Serie de infraestructura como código Coders Conquer Security: Funciones de seguridad desactivadas

Las amenazas a la ciberseguridad hoy en día son omnipresentes e implacables. A medida que más facetas de nuestras vidas se digitalizan, mayores son los riesgos para los ciberdelincuentes: hay demasiado código que mantener seguro y los datos privados son demasiado valiosos. Y, bueno, intentar seguir el ritmo y defender cada aspecto de la superficie de ataque después de que los programas se implementan se ha vuelto casi imposible.

Existen enfoques que pueden aliviar algunos de estos síntomas, y uno de ellos se hace evidente cuando las organizaciones inteligentes adoptan el concepto de Infraestructura como Código (IaC). Por supuesto, como en cualquier desarrollo, hay algunos riesgos de seguridad que sortear. Y dado que los desarrolladores trabajan en el código que genera la infraestructura vital para alojar las aplicaciones, la concienciación sobre la seguridad es fundamental en cada etapa del proceso.

Entonces, ¿cómo puede un desarrollador nuevo en un entorno de servidor en la nube mejorar sus habilidades, aprender los conceptos básicos y abordar la construcción con una mayor conciencia de seguridad?Hemos creado la próxima serie Coders Conquer Security para abordar las vulnerabilidades comunes de IaC, y estos próximos blogs se centrarán en los pasos que usted, como desarrollador, puede seguir para comenzar a implementar infraestructura como código segura en su propia organización.

Comencemos.

Existe una fábula del Lejano Oeste estadounidense sobre un hombre que estaba paranoico porque los bandidos atacaran y robaran su granja. Para compensarlo, invirtió en todo tipo de seguridad, como instalar una puerta principal extra fuerte, tapiar todas sus ventanas y tener muchas armas al alcance de la mano. Aun así, una noche le robaron mientras dormía porque olvidó cerrar la puerta lateral. Los bandidos simplemente encontraron la seguridad desactivada y aprovecharon rápidamente la situación.

Tener funciones de seguridad desactivadas en su infraestructura es muy parecido a eso. Incluso si su red cuenta con una infraestructura de seguridad sólida, sirve de muy poco si algunos elementos han sido desactivados.

Permítame plantear un desafío antes de comenzar:

Visite el enlace de arriba y será transportado a nuestra plataforma de formación gamificada, donde podrá intentar derrotar una vulnerabilidad de función de seguridad desactivada ahora mismo. (Nota: se abrirá en Kubernetes, pero use el menú desplegable y podrá elegir entre Docker, CloudFormation, Terraform y Ansible).

¿Cómo le fue? Si todavía tiene trabajo por hacer, siga leyendo:

Las funciones de seguridad pueden desactivarse por diversas razones. En algunas aplicaciones y marcos de trabajo, pueden estar desactivadas de forma predeterminada y deben activarse primero para empezar a funcionar. También es posible que los administradores hayan desactivado funciones de seguridad específicas para realizar ciertas tareas más fácilmente sin ser cuestionados o bloqueados constantemente (por ejemplo, hacer público un bucket de AWS S3). Una vez finalizado su trabajo, es posible que olviden reactivar esas funciones. También podrían preferir dejarlas desactivadas para facilitar su trabajo en el futuro.

Por qué las funciones de seguridad desactivadas son tan peligrosas

Tener una o más funciones de seguridad desactivadas es perjudicial por un par de razones. Por un lado, la función de seguridad se incluyó en los recursos de infraestructura para proteger contra un exploit, amenaza o vulnerabilidad conocida. Si está desactivada, no podrá proteger sus recursos.

Los atacantes siempre intentarán encontrar primero las vulnerabilidades fáciles de explotar y pueden incluso usar un script para recorrer las debilidades más comunes. Es parecido a un ladrón que revisa todos los coches de una calle para ver si alguna puerta está abierta, lo cual es mucho más fácil que romper una ventana. A los hackers les puede sorprender encontrar que una defensa de seguridad común está inactiva. Pero cuando eso sucede, no tardarán mucho en aprovecharla.

En segundo lugar, tener una buena seguridad implementada y luego desactivarla crea una falsa sensación de seguridad. Los administradores pueden pensar que están protegidos contra amenazas comunes si no saben que alguien desactivó esas defensas.

Como ejemplo de cómo un atacante podría aprovechar una función de seguridad desactivada, considere la función de seguridad de AWS S3 de bloqueo de acceso público. Con el bloqueo de acceso público de Amazon S3, los administradores de cuentas y los propietarios de buckets pueden configurar fácilmente controles centralizados para limitar el acceso público a sus recursos de Amazon S3. Sin embargo, algunos administradores que encuentran problemas al acceder al bucket de S3 deciden hacerlo público para completar la tarea lo antes posible. Si olvidan activar esa función de seguridad, un atacante tendrá acceso completo a la información almacenada en ese bucket de S3, lo que provocará no solo la divulgación de información, sino también costes adicionales debido a los cargos por transferencia de datos.

Comparemos algo de código del mundo real; eche un vistazo a estos fragmentos de CloudFormation:

Vulnerable:

CorporateBucket:
   Type: AWS::S3::Bucket
   Properties:
     PublicAccessBlockConfiguration:
       BlockPublicAcls: false
       BlockPublicPolicy: false
       IgnorePublicAcls: false
       RestrictPublicBuckets: false
     VersioningConfiguration:
       Status: Enabled
     BucketEncryption:
       ServerSideEncryptionConfiguration:
         - ServerSideEncryptionByDefault:
             SSEAlgorithm: "AES256"

Seguro:

CorporateBucket:
   Type: AWS::S3::Bucket
   Properties:
     PublicAccessBlockConfiguration:
       BlockPublicAcls: true
       BlockPublicPolicy: true
       IgnorePublicAcls: true
       RestrictPublicBuckets: true
     VersioningConfiguration:
       Status: Enabled
     BucketEncryption:
       ServerSideEncryptionConfiguration:
         - ServerSideEncryptionByDefault:
             SSEAlgorithm: "AES256"

Cómo evitar la desactivación de funciones de seguridad

Evitar que la desactivación de funciones de seguridad perjudique a su organización es tanto una cuestión de política como de práctica. Debe existir una política firme que establezca que estas funciones solo pueden desactivarse en circunstancias muy específicas. Los incidentes en los que sea necesario desactivarlas temporalmente para solucionar un problema o actualizar aplicaciones deben quedar registrados. Una vez finalizado el trabajo, se debe verificar que las funciones se hayan reactivado por completo.

Si es necesario desactivar permanentemente una función de seguridad para agilizar las operaciones, se deben implementar otras protecciones para los datos afectados, garantizando que los atacantes no puedan acceder a ellos ante la ausencia de la protección predeterminada. Si se desactiva una función de protección necesaria, es solo cuestión de tiempo que un atacante encuentre esa puerta abierta y aproveche la situación.

Más información, póngase a prueba:

Consulte las páginas del blog de Secure Code Warrior para obtener más información sobre esta vulnerabilidad y cómo proteger a su organización y a sus clientes de los estragos de otros fallos y vulnerabilidades de seguridad.

¿Listo para encontrar y corregir esta vulnerabilidad tras leer el artículo? Es momento de probar un desafío de seguridad gamificado de IaC en la plataforma Secure Code Warrior para mantener sus habilidades de ciberseguridad afiladas y actualizadas.

Esta es una serie semanal que cubre nuestras ocho principales vulnerabilidades de infraestructura como código; ¡vuelva la próxima semana para más contenido!