<\/h3>\nFiltraci\u00f3n de credenciales<\/strong><\/h3>\nSeg\u00fan una encuesta realizada por la consultora de seguridad Constella Intelligence, casi en su totalidad, todos los directivos de las empresas consultadas piensan que el cambio de paradigma de la presencialidad a la virtualidad laboral ha ocasionado un incremento en los riesgos de seguridad,<\/strong> especialmente en cuanto a una probabilidad m\u00e1s alta de sufrir una filtraci\u00f3n de credenciales. Afortunadamente, Security Command Center (SCC)<\/strong> viene con una funcionalidad que notifica inmediatamente si se encuentran credenciales en los sistemas con los que se tienen asociaci\u00f3n.<\/strong> Por ejemplo, SCC notificar\u00e1 tan pronto se haya usado o compartido una clave SSH para una de nuestras Service Accounts (SAs) en un repositorio p\u00fablico de GitHub. La informaci\u00f3n que se incluir\u00e1 en el JSON descriptivo del incidente ser\u00e1 el proyecto en el que sucedi\u00f3, el nombre de la SA, la clave SSH filtrada y la URL en la cual se encontr\u00f3 dicha clave.<\/p>\nOtra de las particularidades que nos permite detectar es si se ha hecho uso de alguna de las cuentas en una posici\u00f3n geogr\u00e1fica poco frecuente. SCC se encargar\u00e1 de analizar las zonas desde las cuales se suele acceder a las cuentas y notificar si se percibe comportamiento de inicio de sesi\u00f3n desde localizaciones poco frecuentes.<\/p>\n
Adicionalmente, y esta es una de mis favoritas, es la de auto investigaci\u00f3n de cuentas. Com\u00fanmente cuando alguien obtiene acceso a una SA que no cre\u00f3 ni ha mantenido, lo primero que realizar\u00e1 es verificar que permisos posee la cuenta. Esto se hace con una llamada de auto investigaci\u00f3n revisando las pol\u00edticas IAM de la cuenta desde ella misma. Si bien en cuentas de usuario este tipo de consultas pueden parecer normales, no lo es en SA, puesto que estas est\u00e1n destinadas en su mayor\u00eda a automatizar labores de autenticaci\u00f3n de m\u00e1quinas a m\u00e1quinas con un prop\u00f3sito muy bien definido. Evidentemente, SCC notificar\u00e1 de este tipo de actividad en las SA de la organizaci\u00f3n.<\/p>\n
Finalmente, para las SAs existe otra herramienta de an\u00e1lisis y es la de uso de nuevos m\u00e9todos API. Como mencion\u00e9 anteriormente, la naturaleza de una SA es la de realizar autenticaci\u00f3n con un prop\u00f3sito muy bien definido. Por tanto, una SA que consume un m\u00e9todo API es muy probable que utilice\u00a0 dicho m\u00e9todo por un periodo continuo, por ejemplo, 7 d\u00edas. Ser\u00e1 extremadamente sospechoso si con las credenciales de dicha SA se empiezan a consumir m\u00e9todos, especialmente si estos est\u00e1n relacionados con servicios cr\u00edticos aislados de las funciones iniciales de la SA.<\/p>\n
<\/h3>\nModificaciones de seguridad y extracci\u00f3n de datos confidenciales<\/h3>\n
Imaginemos que nuestro sistema tiene una VPC configurada con un control de acceso para asegurarnos de que los datos dentro de esa VPC jam\u00e1s salgan de ella. Un atacante con credenciales o un empleado por error elimina la configuraci\u00f3n que define dicho per\u00edmetro de seguridad de datos. Con SCC nos podemos percatar cuando esto ocurra, a su vez nos notificar\u00e1 si, en el peor de los casos, los datos han dejado el per\u00edmetro previamente definido y cu\u00e1l ha sido el m\u00e9todo por el cual se han extra\u00eddo.<\/strong> Por ejemplo, puede ser que los datos se encontraran dentro de una instancia de Cloud SQL y fueran extra\u00eddos hacia un bucket, SCC nos dar\u00e1 toda esta informaci\u00f3n.<\/p>\nA su vez, una de las modificaciones que un atacante puede realizar para conseguir acceso persistente a nuestro entorno es darse a s\u00ed mismo acceso a un rol, de esta forma, aunque las credenciales de la SA originalmente comprometida se rotaran, a\u00fan seguir\u00eda teniendo acceso. Para ello, SCC tiene un sistema de detecci\u00f3n de anomal\u00edas en el aprovisionamiento de permisos en IAM.<\/p>\n
Es importante que tengamos en cuenta que esta herramienta no es solo \u00fatil a posteriori de un ataque, si no que a su vez puede ser una herramienta \u00fatil a priori para descubrir accesos demasiado permisivos en nuestro entorno.<\/p>\n
<\/h3>\nEl atacante monetizando nuestro entorno en la nube con minado de criptomonedas<\/strong><\/h3>\nUna de las maneras m\u00e1s eficientes que un atacante tiene para monetizar nuestro entorno, independientemente del uso que le estemos dando, es por medio del minado de criptomonedas.<\/p>\n
El atacante simplemente adquirir\u00e1 cantidades inmensas de capacidad de computaci\u00f3n en\u00a0Compute Engine<\/i>, y de una manera automatizada la utilizar\u00e1 para minar y ganar dinero imposible de rastrear. El riesgo es inmenso, puesto que el atacante puede solicitar cantidades de recursos hasta alcanzar alguno de los l\u00edmites definidos por Google, la factura a final de mes ser\u00e1 colosal.<\/strong> En este caso, SCC, detectar\u00e1 inmediatamente se est\u00e9n haciendo peticiones a URL ya conocidos y sospechosos de minado.<\/strong><\/p>\n![\"ilustraci\u00f3n](\"https:\/\/images.unsplash.com\/photo-1605792657660-596af9009e82?ixlib=rb-4.0.3&ixid=MnwxMjA3fDB8MHxwaG90by1wYWdlfHx8fGVufDB8fHx8&auto=format&fit=crop&w=1000&q=80\")
<\/p>\n
S\u00ed, por otro lado, se utiliza un dominio personalizado (imposible de vincular de manera automatizada con minado de criptomonedas) se puede hacer uso de otra de las herramientas de SCC, esta es denominada detector de Amenazas para m\u00e1quinas virtuales, la cual desplegando una herramienta directamente en el hypervisor de las m\u00e1quinas virtuales y haciendo un an\u00e1lisis constante del uso de memoria detectar\u00e1 y notificar\u00e1 inmediatamente se perciba que se est\u00e1 realizando una labor de minado.<\/p>\n
Concluyendo este art\u00edculo, SCC es una herramienta valiosa a considerar si se desea minimizar los riesgos de seguridad a los que las organizaciones se enfrentan constantemente.<\/strong> Si bien como mencionamos al inicio, cada compa\u00f1\u00eda tiene una mezcla de detalles que hacen que cada una sufra de vulnerabilidades muy particulares, SCC brinda una gama muy amplia de opciones a implementar y personalizar para asegurarnos que nuestro entorno en GCP sea tan seguro<\/strong> como el estado del arte de las herramientas disponibles nos lo permitan.<\/p>\n<\/div>\n\n\u00bfQuieres implementar Security Command Center y reforzar la seguridad de tu negocio? Nuestro equipo de expertos en Cloud & Seguridad puede ayudarte en tu caso concreto. \u00a1No dudes en contactarnos! \ud83d\ude80<\/div>\n<\/blockquote>\n
Seg\u00fan una encuesta realizada por la consultora de seguridad Constella Intelligence, casi en su totalidad, todos los directivos de las empresas consultadas piensan que el cambio de paradigma de la presencialidad a la virtualidad laboral ha ocasionado un incremento en los riesgos de seguridad,<\/strong> especialmente en cuanto a una probabilidad m\u00e1s alta de sufrir una filtraci\u00f3n de credenciales. Afortunadamente, Security Command Center (SCC)<\/strong> viene con una funcionalidad que notifica inmediatamente si se encuentran credenciales en los sistemas con los que se tienen asociaci\u00f3n.<\/strong> Por ejemplo, SCC notificar\u00e1 tan pronto se haya usado o compartido una clave SSH para una de nuestras Service Accounts (SAs) en un repositorio p\u00fablico de GitHub. La informaci\u00f3n que se incluir\u00e1 en el JSON descriptivo del incidente ser\u00e1 el proyecto en el que sucedi\u00f3, el nombre de la SA, la clave SSH filtrada y la URL en la cual se encontr\u00f3 dicha clave.<\/p>\n Otra de las particularidades que nos permite detectar es si se ha hecho uso de alguna de las cuentas en una posici\u00f3n geogr\u00e1fica poco frecuente. SCC se encargar\u00e1 de analizar las zonas desde las cuales se suele acceder a las cuentas y notificar si se percibe comportamiento de inicio de sesi\u00f3n desde localizaciones poco frecuentes.<\/p>\n Adicionalmente, y esta es una de mis favoritas, es la de auto investigaci\u00f3n de cuentas. Com\u00fanmente cuando alguien obtiene acceso a una SA que no cre\u00f3 ni ha mantenido, lo primero que realizar\u00e1 es verificar que permisos posee la cuenta. Esto se hace con una llamada de auto investigaci\u00f3n revisando las pol\u00edticas IAM de la cuenta desde ella misma. Si bien en cuentas de usuario este tipo de consultas pueden parecer normales, no lo es en SA, puesto que estas est\u00e1n destinadas en su mayor\u00eda a automatizar labores de autenticaci\u00f3n de m\u00e1quinas a m\u00e1quinas con un prop\u00f3sito muy bien definido. Evidentemente, SCC notificar\u00e1 de este tipo de actividad en las SA de la organizaci\u00f3n.<\/p>\n Finalmente, para las SAs existe otra herramienta de an\u00e1lisis y es la de uso de nuevos m\u00e9todos API. Como mencion\u00e9 anteriormente, la naturaleza de una SA es la de realizar autenticaci\u00f3n con un prop\u00f3sito muy bien definido. Por tanto, una SA que consume un m\u00e9todo API es muy probable que utilice\u00a0 dicho m\u00e9todo por un periodo continuo, por ejemplo, 7 d\u00edas. Ser\u00e1 extremadamente sospechoso si con las credenciales de dicha SA se empiezan a consumir m\u00e9todos, especialmente si estos est\u00e1n relacionados con servicios cr\u00edticos aislados de las funciones iniciales de la SA.<\/p>\n Imaginemos que nuestro sistema tiene una VPC configurada con un control de acceso para asegurarnos de que los datos dentro de esa VPC jam\u00e1s salgan de ella. Un atacante con credenciales o un empleado por error elimina la configuraci\u00f3n que define dicho per\u00edmetro de seguridad de datos. Con SCC nos podemos percatar cuando esto ocurra, a su vez nos notificar\u00e1 si, en el peor de los casos, los datos han dejado el per\u00edmetro previamente definido y cu\u00e1l ha sido el m\u00e9todo por el cual se han extra\u00eddo.<\/strong> Por ejemplo, puede ser que los datos se encontraran dentro de una instancia de Cloud SQL y fueran extra\u00eddos hacia un bucket, SCC nos dar\u00e1 toda esta informaci\u00f3n.<\/p>\n A su vez, una de las modificaciones que un atacante puede realizar para conseguir acceso persistente a nuestro entorno es darse a s\u00ed mismo acceso a un rol, de esta forma, aunque las credenciales de la SA originalmente comprometida se rotaran, a\u00fan seguir\u00eda teniendo acceso. Para ello, SCC tiene un sistema de detecci\u00f3n de anomal\u00edas en el aprovisionamiento de permisos en IAM.<\/p>\n Es importante que tengamos en cuenta que esta herramienta no es solo \u00fatil a posteriori de un ataque, si no que a su vez puede ser una herramienta \u00fatil a priori para descubrir accesos demasiado permisivos en nuestro entorno.<\/p>\n Una de las maneras m\u00e1s eficientes que un atacante tiene para monetizar nuestro entorno, independientemente del uso que le estemos dando, es por medio del minado de criptomonedas.<\/p>\n El atacante simplemente adquirir\u00e1 cantidades inmensas de capacidad de computaci\u00f3n en\u00a0Compute Engine<\/i>, y de una manera automatizada la utilizar\u00e1 para minar y ganar dinero imposible de rastrear. El riesgo es inmenso, puesto que el atacante puede solicitar cantidades de recursos hasta alcanzar alguno de los l\u00edmites definidos por Google, la factura a final de mes ser\u00e1 colosal.<\/strong> En este caso, SCC, detectar\u00e1 inmediatamente se est\u00e9n haciendo peticiones a URL ya conocidos y sospechosos de minado.<\/strong><\/p>\n S\u00ed, por otro lado, se utiliza un dominio personalizado (imposible de vincular de manera automatizada con minado de criptomonedas) se puede hacer uso de otra de las herramientas de SCC, esta es denominada detector de Amenazas para m\u00e1quinas virtuales, la cual desplegando una herramienta directamente en el hypervisor de las m\u00e1quinas virtuales y haciendo un an\u00e1lisis constante del uso de memoria detectar\u00e1 y notificar\u00e1 inmediatamente se perciba que se est\u00e1 realizando una labor de minado.<\/p>\n Concluyendo este art\u00edculo, SCC es una herramienta valiosa a considerar si se desea minimizar los riesgos de seguridad a los que las organizaciones se enfrentan constantemente.<\/strong> Si bien como mencionamos al inicio, cada compa\u00f1\u00eda tiene una mezcla de detalles que hacen que cada una sufra de vulnerabilidades muy particulares, SCC brinda una gama muy amplia de opciones a implementar y personalizar para asegurarnos que nuestro entorno en GCP sea tan seguro<\/strong> como el estado del arte de las herramientas disponibles nos lo permitan.<\/p>\n<\/h3>\n
Modificaciones de seguridad y extracci\u00f3n de datos confidenciales<\/h3>\n
<\/h3>\n
El atacante monetizando nuestro entorno en la nube con minado de criptomonedas<\/strong><\/h3>\n
\n