Las alertas en el contexto de la seguridad en la nube pueden ser útiles, pero requieren procedimientos adecuados para actuar sobre ellas de manera efectiva.
La gestión de la postura de seguridad en la nube (CSPM) se está volviendo cada vez más valiosa a medida que más empresas y organizaciones utilizan servicios como SaaS e IaaS para sus operaciones rutinarias. El problema es que, a medida que los entornos de nube modernos se vuelven más complejos, los procesos tradicionales de gestión de seguridad alerta por alerta son menos útiles. Si bien saber qué problemas existen es útil, sin el contexto adecuado, saber cuáles priorizar es mucho más difícil. Una posible solución es buscar servicios que estén adecuadamente preparados para este problema, haciendo que el mejor proveedor de CSPM sea aquel que entienda qué debilidades importan en conjunto.
Cuando la escala de la nube hace que los datos brutos sean menos útiles
Los entornos de nube modernos son, en una palabra, expansivos. A medida que las empresas asumen más datos, dichos entornos crecen necesariamente en respuesta. Estos cambios pueden tomar la forma de implementaciones de infraestructura como código, cargas de trabajo contenerizadas, funciones sin servidor, API, servicios gestionados e incluso identidades automatizadas, todo lo cual puede complicar rápidamente las medidas de seguridad existentes sin la preparación adecuada.
Con superficies tan grandes que cubrir y proteger, los equipos de seguridad a menudo tienen que lidiar con vulnerabilidades, privilegios excesivos y desviaciones de configuración, a veces simultáneamente. CSPM necesita adaptarse para mantenerse al día con este crecimiento, pero los enfoques actuales, como mejorar las capacidades de escaneo, tienden a ser soluciones temporales para brechas sistémicas en la seguridad. El enfoque, entonces, debería pasar de la cobertura a la priorización basada en el contexto.
En otras palabras, en lugar de simplemente identificar tantas vulnerabilidades como sea posible, los equipos de seguridad podrían beneficiarse más al priorizar vulnerabilidades que representen amenazas medibles. Por ejemplo, si un equipo de seguridad encontrara dos vulnerabilidades, solo una de las cuales sería accesible para un atacante, el equipo debería centrarse en esa primera. De manera similar, los equipos de seguridad podrían centrar su atención en una combinación de debilidades que creen una ruta de ataque utilizable o una exposición capaz de alcanzar datos sensibles o infraestructura crítica.
La identidad cambia el significado de la exposición en la nube
Aunque evaluar la postura de la nube a través de la configuración de infraestructura es importante, no es la única variable a considerar. Hoy en día, los permisos en la nube se extienden cada vez más a trabajadores humanos, identidades de cargas de trabajo, credenciales de API, tokens de autenticación y, más recientemente, agentes de IA y servicios autónomos. Una exposición de infraestructura relativamente menor puede volverse crítica si la identidad adjunta tiene permisos poderosos.
NIST ha declarado esto en su guía de confianza cero nativa de la nube, discutiendo la importancia de centrarse en políticas de autenticación y autorización construidas alrededor de identidades de aplicaciones y servicios en lugar de depender principalmente de la ubicación de la red.
La priorización efectiva requiere análisis de rutas de ataque
Un método potencialmente útil para determinar qué alertas demandan la mayor asignación de recursos es analizando la posible ruta de ataque que presenta una vulnerabilidad dada. Una cadena de este tipo podría verse así: exposición pública a una carga de trabajo vulnerable, carga de trabajo vulnerable a identidad de carga de trabajo, identidad de carga de trabajo a privilegio excesivo, privilegio excesivo a datos sensibles.
Al ejecutar vulnerabilidades a través de este análisis, los equipos de seguridad pueden determinar si tales problemas presentan secuencias explotables que los atacantes podrían aprovechar. Una ventaja de este enfoque es su capacidad para diferenciar entre grados variables de severidad; un equipo puede, por ejemplo, distinguir entre vulnerabilidades de alta severidad con alcance práctico limitado y debilidades de menor severidad situadas en rutas hacia recursos críticos cuando se usa análisis basado en contexto.
La configuración de seguridad necesita validación continua
Parte de la razón por la que algunas prácticas de seguridad actuales, como las evaluaciones puntuales, luchan con los entornos de nube modernos es porque son reactivas por naturaleza, lo que significa que pueden quedarse rápidamente detrás de los cambios de infraestructura.
Las organizaciones, entonces, deberían considerar implementar procesos que permitan una validación continua. En la práctica, esto podría parecerse a descubrimiento continuo de activos, visibilidad de la deriva de configuración, monitoreo de permisos e identidades, y otras políticas que busquen áreas de debilidad fuera de las revisiones de seguridad establecidas.
Apuntando a menos prioridades de alta confianza
Muchos equipos de seguridad asumen que más hallazgos automáticamente crean protecciones más fuertes, pero en verdad, el alcance de los entornos de nube modernos puede que ya no permita a los equipos tratar cada problema con el mismo grado de escrutinio. Los recursos son finitos, lo que significa que el CSPM moderno puede necesitar comenzar a evaluar vulnerabilidades por calidad sobre cantidad.
Los equipos de nube de hoy deberían, por lo tanto, tratar de medir la severidad de factores como alcance, explotabilidad, exposición de activos, permisos y cómo ciertas remediaciones podrían romper el mayor número de rutas peligrosas. Estas y otras preguntas probablemente serán aún más importantes a medida que las implementaciones automatizadas y las cargas de trabajo habilitadas por IA aceleren los desarrollos en las relaciones en la nube.
Reducción de riesgos sobre volumen
Saber si existen vulnerabilidades o desviaciones de configuración en primer lugar es un primer paso valioso para solucionar esos problemas, pero cuando los entornos de nube son tan grandes que miles de alertas pueden aparecer en el lapso de unos pocos días, los equipos de seguridad deberían considerar formas en las que puedan evaluar cuáles de esas alertas merecen más atención.
Abordar cada vulnerabilidad o permiso excesivo antes de que aparezcan más podría pronto dejar de ser factible; por lo tanto, los equipos pueden querer cambiar su enfoque hacia identificar qué combinación de condiciones podría crear los resultados más dañinos. A partir de ahí, la remediación se convierte en una cuestión de determinar qué acciones reducen la exposición de manera más eficiente.
La tasa actual de cambio en la tecnología está superando algunas medidas tradicionales de CSPM, lo que significa que los equipos de seguridad en la nube pueden, en algún momento, necesitar volverse más selectivos con sus soluciones.
