La principal diferencia en seguridad para una seguridad de nube versus “legado” es que esta vez, realmente tiene que hacerlo. ¿Recuerdas todo lo que se habla sobre seguridad en profundidad y no tener una sola capa de seguridad?
Primera pregunta: ¿quiere decir cómo construir una nube segura o cómo desarrollar seguridad para su uso en la nube? Esta pregunta también cubre algo.
La forma de proteger a la bestia depende de si estás hablando de infraestructura, plataforma o software como un servicio, pero en general, comienza en la parte inferior y avanza en la parte superior:
- ¿De quién capturó Amazon AWS el mercado? ¿Hubo un líder del mercado cuyo mercado fue robado por la solución en la nube proporcionada por AWS? Cualquier fuente de información también será útil.
- ¿Cuál es la forma más fácil de visualizar una gran nube de puntos en Python?
- ¿Puedo alojar mi sitio web simple en Google Cloud?
- ¿Qué es la virtualización?
- ¿Puedo usar iCloud como almacenamiento en la nube?
- Material físico: no ejecute una nube de producción desde debajo del escritorio. El equipo debe estar asegurado en un centro de datos, cada usuario de la nube no puede acceder a él, incluso si solo quieren verificar que las luces parpadeen justo cuando las cosas parecen lentas.
- Sistemas operativos: probablemente no va a imprimir desde hipervisores, o navegar por Facebook desde ellos (¿verdad?). Siga los procesos de endurecimiento estándar: instale el mínimo necesario, ajuste los núcleos y los controladores para que sean más eficientes en el entorno que está creando.
- Aplicaciones: con frecuencia lo que está ejecutando en una nube son aplicaciones personalizadas. La seguridad de las aplicaciones en la nube puede ser un gran problema, pero antes de sumergirse, comprenda su riesgo: ¿su aplicación se encuentra en una nube privada o pública? ¿Qué podría ganar alguien al obtener acceso no autorizado? ¿Cuánta cara pierdes si hay una violación? Sus respuestas resultarán en que usted ejecute “ant deploy” (o lo que sea que los niños de Ruby usen hoy en día) y lo llame por un día, o tenga que seguir un SDLC seguro más maduro.
- Si está utilizando la aplicación de alguien más en un entorno de nube, las preguntas en la viñeta anterior aún tienen valor. Ahora, sin embargo, debe decidir si está de acuerdo con que alguien más ejecute “ant deploy” y lo llame un día, o si necesita un poco más de seguridad sobre cómo aseguran que su aplicación sea segura para su uso y datos.
- Cosas en la nube: a continuación, deberá considerar los tipos de cosas que los proveedores de seguridad en la nube están impulsando en estos días: soluciones de administración de identidad en la nube para permitir a sus empleados acceder fácilmente a las ofertas basadas en la nube, y también para permitir que sus personas de seguridad administren fácilmente quién tiene acceso a qué; Gestión de vulnerabilidades en la nube para asegurarse de que a medida que mueve las cosas hacia arriba y hacia abajo en la nube, se mantiene parcheado y está al tanto de cualquier vulnerabilidad pendiente; Administración de firewall en la nube porque; Cifrado en la nube, ya que no puede confiar en el almacenamiento de sus datos en la nube, ni tampoco puede transferirlos de forma segura a / desde su nube (Vea lo que hice (y los proveedores) aquí. Comience todo con Cloud. ¡Nuevo! ¡Realmente! No es tan el viejo topo de Cindy Crawford.)
¿Qué estoy dejando de lado? Un montón de detalles. La pregunta se refería a las capas / etapas, y creo que esto lo cubre bastante bien.
Un aspecto que debería llamar un poco la atención: con frecuencia, este trabajo tendrá que hacerse por fases durante un período de tiempo más largo: por ej.
- Levanta una nube. Ahora. Tenemos un lanzamiento de producto el próximo jueves.
- Implementar la aplicación. Lo hemos estado ejecutando durante los últimos 3 años, no es que encontremos nuevas vulnerabilidades
- …
- Encuentra nuevas vulnerabilidades
- Repara vulnerabilidades
- Convence a los desarrolladores de que entiendes que no quieren que la seguridad cree barreras para usar, pero no, no les estás dando una excepción de riesgo por su vulnerabilidad de inyección SQL.
- La administración crea un nuevo proyecto para revisar y mejorar las prácticas de seguridad en la nube
- Buscas Quora …
