ALINEACIÓN OBJETIVOS

ESTRATÉGICOS TI

Experiencia de Usuario (UX) & Mobile

Cloud
Optimización Componentes TI
Continuidad Operativa

Diseño de zona no soportada Cloud

Iniciativa/Proyecto – Programa de Migración Cloud

Arquitectos Cloud: Daniel Lafuente, Walter Rau

Arquitecto Ciberseguridad:

Fecha de Actualización: 05-08-2021 CLASIFICACIÓN: YPF - PRIVADA

 Clasificación YPF: No Confidencial
Objetivo, Situación Actual y Alcance del Proyecto

Objetivo:
XXXXXXXX

Alcance:
XXXXX

Situación Actual:
XXXXXX

Arquitectura IT Clasificación YPF: No Confidencial

2
 Clasificación YPF: No Confidencial
Descripción técnica de la solución

Descripción:
La presente solución presenta la definición sobre la zona no soportada para usar en el Programa de Migración Cloud para desplegar VM´s
con sistemas operativos deprecados o no soportados (que no soporten Agente McAfee o no tengan actualizaciones y soporte de patching)
Windows 2008 R2, 2008 que no sean R2 y Windows 2003. Asimismo se propone usarla cómo base para mitigar riesgos derivados de esta
condición.

Arquitectura IT Clasificación YPF: No Confidencial

3
 Clasificación YPF: No Confidencial
ESQUEMÁTICO

✓ + AISLACIÓN
✓ + AREA DE
CUARENTENA Azure AWS
✓ AGENTES
ANTIMALWAR
E McAffe. OnPremises W2008 R2 W2008 R2
o AGENTES
Cylance IA
o SolidCore W2008 W2008
✓ Políticas
✓ TAGS
IDENTIFICATO W2003 W2003
RIOS
✓ Monitoreo QR

+ ꓫ SIN
AGENTES
OnPremises ANTI -
✓ AGENTES
MALWARE
ANTI-
MALWARE W2008 R2 W2008 W2003
McAffe.

YPF - Arquitectura Empresarial Clasificación YPF: No Confidencial

4
 Clasificación YPF: No Confidencial
AZURE

• +Prácticas heredadas

• Mismas Suscripciones.

• Se usará una Vnet diferente para FrontEnd y BackEnd de las usadas por las máquinas soportadas.

• Aislación: Microsegmentación usando NSG/ASG.

• Detección y acción sobre malware x agentes:

✓ Para los 2008 R2 en adelante se instalarán agentes compatibles McAfee (con soporte avanzado
antimalware).
✓ 2008 que no sean R2 y los 2003 Cylance y SolidCore en los casos que no aplique Cylance.

• Contención de incidente: NSG de Cuarentena

Arquitectura IT Clasificación YPF: No Confidencial

5
 Clasificación YPF: No Confidencial
AZURE

Unsupported

Arquitectura IT Clasificación YPF: No Confidencial

6
 Clasificación YPF: No Confidencial
AWS

• + Prácticas Heredada

• Mismas Cuentas.

• Aislación: usando SG en las mismas VPC de las VMS soportadas.

• Detección y acción sobre malware x agentes:

✓ Para los 2008 R2 en adelante se instalarán agentes compatibles McAfee (con soporte avanzado
antimalware).
✓ 2008 que no sean R2 y los 2003 Cylance y SolidCore en los casos que no aplique Cylance.

• Se implementará detección de amenazas por

https://aws.amazon.com/es/guardduty/

• Contención de incidente: SG de Cuarentena

Arquitectura IT Clasificación YPF: No Confidencial

7
 Clasificación YPF: No Confidencial
AWS

Unsupported
Arquitectura IT Clasificación YPF: No Confidencial
8
 Clasificación YPF: No Confidencial
AZURE

Suscripciones: Se van a desplegar las VMNS en las mismas suscripciones que se usan para las VM’s soportadas.

Aislación: Se basará en Microsegmentación usando NSG/ASG para filtrar accesos a los exclusivamente requeridos. Se usará una Vnet
diferente para FrontEnd y BackEnd de las usadas por las máquinas soportadas.

Detección y acción sobre malware x agentes:

• Para los 2008 R2 en adelante se instalarán agentes compatibles McAfee (con soporte avanzado antimalware).
• Para los 2003 y 2008 que no sean R2 se instalarán Cylance y SolidCore en los casos que no aplique Cylance.

Contención de incidente: Para los casos de intrusión o problemas que lo ameriten se dispondrá un NSG de cuarentena de manera de
desasignar rápidamente las interfaces de VMNS afectadas de lo NSG de uso normal y asignárselos a este NSG de cuarentena dónde
quede aislada con un acceso exclusivo para examinarla de manera segura.

Identificación y Políticas: Para facilitar aplicar políticas e identificar recursos no soportados se van a etiquetar las VM´s unsupported
con un TAG que las identifique.

https://docs.microsoft.com/en-us/azure/security/fundamentals/threat-detection https://sourceforge.net/software/compare/Amazon-GuardDuty-vs-Azure-Sentinel/
Arquitectura IT Clasificación YPF: No Confidencial
9
 Clasificación YPF: No Confidencial
AWS

Cuentas: Se van a desplegar las VMNS en las mismas cuentas que se usan para las VM´s soportadas.

Aislación: Se basará en Microsegmentación usando SG en las mismas VPC de las VMS soportadas. Se configurarán los SG para filtrar
los accesos a las direcciones IP exclusivamente requeridos.

Identificación y Políticas: Para facilitar aplicar políticas e identificar recursos no soportados se van a etiquetar las VM´s unsupported
con un TAG que las identifique.

Detección y acción sobre malware x agentes:

• Para los 2008 R2 en adelante se instalarán agentes compatibles McAfee (con soporte avanzado antimalware).
• Para los 2003 y 2008 que no sean R2 se instalarán Cylance y SolidCore en los casos que no aplique Cylance.

Se implementará detección de amenazas por

https://aws.amazon.com/es/guardduty/

Contención de incidente: Para los casos de intrusión o problemas que lo ameriten se dispondrá un SG de cuarentena de manera de
desasignar rápidamente las VMNS afectadas de los SG de uso normal y asignárselos a este SG de cuarentena dónde quede aislada
con un acceso exclusivo para examinarla de manera segura.

Identificación y Políticas: Para facilitar aplicar políticas e identificar recursos no soportados se van a etiquetar las VM´s unsupported
con un TAG que las identifique.
Clasificación YPF: No10
Confidencial
Muchas Gracias