TAREA 4 Explotando un

Bucket S3
Jose Sanchez
¿Cuál es su opinión sobre las vulnerabilidad y contramedidas
que deben tomar las empresas para salvaguardar su
infraestructura tecnológica en la nube?
En los ejercicios realizados vemos una vulnerabilidad que explota AWS CLI la cual
es la línea de comandos del bucket, esto permite ingresar y realizar cambios
dentro del bucket, debido a que los servicios en la nube operan bajo la misma
forma ya sea AWS, GCP, Azure. Etc. Existen funcionalidades extras en cada
proveedor que permiten una mejora sustancial de la ciberseguridad y protección.

Entre las contramedidas del ejercicio realizado son:

 Proteger la cuenta del servicio en la nube con factor doble autenticación u
token, el cual es una barrera extra de protección.
 Si se mantiene la gestión de la nube en departamentos en la organización
crear cuentas con accesos a los usos limitados de cada administrador Cloud.
 Asegurarse de no generar API si no van a ser utilizadas y las APIs de proyectos
temporales eliminarlas una vez cumplido el proceso.
Principales vulnerabilidades de la nube

 Violaciones de datos: Una brecha de datos o el robo de estos puede ser provocada por un
ataque dirigido o el resultado de un error humano, así como vulnerabilidades de una
aplicación o sencillamente malas prácticas de seguridad.
 Gestión de la identidad y los accesos deficientes: Los ciberatacantes que consiguen hacerse
pasar por usuarios legítimos, ya sean operadores o desarrolladores de las aplicaciones pueden
leer, modificar y eliminar datos, robar la información o espiar, así como inyectar aplicaciones
o código malicioso que parece provenir de un usuario legítimo.
 APIs inseguras: Las API una clave para la seguridad de los servicios en la nube, y tienen que
diseñarse para evitar cualquier intento de sobrepasar las políticas de seguridad. De no
hacerse así, son un punto potencial de vulnerabilidad y, por tanto, riesgo.
 Vulnerabilidades de los sistemas: Las vulnerabilidades del sistema son bugs explotables en
programas que los atacantes pueden usar para infiltrarse en un sistema para robar datos,
tomar el control o interrumpir el servicio. Este tipo de vulnerabilidad es típica de cualquier
sistema informático, pero en la nube cobran una mayor importancia.
 Robo de cuentas: El robo de cuentas tampoco es algo nuevo, pero los servicios en la nube añaden
una nueva amenaza. Los atacantes que roban los datos de acceso de un usuario pueden interceptar
actividades y manipular datos, devolver información falsificada y redirigir a los usuarios a sitios
engañosos.
 Ataques desde el interior: Un usuario malintencionado puede acceder a información confidencial y
puede tener niveles crecientes de acceso a sistemas más críticos y, finalmente, a datos. Los usuarios
malintencionados pueden ser empleados descontentos, o personas que acceden a desvelar secretos
a cambio de dinero, por ejemplo.
 Amenazas persistentes avanzadas (APT): Las Amenazas Persistentes Avanzadas son una combinación
de ingeniería social y apps maliciosas, pero pueden establecerse como un punto de apoyo en la
infraestructura de las empresas que se trata de atacar a partir del cual se roban datos.
 Pérdida de datos: El borrado accidental de datos o una catástrofe —un incendio o terremoto— puede
ocasionar la pérdida permanente de datos. Para contrarrestar esta vulnerabilidad, es necesario
disponer de una buena estrategia de backup.
 Análisis de riesgos insuficiente: Es imprescindible evaluar las tecnologías a utilizar y calibrar bien los
riesgos a los que nos exponemos, para poder así establecer una buena estrategia y políticas de
seguridad adecuadas.
 Abuso y uso malicioso de servicios cloud: Los ciberdelincuentes pueden usar
los servicios en la nube para crear bots atacantes hacia terceros, por
ejemplo, ataques DDoS, envío de spam o campañas de phishing.
 Ataques de denegación de servicio (DoS): Los ataques DoS pueden ralentizar
los sistemas de los usuarios legítimos o incluso dejarlos sin acceso.
 Vulnerabilidades en la nube por tecnologías compartida: Los proveedores de
infraestructuras ofrecen servicios escalables compartiendo infraestructura
física, plataformas o aplicaciones. Si esa infraestructura no es totalmente
segura, se da esta vulnerabilidad.
Contramedidas

 Utilizar autenticación en dos pasos

Adicionalmente, más allá de crear contraseñas que sean complejas también debemos contar con
la opción de utilizar la autenticación en dos pasos. Básicamente significa que a la hora de iniciar
sesión desde un dispositivo nuevo, por ejemplo, necesitaríamos ese segundo paso que puede ser
un código que nos llega por SMS o el uso de aplicaciones que nos generen claves.
Es, como vemos, una barrera adicional a las contraseñas. Cada vez está más presente en la red
esta posibilidad y es muy conveniente activarla siempre que esté disponible.

 Evitar almacenar las credenciales en el navegador

A veces por comodidad decidimos almacenar las contraseñas para que la próxima vez que
iniciemos sesión en un servicio no tener que poner las credenciales nuevamente. Esto lo podemos
hacer, por ejemplo, en el navegador.
Ahora bien, hay que tener en cuenta que esto podría ser un problema. Es cierto que de primeras
la seguridad debería estar presente, pero no sabemos si en un futuro puede haber una
vulnerabilidad en el navegador y que por tanto afecte a esas credenciales que hemos
almacenado. Por tanto nuestro consejo es evitar guardar los datos.
 Mantener las herramientas del trabajo de forma independiente
¿Vamos a usar nuestro ordenador personal para acceder a sistemas de la empresa?
Nuestro consejo es mantener esas herramientas y esos dispositivos de forma
independiente. Es decir, por un lado lo personal y por otro lo laboral. De esta forma
evitaremos que un equipo personal pueda tener algún tipo de malware y que afecte a
los servicios en la nube que vamos a utilizar para la empresa, por ejemplo.

 Comprobar las opciones de seguridad

Normalmente los servicios que utilizamos en la nube cuentan con diferentes opciones
de seguridad. Algunas las podremos modificar para tener más garantías y evitar así
problemas que comprometan nuestra privacidad o el buen funcionamiento. Debemos
echar un vistazo a todas estas opciones y cambiar los parámetros que puedan
ayudarnos a ganar una mayor protección.
 Usar solo herramientas oficiales
Este punto es muy importante. Siempre que vayamos a utilizar cualquier herramienta
para conectarnos a la nube debemos asegurarnos que es la oficial, que la hemos
instalado desde fuentes legítimas.
Es cierto que en ocasiones podremos encontrarnos con la posibilidad de instalar
programas de terceros que puedan tener ciertas funciones adicionales, pero esto
podría comprometer nuestra seguridad y no es aconsejable.

 Tener los equipos protegidos

Por supuesto nuestros equipos tienen que estar correctamente protegidos. Es esencial
que utilicemos herramientas de seguridad para evitar la entrada de malware y otras
amenazas que pueda comprometernos. Un buen antivirus es algo básico. Esto es algo
que debemos aplicar sin importar qué sistema operativo estamos utilizando o qué tipo
de dispositivo. Mantener los sistemas protegidos puede ayudar a su vez a proteger los
servicios que utilicemos en la nube.
 Sistemas siempre actualizados
Son muchas las ocasiones en las que nos podemos encontrar con vulnerabilidades que afectan a
nuestros sistemas operativos o a las aplicaciones que utilizamos. Por suerte los propios
desarrolladores lanzan frecuentemente parches y actualizaciones para corregir estos problemas.
Por ello es necesario tener siempre todos los equipos actualizados con las últimas versiones. Así
mejoraremos la seguridad, además de aprovechar los recursos al máximo.

 Sentido común
Aunque lo hemos dejado como el último consejo, el sentido común es algo muy importante.
Muchos ataques, muchos problemas de seguridad, llegan por problemas cometidos por los propios
usuarios. Por ejemplo descargar un archivo adjunto malicioso, abrir un link inseguro, etc. En
definitiva, estos son algunos de los principales consejos que podemos aplicar para mantener
siempre la seguridad al utilizar la nube. No importa si somos usuarios domésticos o si vamos a
trabajar haciendo uso de este tipo de herramientas.