Proteger aplicaciones en la nube requiere conocer los servicios especializados que ofrece AWS para auditoría, detección de amenazas, análisis de vulnerabilidades y cumplimiento normativo. A continuación se explican cuatro servicios fundamentales que todo profesional cloud debe dominar para asegurar cuentas, servidores y aplicaciones de forma eficiente.
¿Cómo demostrar que AWS cumple con estándares de seguridad?
AWS Artifact es el servicio que debes recordar cuando un cliente pida evidencia de que AWS es compliance con estándares como PCI o HIPAA [0:14]. Funciona como un portal centralizado donde puedes buscar reportes de documentación y certificaciones de cumplimiento de AWS como proveedor de nube.
Sus principales usos son:
- Apoyar procesos de auditoría con documentación oficial.
- Cumplir con regulaciones específicas de la industria.
- Informar a stakeholders sobre el estado de cumplimiento de seguridad de AWS.
¿Cómo detecta GuardDuty amenazas de forma inteligente?
Amazon GuardDuty es un servicio que descubre amenazas para proteger tu cuenta de AWS de forma automática [0:47]. Utiliza machine learning para correlacionar grandes volúmenes de información y llegar a un nivel de detalle sorprendente.
Un ejemplo real ilustra su poder: en 2019, GuardDuty identificó un ataque de denegación de servicio contra una billetera virtual, señalando la IP de origen en Rusia y el puerto exacto (3389) por donde se ejecutaba el ataque [1:02]. Con esa información, el equipo pudo bloquear la IP específica.
¿Qué fuentes de datos analiza GuardDuty?
GuardDuty detecta anomalías en conexiones evaluando patrones de tráfico. Si tu aplicación normalmente recibe visitas desde Latinoamérica y aparece tráfico desde otra región, lo marca como sospechoso [1:30]. Para lograrlo examina tres fuentes principales:
- Eventos de CloudTrail: quién entró a la consola y qué acciones realizó.
- Eventos de VPC: todo lo que sucede a nivel de networking.
- Logs de DNS: resolución de nombres y patrones de consulta.
Puedes activarlo con un solo clic y probarlo gratis durante treinta días [1:39]. A partir de ahí comienza a escanear las aplicaciones de tu cuenta.
¿Qué vulnerabilidades puede identificar Amazon Inspector?
Amazon Inspector automatiza evaluaciones de seguridad enfocadas principalmente en servidores EC2 [2:10]. Se complementa con AWS Systems Manager para instalar el agente de Inspector en las instancias de forma automatizada.
Su alcance de análisis es muy amplio:
- Accesibilidad de red: identifica si a nivel de red los recursos están desprotegidos.
- Sistema operativo: analiza todas las vulnerabilidades del SO instalado.
- Imágenes de contenedores: se integra con ECR (Elastic Container Registry) para examinar imágenes Docker [2:42].
- Funciones Lambda: detecta vulnerabilidades tanto en el código como en las dependencias de los paquetes [2:52].
Inspector genera un reporte completo en PDF con las vulnerabilidades clasificadas por severidad, lo que permite tomar acciones correctivas concretas [4:11].
¿Cómo ayuda AWS Config a mantener el cumplimiento?
AWS Config está directamente asociado al concepto de compliance [3:12]. Permite establecer reglas base de seguridad que se auditan continuamente. Por ejemplo, puedes definir que todos los buckets de S3 deben estar privados; si alguien crea uno con acceso público, Config genera una alerta inmediata [3:24].
Sus capacidades incluyen:
- Alertar cuando un recurso no cumple con las reglas establecidas.
- Gestionar los cambios de configuración en diferentes servicios de AWS.
- Almacenar todo el historial de compliance en S3 para trazabilidad completa [3:45].
¿Cómo elegir el servicio correcto en un escenario de examen?
Imagina que tienes servidores EC2 con Linux ejecutando contenedores y necesitas un reporte de vulnerabilidades del sistema operativo [3:55]. Entre las opciones AWS KMS, Amazon Inspector, AWS Config y CloudHSM, la respuesta correcta es Amazon Inspector. Es el único servicio diseñado para instalar un agente en los servidores, analizar el SO y entregar un reporte detallado con vulnerabilidades clasificadas por severidad.
Si quieres poner a prueba tu comprensión de estos servicios, comparte en los comentarios en qué escenario usarías cada uno.
