detokens , autenticacin sin cifrar, etc.o limitaciones a la hora de gestin delogs (registros de actividad) y monitorizacin

Recomendaciones:

o analizar los problemas de seguridad de las interfaces de los proveedores deservicio

o asegurarse que la autenticacin y los controles de acceso se implementanteniendo en cuenta el cifrado de los datos

3.1.3. Amenaza internaComo en todos los sistemas de informacin, la amenaza que suponen los propios usuarioses una de las ms importantes, dado que tienen acceso de forma natural a los datos yaplicaciones de la empresa. En un entornocloud esto no es en absoluto diferente ya que sepueden desencadenar igualmente incidentes de seguridad provocados por empleadosdescontentos y accidentes por error o desconocimiento.

Adems, en muchos casos, es el propio proveedor del servicio el que gestiona las altas ybajas de los usuarios, producindose brechas de seguridad cuando el consumidor delservicio no informa al proveedor de las bajas de personal en la empresa.

Como es lgico, estos incidentes repercuten de forma importante en la imagen de laempresa y en los activos que son gestionados.

Los proveedores de servicio debern proveer a los consumidores del servicio de medios ymtodos para el control de las amenazas internas.

Recomendaciones:

o especificar clusulas legales y de confidencialidad en los contratos laboraleso determinar los posibles problemas en los procesos de notificacin


14/32


3.1.4. Problemas derivados de las tecnologas compartidasEsta amenaza afecta a los modelos IaaS , ya que en un modelo de Infraestructura comoServicio los componentes fsicos (CPU, GPU, etc.) no fueron diseados especficamentepara una arquitectura de aplicaciones compartidas. Se han dado casos en los que loshipervisores de virtualizacin podan acceder a los recursos fsicos del anfitrin provocando,de esta forma, incidentes de seguridad.

Para evitar este tipo de incidentes se recomienda implementar una defensa en profundidadcon especial atencin a los recursos de computacin, almacenamiento y red. Adems, se hade generar una buena estrategia de seguridad que gestione correctamente los recursos paraque las actividades de un usuario no puedan interferir en las del resto.

Ejemplos:o exploits omalware que consiguen acceder a los recursos del equipo anfitrin

de la virtualizacin

Recomendaciones:

o disear buenas prcticas para la instalacin y configuracin o monitorizar los entornos para detectar cambios no deseados en las

configuraciones o la actividad o proporcionar autenticacin fuerte y control de acceso para el acceso de

administracin o adecuar los acuerdos de nivel de servicio para controlar el parcheado y la

correccin de vulnerabilidades

3.1.5. Prdida o fuga de informacinExisten muchas formas en las que los datos se pueden ver comprometidos. Por ejemplo, elborrado o modificacin de datos sin tener una copia de seguridad de los originales, suponeuna prdida de datos.

En la nube, aumenta el riesgo de que los datos se vean comprometidos ya que el nmero deinteracciones entre ellos se multiplica debido a la propia arquitectura de la misma. Estoderiva en prdida de imagen de la compaa, daos econmicos y, si se trata de fugas,problemas legales, infracciones de normas, etc.

Ejemplos:o mal uso de las claves de cifrado y de software o autenticacin, autorizacin y auditoria dbil

Recomendaciones:

o implementarAPI potentes para el control de acceso o proteger el trnsito de datos mediante el cifrado de los mismos


15/32


o analizar la proteccin de datos tanto en tiempo de diseo como en tiempo deejecucin

o proporcionar mecanismos potentes para la generacin de claves, elalmacenamiento y la destruccin de la informacin o definir, por contrato, la destruccin de los datos antes de que los medios de

almacenamiento sean eliminados de la infraestructura, as como la poltica decopias de seguridad

3.1.6. Secuestro de sesin o servicioEn un entorno en la nube, si un atacante obtiene las credenciales de un usuario del entornopuede acceder a actividades y transacciones, manipular datos, devolver informacin

falsificada o redirigir a los clientes a sitios maliciosos.Recomendaciones:

o prohibir, mediante polticas, compartir credenciales entre usuarios y servicios o aplicar tcnicas de autenticacin de doble factor siempre que sea posible o monitorizar las sesiones en busca de actividades inusuales

3.1.7. Riesgos por desconocimientoUno de los pilares de las infraestructurascloud es reducir la cantidad de software yhardware que tienen que adquirir y mantener las compaas, para as poder centrarse en elnegocio. Esto, si bien repercute en ahorros de costes tanto econmicos comooperacionales, no puede ser motivo para el deterioro de la seguridad por falta deconocimiento de esta infraestructura.

Para asistir en la toma de decisiones sobre las medidas de seguridad que se han deimplantar en un entornocloud es conveniente conocer, al menos en parte, la informacintcnica de la plataforma. Datos como con quin se comparte la infraestructura o los intentosde acceso no autorizados pueden resultar muy importantes a la hora de decidir la estrategiade seguridad.

La carencia de informacin de este tipo puede derivar en brechas de seguridaddesconocidas por el afectado.

Recomendaciones:

o tener acceso a los logs (registros de actividad) de aplicaciones y datos o estar al corriente, total o parcialmente, de los detalles de la infraestructura o monitorizar y recibir alertas sobre el uso de informacin crtica


16/32


3.2. RIESGOS DETECTADOS POR GARTNERGartner S.A. es una compaa de investigacin y consultora de tecnologas de lainformacin, con sede en Stamford, Connecticut, Estados Unidos. Se conoca como GrupoGartner hasta 2001.

Gartner tiene como clientes a grandes empresas, agencias de gobierno, empresastecnolgicas y agencias de inversin. Fue fundada en 1979, tiene actualmente 4.000 sociosy dispone de 1.200 analistas y consultores con presencia en 75 pases por todo el mundo.

Desde su posicin de analista de las tecnologas de la informacin, tambin ha realizadorecientemente el informe Assessing the Security Risks of Cloud Computing sobre losprincipales riesgos en cloud computing . A continuacin, se incluye un extracto de lasrecomendaciones y buenas prcticas del citado informe.

3.2.1. Accesos de usuarios con privilegiosEl procesamiento o tratamiento de datos sensibles fuera de las instalaciones de la empresaconlleva un riesgo inherente, ya que es posible que estos servicios externos sorteen loscontroles fsicos, lgicos y humanos siendo, por este motivo, necesario conocer quinmaneja dichos datos.

Por tanto, se hace obligatorio consensuar con el proveedor los usuarios que tendrn accesoa esos datos, para minimizar as los riesgos de que haya usuarios con elevados privilegiosque no deberan tener acceso a los datos.

3.2.2. Cumplimento normativoLos clientes son en ltima instancia responsables de la seguridad e integridad de sus datos,aunque estos se encuentren fuera de las instalaciones y gestionados por un proveedor deservicioscloud .

Los prestadores de servicios tradicionales se hallan sujetos a auditoras externas ycertificaciones de seguridad, por lo tanto los proveedores de servicios en la nube tambindeben acogerse a este tipo de prcticas. Si se negasen a este tipo de auditoras no se les

debera confiar los datos sensibles de la empresa.

3.2.3. Localizacin de los datosAl utilizar entornos en la nube no se conoce de forma exacta en qu pas estn alojados.

Se debe consultar con los proveedores cul es el marco regulatorio aplicable alalmacenamiento y procesado de datos, siendo una buena prctica cerrar un acuerdo con elproveedor para que el tratamiento de los datos se subyugue al marco legal del pas delsuscriptor del servicio.
http://www.gartner.com/technology/home.jsphttp://www.gartner.com/technology/home.jsphttp://www.gartner.com/DisplayDocument?id=685308http://www.gartner.com/DisplayDocument?id=685308http://www.gartner.com/technology/home.jsp


17/32


3.2.4. Aislamiento de datosLos datos en los entornos cloud comparten infraestructura con datos de otros clientes. Elproveedor debe garantizar el aislamiento de los datos de los respectivos clientes. El cifradode los datos es una buena prctica, pero el problema es cmo aislar los datos cuando seencuentran en reposo ya que el cifrado, cuando no se hace uso de los datos, puede resultaruna operacin costosa.

El prestador del servicio debe garantizar que los datos en reposo estarn correctamenteaislados y que los procedimientos de cifrado de la informacin se realizarn por personalexperimentado, ya que el cifrado de los datos mal realizado tambin puede producirproblemas con la disponibilidad de los datos o incluso la prdida de los mismos.

3.2.5. RecuperacinLos proveedores de servicio deben tener una poltica de recuperacin de datos en caso dedesastre. Asimismo, es muy recomendable que los datos sean replicados en mltiplesinfraestructuras para evitar que sean vulnerables a un fallo general.

Se debe exigir a los proveedores los datos sobre la viabilidad de una recuperacin completay el tiempo que podra tardar.

3.2.6. Soporte investigativoLa investigacin de actividades ilegales en entornoscloud puede ser una actividad casiimposible, porque los datos ylogs (registros de actividad) de mltiples clientes pueden estarjuntos e incluso desperdigados por una gran cantidad de equipos y centros de datos.

Lo recomendable ser que el proveedor garantice que loslogs y los datos de los incidentesse gestionan de una forma centralizada.

3.2.7. Viabilidad a largo plazoEn un entorno ideal un proveedor de servicioscloud siempre permanecer en el mercadodando un servicio de calidad y con una disponibilidad completa, pero el mercado es

cambiante y cabe la posibilidad de que el proveedor sea comprado o absorbido por algunocon mayores recursos.

El cliente debe asegurarse que podr recuperar sus datos an en el caso de que elproveedor sea comprado o absorbido por otro o bien contemplar la posibilidad de que losdatos puedan ser migrados a la nueva infraestructura.

3.3. ASPECTOS CLAVE DE SEGURIDAD ENCLOUD SEGN NISTEl Instituto Nacional de Normas y Tecnologa(NIST por sus siglas en ingls, National Institute of Standards and Technology ) es una agencia de la Administracin de Tecnologa

del Departamento de Comercio de los Estados Unidos. La misin de este instituto es
http://www.nist.gov/index.htmlhttp://www.nist.gov/index.htmlhttp://www.nist.gov/index.htmlhttp://www.nist.gov/index.html


18/32


promover la innovacin y la competencia industrial en Estados Unidos mediante avances enmetrologa, normas y tecnologa de forma que mejoren la estabilidad econmica y la calidadde vida.

En este sentido, tambin ha publicado recientemente un borrador de una de sus guasGuidelines on Security and Privacy in Public Cloud Computing en las que propone unosrefuerzos de seguridad centrndose en una clasificacin particular. Se resume acontinuacin.

3.3.1. GobernanzaLa gobernanza implica el control y la supervisin de las polticas, los procedimientos y losestndares para el desarrollo de aplicaciones, as como el diseo, la implementacin, laspruebas y la monitorizacin de los servicios distribuidos. Elcloud , por su diversidad deservicios y su amplia disponibilidad, amplifica la necesidad de una buena gobernanza.

Garantizar que los sistemas son seguros y que los riesgos estn gestionados es un reto encualquier entorno cloud . Es un requisito de seguridad instalar adecuadamente losmecanismos y herramientas de auditora para determinar cmo se almacenan los datos,cmo se protegen y cmo se utilizan tanto para validar los servicios y como para verificar elcumplimiento de las polticas.

Por otra parte, se ha de prestar especial atencin a los roles y las responsabilidadesinvolucrados en la gestin de riesgos. Es muy recomendable poner en marcha un programa

de gestin de riesgos que sea suficientemente flexible para tratar con un entorno de riesgosvariables y en continua evolucin.

3.3.2. CumplimientoEl cumplimiento obliga a la conformidad con especificaciones estndares, normas o leyesestablecidas. La legislacin y normativa relativa a privacidad y seguridad vara mucho segnlos pases con diferencias, en ocasiones, a nivel nacional, regional o local haciendo muycomplicado el cumplimiento encloud computing .

Ubicacin de los datos

Uno de los principales problemas de los servicios encloud computing es la ausencia deinformacin acerca de cmo se ha implantado la infraestructura, por lo cual el suscriptorno tiene prcticamente informacin de cmo y dnde son almacenados los datos ni decmo se protegen los mismos. La posesin de certificaciones de seguridad o larealizacin de auditoras externas por parte del proveedor mitiga, en parte, el problemaaunque tampoco es una solucin.

Cuando la informacin se mueve por diferentes pases, sus marcos legales yregulatorios cambian y esto, obviamente, afecta a la forma de tratar los datos. Porejemplo, las leyes de proteccin de datos imponen obligaciones adicionales a losprocedimientos de manejo y procesamiento de datos que se transfieren a EEUU.
http://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdf


19/32


La principal preocupacin del cumplimiento radica en conocer los lmites en los que dejade aplicar la legislacin del pas que recoge los datos y comienza a aplicar la legislacindel pas destino de los mismos as como si la legislacin en el destino supone algnriesgo o beneficio adicional. Por lo general aplican las salvaguardas tcnicas, fsicas yadministrativas, como los controles de acceso.

Investigacin electrnica

La investigacin electrnica se ocupa de la identificacin, la recoleccin, elprocesamiento, el anlisis y la produccin de los documentos en la fase dedescubrimiento de un procedimiento judicial. Las organizaciones tambin tienenobligaciones para la preservacin y la generacin de los documentos, tales como cumplircon las auditoras y solicitudes de informacin. Estos documentos no slo incluyencorreos electrnicos, adjuntos del correo y otros datos almacenados en los sistemas,sino tambin metadatos como fechas de creacin y modificacin.

Las capacidades de un proveedor cloud y las herramientas de investigacin disponiblespueden dificultar el cumplimiento de las obligaciones de la organizacin. Por ejemplo, silos elementos de almacenamiento de un proveedor no guardan los metadatos originalesy suceden daos intencionados (borrado de datos, prdida, alteracin material o bloqueode evidencias que son bsicas para la investigacin) la carencia de estos metadatostiene un impacto negativo en la investigacin.

3.3.3. ConfianzaEn cloud computing la organizacin cede el control directo de muchos aspectos de laseguridad confiriendo un nivel de confianza sin precedentes al proveedor decloud .

Acceso desde dentroLos datos almacenados fuera de los lmites de una organizacin estn protegidos porcortafuegos y otros controles de seguridad que conllevan en s mismos un nivel deriesgo inherente. Las amenazas internas son un problema conocido por la mayora delas organizaciones y aunque su nombre no lo refleje aplica tambin en los servicioscloud .

Estas amenazas pueden ser provocadas tanto por los antiguos como por los actualesempleados as como por las empresas asociadas, las asistencias tcnicas y otrosactores que reciben acceso a las redes corporativas y datos para facilitar lasoperaciones. Los incidentes pueden ser tanto intencionados como no intencionados y demuy diversos tipos incluyendo fraude, sabotaje de los recursos de informacin, robo deinformacin confidencial.

Al traspasar los datos a un entornocloud operado por un proveedor, las amenazasinternas se extienden no slo al personal del proveedor sino tambin a los consumidoresdel servicio. Un ejemplo de esto se demostr por una denegacin de servicio realizada

por un atacante interno. El ataque fue realizado por un suscriptor que cre 20 cuentas y


20/32


lanz una instancia de mquina virtual por cada una de ellas, a su vez cada una de estascuentas segua creando 20 cuentas cada una haciendo que el crecimiento exponencialllevase los recursos a los lmites de fallo.

Propiedad de los datos

Cuando se establece un contrato con un proveedor se deben definir de forma clara losderechos sobre los datos y as crear un primer marco de confianza. Existe unacontroversia importante en torno a los trminos ambiguos que utilizan las redes socialesen sus polticas de privacidad y propiedad de los datos. El contrato debe establecer deuna forma clara que la organizacin mantiene la propiedad de todos sus datos, perotambin debe asegurar que el proveedor no adquiere derechos o licencias a travs de

los acuerdos para usar los datos en su propio beneficio.

Servicios complejos

Los servicioscloud en s mismos suelen estar formados por la colaboracin y unin deotros servicios. El nivel de disponibilidad de un serviciocloud depende de ladisponibilidad de los servicios que lo componen. Aquellos servicios que dependan deterceros para su funcionamiento deben considerar el establecimiento de un marco decontrol con dichos terceros para definir las responsabilidades y las obligaciones, ascomo los remedios para los posibles fallos.

Las garantas de responsabilidad y rendimiento pueden convertirse en un problema serioen servicios complejos. Un ejemplo de esto es una red social que suscriba servicios dealmacenamiento en la nube y cerr por perder el acceso a gran cantidad de datos de20.000 suscriptores. El problema fue que los datos antiguos, las nuevas aplicaciones ylas bases de datos se encontraban en diferentes proveedores de servicioscloud .

Visibilidad

La migracin a servicioscloud pblicos cede el control de los sistemas de seguridad alos proveedores que operan los datos de la organizacin. La administracin, losprocedimientos y los controles usados en elcloud deben guardar cierta analoga con losimplantados en la propia organizacin interna para evitar posibles agujeros de seguridad.

Los proveedores de cloud suelen ser bastante celosos para dar los detalles de suspolticas de seguridad y privacidad, ya que dicha informacin podra ser utilizada pararealizar un ataque. Por lo general, los detalles de la red y los niveles de monitorizacinde los sistemas no forman parte de los acuerdos de servicio.

La transparencia de la forma en la que los proveedores operan es un asunto vital para la

supervisin de los sistemas de seguridad y privacidad de una organizacin. Para


21/32


asegurar que las polticas se cumplen durante el ciclo de vida de los sistemas, losacuerdos de servicio deben incluir algunas clusulas para obtener visibilidad de loscontroles de seguridad y los procesos empleados por los proveedores. Lo ideal sera quela organizacin tuviese el control sobre ciertos aspectos tales como la definicin de loslmites que lanzan alertas, los niveles de detalle de los informes, etc. para que seadecen a las necesidades de la empresa.

Gestin de riesgos

Con los servicios basados en cloud muchos componentes de los sistemas deinformacin quedan fuera del control directo de la organizacin suscriptora. Mucha gentese siente mejor con un riesgo siempre y cuando tengan mayor control sobre los procesos

y los equipos involucrados. La gestin de riesgos es el proceso de identificar y valorarlos riesgos realizando los pasos necesarios para reducirlos a un nivel asumible. Lossistemas cloud pblicos requieren, al igual que los sistemas tradicionales, que losriesgos sean gestionados a lo largo de su ciclo de vida.

Valorar y gestionar riesgos en sistemas que utilizan servicioscloud puede llegar a ser undesafo. Para llevarlo a la prctica, la organizacin debe confirmar que los controles deseguridad estn implementados correctamente y cumplen con los requisitos deseguridad de la empresa. El establecimiento de un nivel de confianza depende del gradode control que una organizacin est dispuesta a delegar en el proveedor para que seaste el que implemente los controles de seguridad necesarios para la proteccin de losdatos y las aplicaciones de la organizacin, as como las pruebas de la efectividad dedichos controles.

Si el nivel de confianza baja por debajo de las expectativas y la organizacin no puedeaplicar medidas correctivas, sta debe decidirse entre la aceptacin de un riesgo mayoro el rechazo del servicio.

3.3.4. ArquitecturaLa arquitectura de una infraestructuracloud comprende tantohardware como software . Lasmquinas virtuales se utilizan como unidades de distribucin delsoftware asociadas adispositivos de almacenamiento. Las aplicaciones son creadas mediante las interfaces deprogramacin. Suelen englobar a mltiples componentes de la infraestructura que secomunican entre s a travs de estas interfaces. Esta comunicacin global de lainfraestructura puede derivar en fallos de seguridad.

Superficie de ataqueEl hipervisor de las mquinas virtuales se superpone como una capa extra de softwareentre el sistema operativo y los recursos hardware y se utiliza para ejecutar las mquinasvirtuales multiusuario. La inclusin de estos hipervisores supone aadir un punto deataque extra con respecto a las arquitecturas tradicionales.


22/32


Son ejemplos de posibles incidentes la revelacin de datos sensibles al realizar lamigracin de mquinas virtuales o la ejecucin de cdigo arbitrario en el equipo anfitrinal explotar vulnerabilidades en productos de virtualizacin.

Proteccin de la red virtualLa mayora de los productos de virtualizacin soportan la creacin de conmutadores dered virtuales y configuraciones de red como parte del entorno. As mismo, soportan lacreacin de subredes privadas para la comunicacin entre las maquinas virtualesalojadas en un mismo servidor. Este trfico no puede ser monitorizado por los elementosfsicos tpicos de la red (cortafuegos, sistemas de prevencin de intrusiones, etc.). Porello, se deben extremar las precauciones de la seguridad de la red en estas conexionesinternas para evitar ataques desde dentro de estas redes virtuales.

Datos auxiliaresLo ms normal es que la seguridad en estos entornos se centre en los datos quegestiona la aplicacin, pero tambin existen otros datos no considerados tan crticoscuya alteracin, robo o revelacin puede producir serios incidentes de seguridad (porejemplo: bases de datos de clientes, ficheros de pagos, informacin de usuarios, etc.).

Otro de los problemas puede producirse al no proteger el acceso a los repositorios de lasplantillas de las mquinas virtuales que contienen las configuraciones por defecto de lasmismas. Compartir este tipo de datos es una prctica bastante comn en entornoscloud .

Compartir este tipo de datos puede ofrecer al atacante plataformas para preparar suataque comprobando las vulnerabilidades que pueden ser inherentes a las mismas,aunque tambin puede existir el proceso contrario: atacantes que intenten reemplazaruna imagen por otra con contenido malicioso instalado.

Proteccin del cliente Los navegadores, como parte primordial de los entornoscloud (ya que tpicamente losaccesos se realizan va web), pueden llevar extensiones oplugins con importantesbrechas de seguridad.

Mantener la seguridad lgica y fsica de la parte del cliente puede ser complicadoespecialmente para entornos mviles ya que, por su tamao y portabilidad, puedenperderse o ser sustrados. As mismo, los sistemas de escritorio no son actualizados deforma sistemtica provocando que las vulnerabilidades puedan producir brechas deseguridad importantes.

Otro aspecto a tener en cuenta es la posible presencia de troyanos, puertas traseras ovirus que puedan obtener informacin confidencial o monitorizar a la vctima.

La solucin podra partir por reforzar la comprobacin de seguridad de los clientes. Porejemplo, los bancos empiezan a desarrollar medidas para que los navegadores de susclientes aseguren los datos mediante el cifrado de las comunicaciones y aplicandomecanismos para evitar la intercepcin de las pulsaciones de teclado.


23/32


Proteccin del servidor Los servidores en los entornos cloud deben ser protegidos tanto fsica comolgicamente, de forma que los mismos estn segmentados y separados para que no sepuedan producir accesos desde zonas no autorizadas.

Del mismo modo, en la parte del cliente hay que asegurar el parcheo de los servidorespara que no tengan vulnerabilidades que comprometan la seguridad del entorno.

Otro aspecto importante en la proteccin de la parte servidora es la disponibilidad, por loque ser recomendable disponer de sistemas que gocen de sta, principalmente enaquellos servidores que alojen partes crticas de la infraestructura.

3.3.5. Identidad y control de accesoLos datos sensibles y la privacidad se han convertido en la principal preocupacin en lo querespecta a la proteccin de las organizaciones y el acceso no autorizado a los recursos deinformacin. La alternativa de usar dos mtodos de autenticacin, uno para la organizacininterna y otro para los clientes, puede llegar a ser algo muy complicado. La identidadfederada, que se ha vuelto popular con el crecimiento de las arquitecturas orientadas aservicios, puede ser una de las soluciones, pudiendo ser implementada de varias formassiguiendo el estndar SAML (del ingls,Security Assertion Markup Language ) o el estndarOpenID.

AutenticacinUn nmero creciente de proveedores de servicios cloud soportan el estndar SAML,utilizndolo para administrar usuarios y autenticarlos previamente a conceder el acceso a lasaplicaciones y datos. Este estndar proporciona un entorno para el intercambio deinformacin para la autenticacin entre dominios cooperantes. Las solicitudes y respuestasen este estndar son mapeadas mediante el protocolo SOAP (del ingls, Simple Object Access Protocol ). Los mensajes SOAP se firman digitalmente.De esta forma, cuando unusuario dispone de un certificado de clave pblica para un entornocloud su clave privadapuede ser utilizada para firmar las peticionesSOAP .

La validacin de una autenticacin mediante mensajesSOAP es complicada y debe tratarse

con cuidado para evitar posibles ataques. Por ejemplo, ya se demostr el xito de ataquesdel tipo XML Wrapping contra infraestructurascloud . Este tipo de ataques manipulan laspeticionesSOAP mediante la introduccin de envolturas en la cabecera de seguridadSOAP ,se mueve el cuerpo a dicha envoltura y se sustituye el cuerpo con uno que ejecuta unaaccin definida por el atacante. Como el mensaje original no se borra, la firma se verificapero se realiza la ejecucin de la accin maliciosa.

Control de AccesoEl estndar SAML por s solo no es suficiente para proporcionar tanto autenticacin comocontroles de acceso en servicioscloud . Se hace necesario implementar tambin un control


24/32


de acceso a los recursos. Para ello se puede utilizar el estndar XACML (del ingls,eXtensible Access Control Markup Language ) para controlar los accesos a los recursos.Este estndar complementa SAML para entornos de intercambio de autenticacin yautorizacin entre dominios cooperantes. No obstante, los mensajes entre entidadesXACML pueden ser susceptibles de ataques por parte de terceros, por lo que hay queprotegerlos frente a ataques de exposicin de la informacin, repeticin, borrado ymodificacin.

3.3.6. Aislamiento de SoftwarePara alcanzar tasas altas de eficiencia, los proveedores deben asegurar tanto una provisindinmica del servicio como el aislamiento de los suscriptores del servicio. La concurrenciade usuarios es realizada en entornos cloud mediante la multiplexacin de la ejecucin de las

mquinas virtuales para los diferentes usuarios en un mismo servidor fsico. An as, lasaplicaciones que corren en dichos entornos permiten ser focos de ataque. Las msdestacadas son:

Complejidad del hipervisorLa seguridad de un sistema de computacin depende de la calidad delsoftware que seejecuta en su ncleo, el cual controla la ubicacin y ejecucin de los procesos. Unmonitor de mquinas virtuales est diseado para ejecutar mltiples mquinas de formaconcurrente en un mismo anfitrin fsico proporcionando aislamiento entre las diferentesmquinas virtuales.

Normalmente estos hipervisores son menos complejos que un sistema operativo, por loque el anlisis y la mejora de la seguridad es, en teora, ms sencillo. La realidad es quela evolucin de estos hipervisores los ha convertido en elementos mucho ms complejosy amplios, similares a sistemas operativos. Un caso claro de esto es Xen que contieneun ncleo de Linux modificado para aislar las operaciones de entrada/salida e incluyeKVM (del ingls,Kernel-based Virtual Machine ), de forma que transforma el ncleo deLinux e un hipervisor.

Resulta importante para el proveedor entender el uso de la virtualizacin para podercomprender los riesgos asociados que pueden producirse.

Vectores de ataqueLa concurrencia de mltiples usuarios compartiendo recursos fsicos mediante diferentesmquinas virtuales puede producir nuevas fuentes de amenazas. Una de las principalesamenazas es la posibilidad de que cdigos maliciosos puedan salir de las mquinasvirtuales e interferir con el hipervisor o con otras mquinas virtuales. La posibilidad de lamigracin en caliente de las mquinas virtuales de un servidor fsico a otro, y otrasfuncionalidades que aportan los hipervisores para facilitar la gestin, aumentan eltamao y la complejidad del software y por ende aade nuevas zonas para realizarataques.


25/32


La interfaz de programacin de los servicioscloud suele ser objetivo comn paradescubrir vulnerabilidades que se pueden explotar. Este tipo de vulnerabilidades suelenser desbordamientos de buffer , que permiten al atacante la ejecucin de cdigo arbitrarioo fallos que permiten realizar denegaciones de servicio que puedan afectar a la mquinavirtual o al propio servidor anfitrin.

Tambin pueden darse ataques indirectos, como los demostrados por algunosdesarrolladores, sobre una debilidad en el proceso de migracin de mquinas virtualesque permita a un atacante obtener control administrativo de la mquina mediante unataque man-in-the-middle para modificar el cdigo de autenticacin.

Por otra parte, las modificaciones de memoria durante la migracin que permiten lainstalacin de rootkits especficos para mquinas virtuales pueden suponer otro vector

de ataque.Otra opcin puede ser la monitorizacin del uso de recursos en un servidor compartidopara recopilar informacin y, de esa forma, poder obtener informacin de cundo es elmejor momento para la realizacin de un ataque.

3.3.7. Proteccin de datosLos datos que se almacenan en entornos cloud suelen residir en equipamiento compartidopor mltiples clientes. Por ello, las organizaciones que gestionan datos confidenciales en lanube deben preocuparse por la forma en que se accede a estos datos y garantizar que los

mismos estn almacenados de forma segura.Aislamiento de datos

Los datos en los entornos cloud pueden tomar muchas formas dependiendo de laactividad a la que se dediquen Si, por ejemplo, la actividad es el desarrollo deaplicaciones, los datos se encontrarn en forma de programas,scripts y datos deconfiguraciones. En cambio, si en la plataforma reside una aplicacin ya desarrollada,los datos sern del tipo registros, contenidos creados y usados por la aplicacin oinformacin de los usuarios, etc.

Uno de los principales problemas de los entornoscloud es la autenticacin de laidentidad de los usuarios. Los controles de acceso se basan habitualmente encomprobar la identidad.

Un caso particular son los entornos tpicos de bases de datos de los entornoscloud quese componen de un nico sistema gestor de bases de datos con una instancia pormquina virtual. La seguridad y configuracin de estas instancias recae en la partesuscriptora del servicio. La segregacin de los datos se suele realizar mediante etiquetaspara los datos, lo cual proporciona una falsa apariencia de uso exclusivo de lasinstancias.

Por otra parte, los datos deben ser protegidos cuando se encuentran en descanso, entrnsito. Asimismo, el acceso a los datos debe ser controlado. Los estndares de
http://www.blackhat.com/presentations/bh-dc-08/Oberheide/Whitepaper/bh-dc-08-oberheide-WP.pdfhttp://www.blackhat.com/presentations/bh-dc-08/Oberheide/Whitepaper/bh-dc-08-oberheide-WP.pdfhttp://www.blackhat.com/presentations/bh-dc-08/Oberheide/Whitepaper/bh-dc-08-oberheide-WP.pdfhttp://www.eecs.umich.edu/~pmchen/papers/king06.pdfhttp://www.eecs.umich.edu/~pmchen/papers/king06.pdfhttp://www.eecs.umich.edu/~pmchen/papers/king06.pdfhttp://www.blackhat.com/presentations/bh-dc-08/Oberheide/Whitepaper/bh-dc-08-oberheide-WP.pdf


26/32


comunicaciones y los certificados de clave pblica permiten que las transferencias dedatos se puedan proteger utilizando criptografa. La seguridad en descanso no es tansencilla porque los procedimientos no son claros debido a que la mayora de lossistemas son propietarios, lo cual, a su vez, dificulta la interoperabilidad entre distintosproveedores con sistemas diferentes.

La gestin de las claves criptogrficas recae principalmente en el suscriptor del servicio.La generacin de estas claves se suele realizar utilizando mdulos de seguridadhardware oHSM ( del ingls, Hardware Security Module ).

La proteccin de datos en uso es un rea emergente de la criptografa con poco materialprctico que ofrecer, dejando que los mecanismos de confianza sean la mayorsalvaguarda.

Saneamiento de datosSaneamiento es la eliminacin de datos sensibles de un medio de almacenamientocuando ste deja de ser utilizado en el entorno o se quiere reutilizar en otro entorno osituacin. El saneamiento tambin aplica a los datos de las copias de seguridad y a losdatos residuales que quedan cuando el servicio finaliza.

En entornos cloud esta labor puede ser muy complicada ya que los datos de variosclientes comparten almacenamiento por lo cual el saneamiento se debe realizar con grancautela. Adems, mediante tcnicas y equipamiento especfico, se pueden recuperardatos de medios de almacenamiento previamente borrado, lo cual convierte estesaneamiento en una tarea crtica.

3.3.8. DisponibilidadLa disponibilidad puede ser interrumpida de forma temporal o permanente. Los ataques dedenegacin de servicio, fallos del equipamiento y desastres naturales son todas amenazas ala disponibilidad.

Fallos temporalesA pesar de utilizar infraestructuras orientadas para dar un alto nivel de servicio y una alta

disponibilidad, los servicioscloud pueden experimentar descensos en el rendimiento ofallos.

Algunos ejemplos de esto son:

o Febrero 2008: fallos de un servicio de almacenamiento en la nube por un periodode tres horas que afect a sus suscriptores, entre ellos Twitter y otras compaas.

o Febrero 2010: Gmail sufre una prdida de acceso a 500.000 cuentas por unaactualizacin de software; alguna de las cuentas se restauraron mediante copiasde seguridad en cinta.

Con una fiabilidad del 99,95% se produciran 4,38 horas de cada en un ao, excluyendolas paradas de mantenimiento, que no se recogen en los acuerdos de nivel de servicio o
http://www.zdnet.com/blog/btl/amazon-explains-its-s3-outage/8010http://www.zdnet.com/blog/btl/amazon-explains-its-s3-outage/8010http://www.zdnet.com/blog/btl/amazon-explains-its-s3-outage/8010http://bitelia.com/2011/03/google-explica-causas-fallo-gmailhttp://bitelia.com/2011/03/google-explica-causas-fallo-gmailhttp://bitelia.com/2011/03/google-explica-causas-fallo-gmailhttp://www.zdnet.com/blog/btl/amazon-explains-its-s3-outage/8010


27/32


28/32


de las mismas al correo electrnico, por lo cual, controlando la cuenta de un usuario, seobtendra de forma sencilla la autenticacin.

3.3.9. Respuesta a incidentesLa labor del proveedor es bsica en las actividades de respuesta ante la ocurrencia de algnincidente de seguridad. Esto incluye la verificacin, el anlisis del ataque, la contencin, larecoleccin de evidencias, la aplicacin de remedios y la restauracin del servicio.

La colaboracin entre los proveedores y los suscriptores para la deteccin y reconocimientode los incidentes es esencial para la seguridad y la privacidad encloud computing , ya que lacomplejidad de los servicios puede dificultar la labor de la deteccin. Se hace necesarioentender y negociar los procedimientos de respuesta a incidentes antes de firmar uncontrato de servicio. La localizacin de los datos es otro aspecto que puede impedir unainvestigacin, por lo que es otro de los puntos que se deben negociar en los contratos.

La solucin que se negocie ha de tener la finalidad de mitigar el incidente en un tiempo quelimite los daos y que mejore los tiempos de recuperacin. Los equipos para la resolucindeberan ser mixtos (proveedor y suscriptor) ya que la solucin puede involucrar a alguna delas partes de forma individual o a ambas conjuntamente y el incidente puede incluso afectara otros suscriptores que comparten la infraestructura.

3.4. RECOMENDACIONES DE SEGURIDAD SEGN NISTSegn el informe del NIST, ests son las buenas prcticas generales por rea.

rea Recomendacin

Gobernanza

Implantar polticas y estndares en la provisin de servicioscloud .

Establecer mecanismos de auditora y herramientas para que sesigan las polticas de la organizacin durante el ciclo de vida.

CumplimientoEntender los distintos tipos de leyes y regulaciones y su impactopotencial en los entornoscloud.

Revisar y valorar las medidas del proveedor con respecto a lasnecesidades de la organizacin.

Confianza Incorporar mecanismos en el contrato que permitan controlar losprocesos y controles de privacidad empleados por el proveedor.

Arquitectura Comprender las tecnologas que sustentan la infraestructura delproveedor para comprender las implicaciones de privacidad y


29/32


30/32


4. CONCLUSIONES

El hecho de que los entornoscloud proliferen de forma exponencial obliga a los posiblesusuarios a comprender mejor estos entornos y sus principales problemticas. El terminocloud computing es amplio y su definicin poco precisa. Por ello, a la hora de la eleccin deservicios cloud se ha de tener claro el tipo de infraestructura que lo soporta y el tipo deservicio que se ofrece.

Tras el anlisis realizado en este informe se obtiene una visin global de esta problemtica yse extraen conclusiones comunes a todos los puntos de vista.

La seguridad y la propiedad de los datos es uno de los aspectos clave. Los informes

muestran una gran preocupacin por la propiedad y el tratamiento de los datos dado queestas infraestructuras pueden gestionar los datos en mltiples pases lo que puede generarconflictos en cuanto al marco legal en el que son tratados. Tambin se plantea que estosentornos, al manejar gran cantidad de datos, pueden ser objeto de fugas de informacin, yasean intencionadas o fortuitas.

El cumplimiento normativo tambin es uno de los pilares de la seguridad en entornoscloud. En este caso el problema se presenta debido a la falta de transparencia de estasinfraestructuras, por lo que es muy recomendable que el suscriptor del servicio se informeclaramente de cmo se gestiona el entorno.

Para la creacin de un servicio cloud interviene multitud de software de distintosproveedores. Es decir, son entornos complejos por lo que se ha de poner especialatencin a las posibles vulnerabilidades del mismo e implantar procedimientos deparcheado.

Otro de los aspectos considerados importantes es laidentidad y el control de acceso . Porlo general, la mayora de las infraestructuras son compartidas por mltiples empresas ousuarios y la mala definicin de los controles de acceso puede provocar accesos noautorizados a datos confidenciales. La definicin de una buena poltica de identidad y controlde acceso basada en polticas de mnimo privilegio es esencial en entornoscloud .

Por ltimo, existe un denominador comn a todos estos aspectos mencionados. Se trata delos contratos de acuerdo de servicio . Todas las recomendaciones en cuanto a esteasunto indican que stos deben de ser revisados y creados especficamente, detallando loscontroles, las normativas, las medidas de proteccin, los plazos de recuperacin delservicio, etc.


31/32


5. GLOSARIO

API: Interfaz de programacin de aplicaciones, del ingls, Application Programming Interface).

BBDD: Bases de datos.

CPU : Unidad central de proceso del ingls,Central Process Unit.

CSA: Organizacin internacionalCloud Security Alliance.

GPU : Unidad de procesamiento de grficos, del inglsGraphics Process Unit.

IaaS : Infraestructura como servicio oSaaS , del inglsInfrastructure as a Service ).NIST: Instituto Nacional de Estndares y Tecnologas (Estados Unidos) de ingls,National Institute of Standards and Technologies ).

OpenID: Estndar de identificacin digital descentralizado con el que un usuario puedeidentificarse en una pgina web a travs de unaURL (o un XRI en la versin actual) y puedeser verificado por cualquier servidor que soporte el protocolo.

PaaS : Plataforma como servicio oSaaS , del inglsPlatform as a Service ).

SaaS : Software como Servicio oSaaS , del inglsSoftware as a Service ).

SAML: Lenguaje de marcado de declaracin de seguridad del ingls,Security Assertion Markup Language. Estndar abierto basado en XML para el intercambio de informacin deautenticacin y autorizacin entre dominios de seguridad.

SLA: Acuerdo de nivel de servicio, del inglsService Level Agreement .

SOAP : Protocolo simple de acceso de objetos, del ingls,Simple Object Access Protocol .Protocolo estndar que define cmo dos objetos en diferentes procesos puedencomunicarse por medio de intercambio de datos XML.

URL: Localizador uniforme de recursos, del inglsUniform Resource Locator.

XACML: Lenguaje de marcado de control de acceso extensible, del ingls,eXtensible Access Control Markup Language. Estndar que implementa un lenguaje de polticas decontrol de acceso, implementado en XML, y un modelo de proceso que describe cmointerpretar dichas polticas.

XML: Lenguaje de marcas extensible, del inglseXtesible Markup Language.

XRI : Identificador de recursos extensible del ingls,Extensible Resource Identifier.


32/32

6. REFERENCIAS

Los documentos en los que se basa este informe son:CSA, 2010, Top Threats to Cloud Computing V1.0

Gartner, 2008, Assessing the Security Risks of Cloud Computing

NIST, 2011, Guidelines on Security and Privacy in Public Cloud Computing

Otros documentos de referencia:

ENISA, 2011, SWOT analysis, Risk Assessment (Public Administration) and Privacy

ENISA, 2009, Computer Assurance

ENISA, 2009, Risk Assessment

CSA, Security Guidance

CSA, Identity and Access Management:

World Privacy Forum Report
http://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdfhttp://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdfhttp://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdfhttp://www.gartner.com/DisplayDocument?id=685308http://www.gartner.com/DisplayDocument?id=685308http://www.gartner.com/DisplayDocument?id=685308http://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://www.enisa.europa.eu/act/rm/emerging-and-future-risk/deliverables/security-and-resilience-in-governmental-clouds/http://www.enisa.europa.eu/act/rm/emerging-and-future-risk/deliverables/security-and-resilience-in-governmental-clouds/http://www.enisa.europa.eu/act/rm/emerging-and-future-risk/deliverables/security-and-resilience-in-governmental-clouds/http://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-information-assurance-framework/at_download/fullReporthttp://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-information-assurance-framework/at_download/fullReporthttp://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-information-assurance-framework/at_download/fullReporthttp://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-risk-assessment/at_download/fullReporthttp://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-risk-assessment/at_download/fullReporthttp://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-risk-assessment/at_download/fullReporthttp://www.cloudsecurityalliance.org/csaguide.pdfhttp://www.cloudsecurityalliance.org/csaguide.pdfhttp://www.cloudsecurityalliance.org/csaguide.pdfhttp://www.cloudsecurityalliance.org/guidance/csaguide-dom12-v2.10.pdfhttp://www.cloudsecurityalliance.org/guidance/csaguide-dom12-v2.10.pdfhttp://www.cloudsecurityalliance.org/guidance/csaguide-dom12-v2.10.pdfhttp://www.worldprivacyforum.org/pdf/WPF_Cloud_Privacy_Report.pdfhttp://www.worldprivacyforum.org/pdf/WPF_Cloud_Privacy_Report.pdfhttp://www.worldprivacyforum.org/pdf/WPF_Cloud_Privacy_Report.pdfhttp://www.cloudsecurityalliance.org/guidance/csaguide-dom12-v2.10.pdfhttp://www.cloudsecurityalliance.org/csaguide.pdfhttp://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-risk-assessment/at_download/fullReporthttp://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-information-assurance-framework/at_download/fullReporthttp://www.enisa.europa.eu/act/rm/emerging-and-future-risk/deliverables/security-and-resilience-in-governmental-clouds/http://srv-files/Operaciones/Programas/Inteco-CERT/Preventivos/Estudios%20e%20Informes/Cloud/%E2%80%A2%09http:/collaborate.nist.gov/twiki-cloud-computing/pub/CloudComputing/Documents/Draft-SP-800-144_cloud-computing.pdfhttp://www.gartner.com/DisplayDocument?id=685308http://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf