Compartir a través de

Control de seguridad: administración de posturas y vulnerabilidades

La administración de posturas y vulnerabilidades se centra en los controles para evaluar y mejorar la posición de seguridad en la nube, como el examen de vulnerabilidades, las pruebas de penetración y la corrección, así como el seguimiento de la configuración de seguridad, los informes y la corrección en los recursos en la nube.

PV-1: Definición y establecimiento de configuraciones seguras

Id. de CIS Controls v8 IDENTIFICADORES DEL NIST SP 800-53 r4 Id. de PCI-DSS v3.2.1
4.1, 4.2 CM-2, CM-6 1.1

Principio de seguridad: defina las líneas base de configuración de seguridad para distintos tipos de recursos en la nube. Como alternativa, use herramientas de administración de configuración para establecer la línea base de configuración automáticamente antes o durante la implementación de recursos para que el entorno pueda ser compatible de forma predeterminada después de la implementación.

Guía de Azure: Use el Microsoft Cloud Security Benchmark y la línea base de servicio para definir su línea base de configuración para cada servicio u oferta correspondiente de Azure. Consulte la arquitectura de referencia de Azure y la arquitectura de la zona de aterrizaje de Cloud Adoption Framework para comprender los controles de seguridad críticos y las configuraciones que pueden ser necesarios en los recursos de Azure.

Use la zona de aterrizaje de Azure (y blueprints) para acelerar la implementación de la carga de trabajo mediante la configuración de servicios y entornos de aplicación, incluidas las plantillas de Azure Resource Manager, los controles RBAC de Azure y Azure Policy.

Implementación de Azure y contexto adicional:

Guía de AWS: Utilice el Microsoft Cloud Security Benchmark, una guía de varias nubes para AWS y otros datos, para definir la línea de base de configuración para cada oferta o servicio de AWS correspondiente. Consulte el pilar de seguridad y otros pilares de AWS Well-Architectured Framework para comprender los controles y configuraciones de seguridad críticos que pueden ser necesarios en todos los recursos de AWS.

Use plantillas de AWS CloudFormation y reglas de AWS Config en la definición de zona de aterrizaje de AWS para automatizar la implementación y configuración de servicios y entornos de aplicación.

Implementación de AWS y contexto adicional:

Guía de GCP: Utilice el Benchmark de Seguridad en la Nube de Microsoft, que ofrece orientación multicloud para GCP y otra información adicional para definir la línea base de configuración para cada oferta o servicio de GCP correspondiente. Consulte los pilares en los planos de referencia de implementaciones en Google Cloud y el diseño de la zona de aterrizaje.

Use módulos de planos técnicos de Terraform para Google Cloud y use Google Cloud Deployment Manager nativo para automatizar la implementación y configuración de servicios y entornos de aplicación.

Implementación de GCP y contexto adicional:

Partes interesadas en la seguridad del cliente (más información):

PV-2: Auditoría y aplicación de configuraciones seguras

Id. de CIS Controls v8 IDENTIFICADORES DEL NIST SP 800-53 r4 Id. de PCI-DSS v3.2.1
4.1, 4.2 CM-2, CM-6 2.2

Principio de seguridad: supervise y alerte continuamente cuando hay una desviación de la línea de base de configuración definida. Aplique la configuración deseada según la configuración de línea base al denegar la configuración no compatible o implementar una configuración.

Guía de Azure: Use Microsoft Defender for Cloud para configurar Azure Policy y auditar y aplicar configuraciones de los recursos de Azure. Use Azure Monitor para crear alertas cuando se detecte una desviación de configuración en los recursos.

Use las reglas [deny] y [deploy if not exist] de Azure Policy para aplicar la configuración segura en los recursos de Azure.

Para la auditoría y el cumplimiento de la configuración de recursos no compatibles con Azure Policy, es posible que tenga que escribir scripts personalizados o usar herramientas de terceros para implementar la auditoría y el cumplimiento de la configuración.

Implementación de Azure y contexto adicional:

Guía de AWS: Use las reglas de AWS Config para auditar las configuraciones de los recursos de AWS. Y puede optar por resolver la desviación de configuración mediante AWS Systems Manager Automation asociado a la regla AWS Config. Use Amazon CloudWatch para crear alertas cuando se detecte una desviación de configuración en los recursos.

Para la auditoría y el cumplimiento de la configuración de recursos no compatibles con AWS Config, es posible que tenga que escribir scripts personalizados o usar herramientas de terceros para implementar la auditoría y el cumplimiento de la configuración.

También puede supervisar de forma centralizada el desfase de configuración mediante la incorporación de su cuenta de AWS a Microsoft Defender for Cloud.

Implementación de AWS y contexto adicional:

Guía de GCP: use Google Cloud Security Command Center para configurar GCP. Use Google Cloud Monitoring in Operations Suite para crear alertas cuando se detecte una desviación de configuración en los recursos.

Para gobernar las organizaciones, use la directiva organizativa para centralizar y controlar mediante programación los recursos en la nube de la organización. Como administrador de directivas de la organización, podrá configurar restricciones en toda la jerarquía de recursos.

En el caso de la auditoría y el cumplimiento de la configuración de recursos no compatibles con la directiva de organización, es posible que tenga que escribir scripts personalizados o usar herramientas de terceros para implementar la auditoría y el cumplimiento de la configuración.

Implementación de GCP y contexto adicional:

Partes interesadas en la seguridad del cliente (más información):

PV-3: Definir y establecer configuraciones seguras para los recursos de proceso

Id. de CIS Controls v8 IDENTIFICADORES DEL NIST SP 800-53 r4 Id. de PCI-DSS v3.2.1
4,1 CM-2, CM-6 2.2

Principio de seguridad: defina las líneas base de configuración seguras para los recursos de proceso, como máquinas virtuales y contenedores. Use herramientas de administración de configuración para establecer la línea base de configuración automáticamente antes o durante la implementación de recursos de proceso para que el entorno pueda ser compatible de forma predeterminada después de la implementación. Como alternativa, use una imagen preconfigurada para compilar la línea base de configuración deseada en la plantilla de imagen de recurso de proceso.

Guía de Azure: use las líneas base de seguridad del sistema operativo recomendadas de Azure (para Windows y Linux) como prueba comparativa para definir la línea base de configuración de recursos de proceso.

Además, puede usar una imagen de máquina virtual personalizada (mediante Azure Image Builder) o una imagen de contenedor con Azure Automanage Machine Configuration (anteriormente denominada Configuración de invitado de Azure Policy) y State Configuration de Azure Automation para establecer la configuración de seguridad deseada.

Implementación de Azure y contexto adicional:

Guía de AWS: Use las Imágenes de Máquina AWS EC2 (AMI) de fuentes de confianza en el mercado como punto de referencia para definir la línea base de configuración EC2.

Además, puede usar EC2 Image Builder para crear una plantilla de AMI personalizada con un agente de Systems Manager para establecer la configuración de seguridad deseada. Nota: Aws Systems Manager Agent está preinstalado en algunas imágenes de Amazon Machine (AMI) proporcionadas por AWS.

En el caso de las aplicaciones de carga de trabajo que se ejecutan dentro de las instancias ec2, AWS Lambda o el entorno de contenedores, puede usar AWS System Manager AppConfig para establecer la línea base de configuración deseada.

Implementación de AWS y contexto adicional:

Guía de GCP: use las líneas base de seguridad del sistema operativo recomendadas de Google Cloud (para Windows y Linux) como prueba comparativa para definir la línea base de configuración de recursos de proceso.

Además, puede usar una imagen de máquina virtual personalizada mediante Packer Image Builder o una imagen de contenedor con la imagen de contenedor de Google Cloud Build para establecer la línea base de configuración deseada.

Implementación de GCP y contexto adicional:

Partes interesadas en la seguridad del cliente (más información):

PV-4: Auditar y aplicar configuraciones seguras para los recursos de proceso

Id. de CIS Controls v8 IDENTIFICADORES DEL NIST SP 800-53 r4 Id. de PCI-DSS v3.2.1
4,1 CM-2, CM-6 2.2

Principio de seguridad: supervise y alerte continuamente cuando hay una desviación de la línea de base de configuración definida en los recursos de proceso. Aplique la configuración deseada según la configuración de línea base al denegar la configuración no compatible o implementar una configuración en los recursos de proceso.

Guía de Azure: Use Microsoft Defender para la nube y Azure Automanage Machine Configuration (anteriormente denominada Configuración de invitado de Azure Policy) para evaluar y corregir periódicamente las desviaciones de configuración en sus recursos de computación de Azure, incluidas las máquinas virtuales, los contenedores y otros. Además, puede usar plantillas de Azure Resource Manager, imágenes de sistema operativo personalizadas o State Configuration de Azure Automation para mantener la configuración de seguridad del sistema operativo. Las plantillas de máquina virtual de Microsoft junto con State Configuration de Azure Automation pueden ayudar a cumplir y mantener los requisitos de seguridad. Use Change Tracking e Inventario en Azure Automation para realizar un seguimiento de los cambios en las máquinas virtuales hospedadas en Azure, en el entorno local y en otros entornos en la nube. Esto le ayuda a identificar problemas operativos y ambientales con el software administrado por el Administrador de paquetes de distribución. Instale el agente Guest Attestation en máquinas virtuales para supervisar la integridad de arranque en máquinas virtuales confidenciales.

Nota: Microsoft administra y mantiene las imágenes de máquina virtual de Azure Marketplace publicadas por Microsoft.

Implementación de Azure y contexto adicional:

Guía de AWS: use la característica Administrador de estado de AWS System Manager para evaluar y corregir periódicamente las desviaciones de configuración en las instancias ec2. Además, puede usar plantillas de CloudFormation, imágenes de sistema operativo personalizadas para mantener la configuración de seguridad del sistema operativo. Las plantillas de AMI junto con Systems Manager pueden ayudar a cumplir y mantener los requisitos de seguridad.

También puede supervisar y administrar de forma centralizada el desfase de configuración del sistema operativo a través de State Configuration de Azure Automation e incorporar los recursos aplicables a la gobernanza de seguridad de Azure mediante los métodos siguientes:

  • Incorporación de su cuenta de AWS en Microsoft Defender for Cloud
  • Uso de Azure Arc para servidores para conectar las instancias ec2 a Microsoft Defender for Cloud

En el caso de las aplicaciones de carga de trabajo que se ejecutan dentro de las instancias ec2, AWS Lambda o el entorno de contenedores, puede usar AWS System Manager AppConfig para auditar y aplicar la línea base de configuración deseada.

Nota: Las AMI publicadas por Amazon Web Services en AWS Marketplace son administradas y mantenidas por Amazon Web Services.

Implementación de AWS y contexto adicional:

Guía de GCP: Use VM Manager y Google Cloud Security Command Center para evaluar y corregir periódicamente la desviación de configuración de tus instancias de Compute Engine, contenedores y entornos sin servidor. Además, puede usar plantillas de máquina virtual de Deployment Manager, imágenes de sistema operativo personalizadas para mantener la configuración de seguridad del sistema operativo. Las plantillas de plantillas de máquina virtual de Deployment Manager junto con VM Manager pueden ayudar a cumplir y mantener los requisitos de seguridad.

También puede supervisar y administrar de forma centralizada el desfase de configuración del sistema operativo a través de State Configuration de Azure Automation e incorporar los recursos aplicables a la gobernanza de seguridad de Azure mediante los métodos siguientes:

  • Incorporación del proyecto de GCP a Microsoft Defender for Cloud
  • Uso de Azure Arc para servidores para conectar las instancias de máquina virtual de GCP a Microsoft Defender for Cloud

Implementación de GCP y contexto adicional:

Partes interesadas en la seguridad del cliente (más información):

PV-5: Realizar evaluaciones de vulnerabilidades

Id. de CIS Controls v8 IDENTIFICADORES DEL NIST SP 800-53 r4 Id. de PCI-DSS v3.2.1
5.5, 7.1, 7.5, 7.6 RA-3, RA-5 6.1, 6.2, 6.6

Principio de seguridad: realice la evaluación de vulnerabilidades de los recursos en la nube en todos los niveles de una programación fija o a petición. Realice un seguimiento y compare los resultados del examen para comprobar que se corrigen las vulnerabilidades. La evaluación debe incluir todos los tipos de vulnerabilidades, como vulnerabilidades en servicios de Azure, red, web, sistemas operativos, configuraciones incorrectas, etc.

Tenga en cuenta los posibles riesgos asociados al acceso con privilegios que usan los escáneres de vulnerabilidades. Siga el procedimiento recomendado de seguridad de acceso con privilegios para proteger las cuentas administrativas que se usan para el examen.

Guía de Azure: siga las recomendaciones de Microsoft Defender for Cloud para realizar evaluaciones de vulnerabilidades en las máquinas virtuales de Azure, imágenes de contenedor y servidores SQL Server. Microsoft Defender for Cloud tiene un analizador de vulnerabilidades integrado para máquinas virtuales. Usar una solución de terceros para realizar evaluaciones de vulnerabilidades en aplicaciones y dispositivos de red (por ejemplo, aplicaciones web)

Exporte los resultados del examen a intervalos coherentes y compare los resultados con exámenes anteriores para comprobar que se han corregido las vulnerabilidades. Al usar las recomendaciones de administración de vulnerabilidades sugeridas por Microsoft Defender for Cloud, puede acceder al portal de la solución de análisis seleccionada para ver los datos históricos de escaneo.

Al realizar escaneos remotos, no use una sola cuenta administrativa perpetua. Considere la posibilidad de implementar la metodología de aprovisionamiento JIT (Just-In-Time) para la cuenta de análisis. Las credenciales de la cuenta de examen deben protegerse, supervisarse y usarse solo para el examen de vulnerabilidades.

Nota: Los servicios de Microsoft Defender (incluidos Defender para servidores, contenedores, App Service, Base de datos y DNS) insertan determinadas funcionalidades de evaluación de vulnerabilidades. Las alertas generadas a partir de los servicios de Azure Defender deben supervisarse y revisarse junto con el resultado de la herramienta de análisis de vulnerabilidades de Microsoft Defender for Cloud.

Nota: Asegúrese de configurar las notificaciones por correo electrónico en Microsoft Defender for Cloud.

Implementación de Azure y contexto adicional:

Guía de AWS: Use Amazon Inspector para examinar las instancias de Amazon EC2 y las imágenes de contenedor que residen en Amazon Elastic Container Registry (Amazon ECR) para detectar vulnerabilidades de software y exposición de red no deseada. Usar una solución de terceros para realizar evaluaciones de vulnerabilidades en aplicaciones y dispositivos de red (por ejemplo, aplicaciones web)

Consulte el control ES-1, "Usar detección y respuesta de puntos de conexión (EDR)", para incorporar su cuenta de AWS en Microsoft Defender for Cloud e implementar Microsoft Defender para servidores (con Defender para Endpoint integrado) en las instancias EC2. Microsoft Defender para servidores proporciona una funcionalidad nativa de administración de amenazas y vulnerabilidades para las máquinas virtuales. El resultado del examen de vulnerabilidades se consolidará en el panel de Microsoft Defender for Cloud.

Realice un seguimiento del estado de los resultados de vulnerabilidades para asegurarse de que se corrigen correctamente o se suprimen si se consideran falsos positivos.

Al realizar escaneos remotos, no use una sola cuenta administrativa perpetua. Considere la posibilidad de implementar una metodología de aprovisionamiento temporal para la cuenta de escaneo. Las credenciales de la cuenta de examen deben protegerse, supervisarse y usarse solo para el examen de vulnerabilidades.

Implementación de AWS y contexto adicional:

Guía de GCP: siga las recomendaciones de Microsoft Defender for Cloud o/and Google Cloud Security Command Center para realizar evaluaciones de vulnerabilidades en las instancias de Compute Engine. Security Command Center tiene evaluaciones de vulnerabilidades integradas en dispositivos y aplicaciones de red (por ejemplo, Web Security Scanner)

Exporte los resultados del examen a intervalos coherentes y compare los resultados con exámenes anteriores para comprobar que se han corregido las vulnerabilidades. Al usar recomendaciones de administración de vulnerabilidades sugeridas por Security Command Center, puede acceder al portal de la solución de escaneo seleccionada para ver los datos históricos del escaneo.

Implementación de GCP y contexto adicional:

Partes interesadas en la seguridad del cliente (más información):

PV-6: Corrección rápida y automática de vulnerabilidades

Id. de CIS Controls v8 IDENTIFICADORES DEL NIST SP 800-53 r4 Id. de PCI-DSS v3.2.1
7.2, 7.3, 7.4, 7.7 RA-3, RA-5, SI-2: CORRECCIÓN DE ERRORES 6.1, 6.2, 6.5, 11.2

Principio de seguridad: implementa rápidamente e implementa automáticamente revisiones y actualizaciones para corregir las vulnerabilidades en los recursos en la nube. Use el enfoque adecuado basado en riesgos para priorizar la corrección de vulnerabilidades. Por ejemplo, las vulnerabilidades más graves de un recurso de valor más alto deben abordarse como prioridad más alta.

Guía de Azure: Utilice Update Management de Azure Automation o una solución de terceros para asegurarse de que las actualizaciones de seguridad más recientes estén instaladas en las máquinas virtuales Windows y Linux. En el caso de las máquinas virtuales Windows, asegúrese de que Windows Update se ha habilitado y establecido para actualizarse automáticamente.

Para software de terceros, use una solución de administración de revisiones de terceros o Microsoft System Center Updates Publisher para Configuration Manager.

Implementación de Azure y contexto adicional:

Guía de AWS: Use AWS Systems Manager - Patch Manager para asegurarse de que las actualizaciones de seguridad más recientes están instaladas en sus sistemas operativos y aplicaciones. Patch Manager admite líneas base de revisión para permitirle definir una lista de revisiones aprobadas y rechazadas para los sistemas.

También puede usar Update Management de Azure Automation para administrar de forma centralizada las revisiones y actualizaciones de las instancias de Windows y Linux de AWS EC2.

Para software de terceros, use una solución de administración de revisiones de terceros o Microsoft System Center Updates Publisher para Configuration Manager.

Implementación de AWS y contexto adicional:

Guía de GCP: use la administración de revisiones del sistema operativo de Google Cloud VM Manager o una solución de terceros para asegurarse de que las actualizaciones de seguridad más recientes están instaladas en las máquinas virtuales Windows y Linux. En el caso de las máquinas virtuales Windows, asegúrese de que Windows Update se ha habilitado y establecido para actualizarse automáticamente.

Para software de terceros, use una solución de administración de revisiones de terceros o Microsoft System Center Updates Publisher para la administración de la configuración.

Implementación de GCP y contexto adicional:

Partes interesadas en la seguridad del cliente (más información):

PV-7: Realización de operaciones periódicas del equipo rojo

Id. de CIS Controls v8 IDENTIFICADORES DEL NIST SP 800-53 r4 Id. de PCI-DSS v3.2.1
18.1, 18.2, 18.3, 18.4, 18.5 CA-8, RA-5 6.6, 11.2, 11.3

Principio de seguridad: simulación de ataques reales para proporcionar una vista más completa de la vulnerabilidad de la organización. Las operaciones del equipo rojo y las pruebas de penetración complementan el enfoque de análisis de vulnerabilidades tradicional para detectar riesgos.

Siga los procedimientos recomendados del sector para diseñar, preparar y llevar a cabo este tipo de pruebas para asegurarse de que no causará daños ni interrupciones en su entorno. Esto siempre debe incluir la discusión del ámbito y las restricciones de pruebas con las partes interesadas y los propietarios de recursos pertinentes.

Guía de Azure: según sea necesario, realice pruebas de penetración o actividades de equipo rojo en los recursos de Azure y asegúrese de corregir todos los hallazgos de seguridad críticos.

siga las reglas de compromiso de la prueba de penetración de Microsoft Cloud para asegurarse de que las pruebas de penetración no infrinjan las directivas de Microsoft. Use la estrategia de Microsoft y la ejecución de las pruebas de penetración del equipo rojo y sitios activos en la infraestructura de nube, los servicios y las aplicaciones administradas por Microsoft.

Implementación de Azure y contexto adicional:

Guía de AWS: Según sea necesario, realice pruebas de penetración o actividades de equipo rojo en los recursos de AWS y garantice la corrección de todos los hallazgos de seguridad críticos.

Siga la directiva de soporte al cliente de AWS para pruebas de penetración para asegurarse de que las pruebas de penetración no infringen las directivas de AWS.

Implementación de AWS y contexto adicional:

Guía de GCP: Según sea necesario, realice pruebas de penetración o actividades de equipo rojo en el recurso de GCP y asegúrese de corregir todos los hallazgos de seguridad críticos.

Siga la directiva de soporte al cliente de GCP para pruebas de penetración para asegurarse de que las pruebas de penetración no infringen las directivas de GCP.

Implementación de GCP y contexto adicional:

Partes interesadas en la seguridad del cliente (más información):

  • Last updated on