Alexandr Mitiuc - Fotolia
Construya su seguridad SDDC con tres componentes
Si desea construir una base para operaciones seguras en su SDDC, parches de software, privilegios de cuenta y cifrado deben ser parte de su marco de seguridad.
La implementación de un centro de datos definido por software puede llevar a una administración flexible de recursos y aprovisionamiento de aplicaciones, pero también puede complicar la seguridad de la información de su organización. A medida que desarrolle su estrategia de seguridad, debe tener en cuenta las vulnerabilidades de la capa de software, las capacidades de acceso a la función y el cifrado de almacenamiento.
La capa de abstracción que permite a las organizaciones crear una arquitectura definida por software también agrega una capa adicional de complejidad a un centro de datos físico tradicional. Una regla fundamental de la ciberseguridad es que a medida que aumenta la complejidad, también lo hace la posibilidad de una vulnerabilidad.
La mejor manera de mitigar este problema es incorporar todas las capas de su centro de datos definido por software (SDDC) –sistemas operativos, memoria del hipervisor y servidores virtuales– en su estrategia de administración de parches. Debe aplicar cualquier parche disponible tan rápido como sea práctico dentro del marco de actualización de su organización para reforzar la seguridad del SDDC. Además, asegúrese de que su departamento de TI tenga prácticas vigentes para verificar actualizaciones de parches y versiones.
Debido a que los hackers saben cuándo hay nuevos parches disponibles, pueden identificar fácilmente los sistemas sin parches que contienen vulnerabilidades conocidas y trabajarán para explotar las vulnerabilidades sin parches lo más rápido posible.
Medidas de seguridad de las cuentas de usuario
Otra amenaza común para la seguridad de SDDC es una cuenta con privilegios, como la cuenta raíz de Unix o las cuentas de administrador de Windows. Estas cuentas pueden verse comprometidas y dar a un hacker reinado libre en sus sistemas. Una forma de evitar esto es imponiendo el uso seguro de contraseñas y requiriendo autenticación multifactor siempre que sea posible.
Hay dos formas principales en que puede ayudar a prevenir una cuenta comprometida.
Primero, cree un bosque dedicado de Active Directory que solo brinde servicios de autenticación para su infraestructura SDDC. Debería unir sus hipervisores, servidores de administración y cualquier otro componente de infraestructura de bajo nivel a un dominio de nivel de bosque para obtener ciertos permisos. El uso de la autenticación basada en Active Directory puede facilitar la auditoría del uso de cuentas privilegiadas en su SDDC.
En segundo lugar, use cuentas de servicio de un solo propósito en lugar de tener una cuenta de servicio para todo el SDDC. Cuando usa una cuenta de servicio para múltiples propósitos, la cuenta comienza a acumular más privilegios que los necesarios para cualquier tarea. Esto es peligroso porque si la cuenta está comprometida, el atacante tendrá a su disposición amplios privilegios de cuenta.
Este principio también se aplica a las cuentas administrativas. En lugar de otorgar al personal de TI acceso administrativo sin restricciones, use los controles de acceso basados en roles para limitar el alcance de cada cuenta con privilegios. Si los miembros del personal de TI necesitan permisos administrativos de alto nivel, considere crear una serie de cuentas con menos privilegios en lugar de otorgar todos los privilegios necesarios a una sola cuenta.
Almacenamiento como un componente de seguridad SDDC
El acceso al almacenamiento también es una vulnerabilidad potencial para la seguridad del SDDC porque una capa de software administra los recursos de almacenamiento. Un atacante puede obtener acceso sin restricciones a su almacenamiento a pesar de otras medidas de seguridad que pueda haber implementado. Afortunadamente, puede mitigar este problema mediante la autenticación y el cifrado.
Además, asegúrese de requerir autenticación bidireccional si está usando almacenamiento iSCSI. El sistema debe requerir la autenticación del host antes de montar el objetivo iSCSI. Al mismo tiempo, los hosts deben requerir un Protocolo de autenticación por desafío mutuo (Challenge-Handshake) para evitar conexiones no autorizadas.
También debe incluir el cifrado para los datos en reposo y los datos en movimiento. La protección de datos en reposo significa cifrar el volumen de almacenamiento. Si el volumen contiene discos duros virtuales, debe cifrar el contenido de esos discos duros virtuales.
Utilice un segmento de red dedicado, una red de área local virtual o un cifrado IPsec para proteger los datos en movimiento.
