(cc) flickr KennoJC

Los recursos en la nube son una de las herramientas que ha logrado masificar el tráfico de datos en internet. Pero así como la nube hace que todo sea mucho más simple y móvil, también lo expone a los peligros que existen detrás de una herramienta teóricamente segura.

Decimos “teóricamente segura” porque en el discurso de venta lo es sin dudas, en la práctica parece serlo, pero en la realidad suele ser todo un caos para aquellos que no logran comprender el funcionamiento de algunas medidas de seguridad vitales para que estos servicios funcionen correctamente. Recuerdo siempre lo que decía un amigo geek sobre la seguridad casera: “un firewall mal configurado puede ser tan seguro como dejar las llaves de tu casa, adentro de tu casa y con la ventana abierta”.

Newvem es una empresa especializada en analítica de la gestión de recursos en la nube, y basado en el análisis de los usuarios de los servicios Cloud de Amazon (AWS, Amazon Web Services), uno de los más populares de internet, detalló una lista de las cinco más grandes meteduras de pata de los usuarios de este tipo de servicios. Además incluyen unas interesantes (u obvias) recomendaciones para tomar nota y ser prudentes con nuestros propios recursos cloud:

• Dejar la base de datos del servidor de puertos IP abiertos al mundo entero. En general, no hay ninguna razón para que los servidores de bases de datos ofrezcan un acceso directo y abierto desde la red. Las bases de datos de entrada deben correr a través de servidores web o aplicación, que actúan como búffer.
• Abrir el acceso a los puertos IP de todos los servidores internos de AWS. Este es un error fácil de cometer, pero puede ser fatal y muy costoso. Puede suceder cuando se configura una regla de seguridad general para dar permisos de acceso a un rango IP – 10.0.0.1 / 8.
• Dejar puertos IP abiertos a todas las direcciones IP. La mejor práctica es mantener los puertos abiertos al exterior a un acceso mínimo y  sólo a aquellos servicios que realmente requieren de acceso a Internet, tal como sucede con el puerto 80 para HTTP y el puerto 443 para HTTPS.
• Permitir el acceso a puertos IP críticos desde direcciones IP públicas de Internet. Estos puertos son similares a los puertos de base de datos mencionados en el punto 1, pero servicios como Memcached pueden exponer a un entornos cloud al riesgo de ser accesibles desde cualquier IP desconocida. En general lo recomedable es limitarlo sólo a IPs provenientes de redes privadas.
• Dejar el servicio Amazon Machine Images (IAM) con acceso público. IAM a menudo contienen datos sensibles que podrían provocar un riesgo alto de pérdida de información pero parece ser una práctica bastante común entre los usuarios. La regla de oro: Cuando se crea un IAM, asegurarse de establecer las políticas de uso en privadas.

Además de destacar que este tipo de errores suelen ser cometidos por usuarios que buscan optimizar o expandir su rendimiento cloud, Newvem también sugiere utilizar algunas herramientas de optimización como Cloudability o Cloudy, que suelen ofrecer recomendaciones para mejorar la seguridad en nuestras expuestas nubes de información.

Link: The 5 biggest mistakes users make in Amazon’s cloud (gigaom)