Marco de seguridad: planifique su viaje con las mejores prácticas de AWS. Ponente: Angel León

2. 2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Revisióndelmarcodeseguridad
DiseñesuviajeconlasprácticasrecomendadasdeAWS

3. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Objetivos
• Definir una estrategia de seguridad, ofrecer un programa de seguridad
y desarrollar operaciones de seguridad sólidas en AWS.
• Implementar y explicar las prácticas de seguridad recomendadas por
AWS.
• Implementar servicios de seguridad de AWS a mayor velocidad.

4. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Agenda
• Perspectivas de seguridad del marco de adopción de la nube (CAF)
• Pilar de seguridad del AWS Well-Architected Framework

6. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
MarcodeadopcióndelanubedeAWS(CAF)

7. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
PerspectivadeseguridaddelCAF

8. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cincodesafíos principales

9. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Modelo deresponsabilidad compartidadeAWS

10. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Definiruna estrategia
Identificar las cargas de trabajo
que se van a trasladar a AWS
Identificar a las
partes implicadas

11. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Proporcionarunprogramadeseguridad
Identificar los requisitos de
seguridad
Definir las protecciones
y los controles de datos
Documentar la
arquitectura de seguridad

12. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Mapeado delaseguridad

13. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
PrácticasrecomendadasporelCAF
Crear un inventario de los requisitos de seguridad actuales
Adoptar un marco de seguridad
Identificar los controles de seguridad de las cargas de trabajo
Asignar los controles de seguridad actuales a controles en la nube
Crear una matriz de asignación de responsabilidades (RACI) en relación con la
seguridad
Crear un registro de riesgos

14. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Operacionesdeseguridadsólidas
Implementar
arquitectura
Automatización Monitoreo
continuo
Pruebas y
simulaciones

15. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Administración de
identidades y accesos
Control de detección
Seguridad de la
infraestructura
Protección de los datos
Respuesta a incidentes
Semana 1 Semana 2 Semana 5Semana 3 Semana 4
Ejemplo de viaje épico de la seguridad

17. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
¿Quées elAWSWell-ArchitectedFramework?
Pilares Principios de
diseño
Preguntas

18. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Pilaresdeuna buenaarquitecturadeAWS
Seguridad Disponibilidad Rendimiento
Optimización
de costos
Excelencia
operativa

19. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Unmecanismo paralamigracióna lanube
Aprender Medir Mejorar

20. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Principiosdeldiseño dela seguridad
• Implementar una base de identidades sólida
• Favorecer la trazabilidad
• Aplicar la seguridad en todos los niveles
• Automatizar las prácticas de seguridad
recomendadas
• Proteger los datos en tránsito y en reposo
• Mantener a las personas alejadas de los datos
• Prepararse para los eventos de seguridad

22. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Prácticasrecomendadas:basedeidentidadessólida
No utilizar nunca la cuenta raíz
Valorar la posibilidad de utilizar AWS Organizations
Plantear preguntas sobre la seguridad de la cuenta y establecer
contactos
Centralizar las identidades
Realizar auditorías periódicas

23. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Prácticasrecomendadas:basedeidentidadessólida
Nunca guardar credenciales o secretos en el código
Aplicar el MFA en todo
Utilizar roles de IAM con los usuarios y los servicios
Establecer políticas de privilegios mínimos
Utilizar credenciales temporales

24. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo aplicarel MFA
Los usuarios solo pueden asumir un rol con el MFA.
Token de
MFA
Permisos RolServicio Nube de AWSPermisos
http://bit.ly/AWSWALabs

25. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Principalesprácticasrecomendadas:favorecerla
trazabilidad
Considerar la posibilidad de utilizar Amazon GuardDuty
Configurar el registro de las aplicaciones y la infraestructura
Centralizar con un SIEM
Monitorizar de forma proactiva
Revisiones periódicas de novedades y prácticas recomendadas

26. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo favorecerla trazabilidad
Utilice AWS CloudFormation
http://bit.ly/D3T3cT

27. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Principalesprácticasrecomendadas:proteccióndela red
Amazon CloudFront + AWS WAF
Amazon VPC y grupos de seguridad
Conectividad privada: interconexión con VPC, VPN, AWS Direct Connect
Puntos de enlace de servicio (endpoints)
Aplicar permisos de nivel de servicio

28. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo protegerla red
Bucket
Instancias
Región
VPC
Usuarios
https://amzn.to/2PbHOpz
Automatización de WAF
www.example.com

29. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Principalesprácticasrecomendadas:aplicarla seguridad
entodos losniveles
Fortalecer los sistemas operativos y los recursos predeterminados
Usar medidas de detección de intrusos y antimalware
Analizar la infraestructura
Analizar el código
Parchear las vulnerabilidades

30. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo protegerlos recursosinformáticos

31. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo analizar las vulnerabilidades
Analizar instancias con Amazon Inspector
https://amzn.to/2DT9jyg
Analizar el código de la canalización
Comprobación de dependencias: http://bit.ly/2SPzUAp
Pruebas
OWASP Zap: http://bit.ly/2yWwzqN

32. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo trabajarsin servidores(serverless)
• Autorización y autenticación: API
• Aplicar límites: red y servicios de AWS
• Validación de entrada
• Protección de la información confidencial

33. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Principalesprácticasrecomendadas:automatizarlas
prácticasdeseguridadrecomendadas
Plantillas para la infraestructura: AWS CloudFormation/AWS SAM
Automatizar la compilación y las pruebas
Reglas de verificación de AWS Config
Automatizar la respuesta ante las faltas de conformidad
Automatizar la respuesta a eventos

34. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo automatizarlas tareasdeadministración
Automatización
Administrador
de parches
Administrador
de estados
https://amzn.to/2AaOwSg
https://amzn.to/2DSTLdK
https://amzn.to/2Qihzxm

35. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo automatizarlas comprobaciones
Reglas de configuración

36. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Principalesprácticasrecomendadas:protegerlos datos
Aplicar mecanismos de cifrado
Verificar la accesibilidad de los datos; por ejemplo, Amazon S3 y EBS
Considerar la posibilidad de utilizar AWS Certificate Manager
Valorar el uso de la tokenización para sustituir la información confidencial
Segmentación y aislamiento de los datos

37. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo clasificarlos datos
• Comenzar a clasificar los datos en función del nivel de confidencialidad
• Utilizar etiquetas de recursos para ayudar a definir la política
Amazon Macie: detecte, clasifique y proteja la información
confidencial en AWS
Control de IAM: http://bit.ly/IAMctrlTAG

38. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo manteneralas personasalejadas delosdatos
Dashboards para usuarios
Herramientas para
administradores

39. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Principalesprácticasrecomendadas:respuestaante
incidentes
Prepararse para diferentes escenarios
Implementar con antelación herramientas utilizando la automatización
Aprovisionar con antelación el acceso para los equipos de respuesta
Practicar las respuestas en eventos simulados
Mejorar continuamente los procesos

40. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo prepararuneventosimulado derespuestaa
incidentes
1. Programe un espacio de entre cuatro y
ocho horas.
2. Idee un premio.
3. Proporcione bebida y comida.
4. Seleccione algunos escenarios
pertinentes en https://amzn.to/2PetNro.
5. Cree un runbook.
6. Practique.
7. ¡Diviértase!

41. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
Cómo crearun runbooksencillo
Descripción del evento
[Tipo de ataque]
[Descripción del ataque]
Datos que se van a recopilar para solucionar problemas
[Evaluación de los datos actuales]
Pasos para detectar y solucionar problemas
[Detección/impacto/recuperación/análisis forense]
Categoría de la urgencia
[Crítica, importante, moderada, informativa]
Comunicación y flujo de notificación

43. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
2019, Amazon Web Services, Inc. o sus empresas afiliadas. Reservados todos los derechos.
¡Pasar a la acción!
CAF: aws.amazon.com/professional-services/CAF/
Buena arquitectura: aws.amazon.com/well-architected
Prácticas para diseñar una buena arquitectura: http://bit.ly/AWSWALabs
Twitter de seguridad de AWS: @AWSSecurityInfo
Blog de seguridad de AWS: https://aws.amazon.com/blogs/security/

44. ¡Gracias!
http://bit.ly/mxinitiate2019