Seguridad del centro de datos: capas físicas y digitales de protección. Y volvimos, como no con data centers.Los datos son una mercancía que requiere una estrategia de seguridad activa del centro de datos para gestionarlos adecuadamente. Una sola falla en el sistema causará estragos en una empresa y tendrá efectos a largo plazo.
¿Están sus cargas de trabajo críticas aisladas de amenazas de seguridad cibernética externas ? Esa es la primera garantía que querrá saber si su empresa utiliza (o planea usar) los servicios alojados.
Las infracciones en los centros de datos de confianza tienden a ocurrir con más frecuencia. El público se da cuenta cuando las noticias acerca de los ataques de amenaza persistente avanzada (APT) tienen éxito.
Para detener esta tendencia, los proveedores de servicios deben adoptar un Modelo de Cero Confianza (zero Trust). Desde la estructura física hasta los racks conectados en red, cada componente está diseñado teniendo esto en cuenta.
Zero Trust Architecture
El modelo Zero Trust considera cada transacción, movimiento o iteración de datos como sospechosa. Es uno de los últimos métodos de detección de intrusiones.
El sistema rastrea el comportamiento de la red y los datos fluyen desde un centro de comando en tiempo real. Comprueba si alguien extrae datos del sistema y alerta al personal o revoca los derechos de las cuentas si se detecta una anomalía.
Capas de seguridad y redundancias de los centros de datos
Mantener la seguridad de sus datos requiere controles de seguridad y el sistema comprueba capa por capa en la estructura de un centro de datos. Desde el propio edificio físico, los sistemas de software y el personal involucrado en las tareas diarias.
Puede separar las capas en un físico o digital.
Estándares de seguridad física del centro de datos
Ubicación
La evaluación de si un centro de datos es seguro comienza con la ubicación.
Un diseño de Data Center de confianza tendrá en cuenta:
- Actividad geológica en la región.
- Industrias de alto riesgo en el área.
- Cualquier riesgo de inundación
- Otros riesgos de fuerza mayor.
Puede prevenir algunos de los riesgos enumerados anteriormente al tener barreras o redundancias adicionales en el diseño físico. Debido a los efectos dañinos, estos eventos tendrían en las operaciones del centro de datos; Es mejor evitarlos por completo.
Los edificios, estructuras y sistemas de soporte de centros de datos.
El diseño de las estructuras que conforman el centro de datos debe reducir los riesgos de control de acceso. La cerca alrededor del perímetro, el grosor y el material de las paredes del edificio, y el número de entradas que tiene. Todo esto afecta a la seguridad del centro de datos.
Algunos factores clave también incluirán:
- Servidores armarios provistos de cerradura.
- Los edificios necesitan más de un proveedor para servicios de telecomunicaciones y electricidad.
Los sistemas de respaldo de energía adicional como UPS y generadores son infraestructura crítica. - El uso de mantas. Esto implica tener una compuerta de aire entre dos puertas separadas, con autenticación requerida para ambas puertas
- Tener en cuenta la futura expansión dentro del mismo límite.
- Los sistemas de soporte separados de los espacios en blanco permiten que los miembros del personal autorizado realicen sus tareas. También evita que los técnicos de mantenimiento y servicio obtengan una entrada sin supervisión.
- Control de acceso fisico
- Controlar el movimiento de los visitantes y el personal alrededor del centro de datos es crucial. Si tiene escáneres biométricos en todas las puertas, y registre quién tuvo acceso a qué y cuándo, le ayudará a investigar cualquier posible infracción en el futuro.
- Las salidas de incendios y las rutas de evacuación solo deben permitir que las personas salgan del edificio. No debe haber manijas al aire libre, evitando la reentrada. Abrir cualquier puerta de seguridad debe hacer sonar una alarma.
- Todos los puntos de entrada de vehículos deben usar bolardos reforzados para protegerse contra los ataques de vehículos.
Asegurar todos los puntos finales
Cualquier dispositivo, ya sea un servidor, tableta, teléfono inteligente o una computadora portátil conectada a la red de un centro de datos es un punto final.
Los centros de datos otorgan espacio en rack y jaulas a clientes cuyos estándares de seguridad pueden ser dudosos. Si el cliente no asegura el servidor correctamente, todo el centro de datos podría estar en riesgo. Los atacantes intentarán aprovechar los dispositivos no seguros conectados a Internet.
Por ejemplo, la mayoría de los clientes quieren acceso remoto a la unidad de distribución de energía (PDU), por lo que podrían reiniciar sus servidores de forma remota. La seguridad es una preocupación importante en tales casos de uso. Es responsabilidad de los proveedores de las instalaciones conocer y proteger todos los dispositivos conectados a Internet.
Mantener registros de video y entrada
Todos los registros, incluidas las grabaciones de video vigilancia y los registros de entrada, deben mantenerse en el archivo por un mínimo de tres meses. Algunas infracciones se identifican cuando ya es demasiado tarde, pero los registros ayudan a identificar los sistemas vulnerables y los puntos de entrada.
Procedimientos de seguridad documental
Tener procedimientos estrictos, bien definidos y documentados es de suma importancia. Algo tan simple como una entrega regular necesita estar bien planificado en sus detalles centrales. No deje nada abierto para la interpretación.
Ejecutar auditorías de seguridad regulares
Las auditorías pueden abarcar desde chequeos de seguridad diarios y recorridos físicos hasta auditorías trimestrales de PCI y SOC .
Las auditorías físicas son necesarias para validar que las condiciones reales se ajustan a los datos informados.
Capas digitales de seguridad en un centro de datos
Además de todos los controles físicos, el software y las redes conforman el resto de los modelos de seguridad y acceso para un centro de datos confiable.
Hay capas de protección digital que tienen como objetivo evitar que las amenazas de seguridad obtengan acceso.
Sistemas de prevención y detección de intrusos
Este sistema verifica las amenazas persistentes avanzadas (APT). Se centra en encontrar aquellos que han tenido éxito en obtener acceso al centro de datos. Los APT suelen ser ataques patrocinados y los piratas informáticos tendrán un objetivo específico en mente para los datos que han recopilado.
La detección de este tipo de ataque requiere un monitoreo en tiempo real de la red y la actividad del sistema para detectar eventos inusuales.
Los eventos inusuales podrían incluir:
- Un aumento de usuarios con derechos elevados que acceden al sistema en momentos extraños.
- Incremento en las solicitudes de servicio que podrían llevar a un ataque de denegación de servicio distribuido (DDoS)
- Grandes conjuntos de datos que aparecen o se mueven alrededor del sistema
- Extracción de grandes conjuntos de datos del sistema.
- Incremento en intentos de phishing a personal crucial.
Para hacer frente a este tipo de ataque, los sistemas de detección de intrusión y prevención (IDPS) utilizan líneas de base de los estados normales del sistema. Cualquier actividad anormal obtiene una respuesta. Los desplazados internos ahora usan redes neuronales artificiales o tecnologías de aprendizaje automático para encontrar estas actividades.
Mejores prácticas de seguridad para sistemas de gestión de edificios
Los sistemas de administración de edificios (BMS) han crecido en línea con otras tecnologías de centros de datos. Ahora pueden gestionar cada faceta de los sistemas de un edificio. Eso incluye control de acceso, flujo de aire, sistemas de alarma contra incendios y temperatura ambiente.
Un moderno BMS viene equipado con muchos dispositivos conectados. Envían datos o reciben instrucciones de un sistema de control descentralizado. Los dispositivos en sí pueden ser un riesgo, así como las redes que utilizan. Cualquier cosa que tenga una dirección IP es hackeable.
Sistemas de gestión de edificios seguros
Los profesionales de seguridad saben que la forma más fácil de sacar un centro de datos del mapa es atacar sus sistemas de administración de edificios.
Es posible que los fabricantes no tengan en cuenta la seguridad al diseñar estos dispositivos, por lo que los parches son necesarios. Algo tan insignificante como un sistema de rociadores puede destruir cientos de servidores si se desencadena por un ciberataque.
Segmentar el sistema
Segmentar los sistemas de gestión de edificios de la red principal ya no es opcional. Además, incluso con tales medidas de precaución, los atacantes pueden encontrar una manera de violar la red de datos primaria.
Durante la infame violación de datos de Target, el sistema de administración del edificio estaba en una red físicamente separada. Sin embargo, eso solo ralentizó a los atacantes cuando finalmente saltaron de una red a otra.
Lo que nos lleva a otro punto crítico: monitorear el movimiento lateral.
Movimiento lateral
El movimiento lateral es un conjunto de técnicas que los atacantes utilizan para moverse por dispositivos y redes y obtener privilegios más altos. Una vez que los atacantes se infiltran en un sistema, asignan todos los dispositivos y aplicaciones en un intento por identificar los componentes vulnerables.
Si la amenaza no se detecta temprano, los atacantes pueden obtener acceso privilegiado y, en última instancia, causar estragos. La supervisión del movimiento lateral limita el tiempo en que las amenazas de seguridad del centro de datos están activas dentro del sistema.
Incluso con estos controles adicionales, todavía es posible que existan puntos de acceso desconocidos dentro del BMS.
Seguro a nivel de red
El mayor uso de la infraestructura basada en la virtualización ha traído consigo un nuevo nivel de desafíos de seguridad. Con este fin, los centros de datos están adoptando un enfoque de seguridad a nivel de red.
El cifrado a nivel de red es el uso de la criptografía en la capa de transferencia de datos de la red, que se encarga de la conectividad y el enrutamiento entre los puntos finales. El cifrado está activo durante la transferencia de datos, y este tipo de cifrado funciona independientemente de cualquier otro cifrado, lo que lo convierte en una solución independiente.
Segmentación de la red
Es una buena práctica segmentar el tráfico de red en el nivel de software. Esto significa clasificar todo el tráfico en diferentes segmentos según la identidad del punto final. Cada segmento está aislado del resto, actuando así como una subred independiente.
La segmentación de la red simplifica la aplicación de políticas. Además, contiene amenazas potenciales en una única subred, lo que evita que ataque otros dispositivos y redes.
Cortafuegos virtuales
Aunque el centro de datos tendrá un firewall físico como parte de su sistema de seguridad, también puede tener un firewall virtual para sus clientes. Los firewalls virtuales miran la actividad de la red ascendente fuera de la red física del centro de datos. Esto ayuda a encontrar inyecciones de paquetes antes de tiempo sin utilizar los recursos esenciales de firewall.
Los firewalls virtuales pueden ser parte de un hipervisor o vivir en sus propias máquinas virtualizadas en un modo de puente.
Soluciones tradicionales de protección contra amenazas
Las soluciones de protección contra amenazas bien conocidas incluyen:
- Redes privadas virtualizadas y comunicaciones encriptadas.
- Contenido, paquete, red, spam y filtrado de virus
- Analizadores y aisladores de tráfico o flujo de red.
La combinación de estas tecnologías ayudará a garantizar que los datos estén a salvo mientras permanezcan accesibles para los propietarios.
Estándares de seguridad del centro de datos
Existe una tendencia a hacer que los servicios de datos sean más seguros y estandarizar la seguridad de los centros de datos. En apoyo de esto, el Uptime Institute publicó el Sistema de clasificación de niveles para centros de datos.
El sistema de clasificación establece estándares para los controles del centro de datos que garantizan la disponibilidad. Como la seguridad puede afectar el tiempo de actividad del sistema, forma parte de su Estándar de Clasificación de Nivel.
Hay cuatro 4 niveles definidos por el sistema. Cada nivel se asigna a una necesidad empresarial que depende de qué tipo de datos se almacenan y administran.
Niveles 1 y 2
Considerados como servicios tácticos, los niveles 1 y 2 solo tendrán algunas de las funciones de seguridad enumeradas en este artículo. Son de bajo costo y son utilizadas por compañías que no desean acceso en tiempo real a sus datos y que no sufrirán financieramente debido a una falla temporal del sistema.
Se utilizan principalmente para el almacenamiento de datos fuera del sitio.
Niveles 3 y 4
Estos niveles tienen mayores niveles de seguridad. Tienen redundancias integradas que garantizan el tiempo de actividad y el acceso. Proporcionar servicios de misión crítica para compañías que conocen el costo de los daños a una reputación que crea una interrupción en el servicio.
Estas instalaciones de procesamiento de datos en tiempo real proporcionan los más altos estándares de seguridad.
Tomar en serio la seguridad del centro de datos
Cada vez más compañías están trasladando sus cargas de trabajo y servicios críticos a servidores alojados e infraestructura de computación en la nube. Los centros de datos son objetivos principales para los malos actores.
La medición de sus proveedores de servicios contra las mejores prácticas presentadas en este artículo es esencial.
No espere a que ocurra la próxima violación importante antes de tomar medidas para proteger sus datos. Ninguna compañía quiere ser el próximo Target o Equifax.
Leer también:¿Por qué necesitamos los data centers o centros de datos?; Componentes de un data center, centro de datos
This post is also available in:
Español
