Artículos comparativos sobre seguridad en AWS: autenticación IAM, cifrado de datos, WAF, conformidad y zero trust
Detecte los permisos no utilizados de los roles IAM a partir de CloudTrail y genere automáticamente políticas de mínimo privilegio. Explicamos desde la detección de acceso externo hasta la incorporación de verificaciones de políticas personalizadas en CI/CD.
Explicamos la emisión gratuita de certificados públicos con ACM, la validación DNS, la renovación automática y el despliegue en ALB / CloudFront.
Se explica el procesamiento aislado de datos confidenciales con AWS Nitro Enclaves. Se presentan la atestación criptográfica, la integración con KMS y los casos de uso de procesamiento de PII / gestión de claves de cifrado.
Explicamos cómo gestionar de forma centralizada las reglas de WAF, los Security Groups y las políticas de Network Firewall de todo Organizations, y mantener la línea base de seguridad de toda la organización mediante la aplicación automática a las cuentas nuevas.
Explicamos la gestión dedicada de claves criptográficas con AWS CloudHSM. Presentamos el uso exclusivo de un HSM de un solo inquilino, el control directo mediante PKCS#11 y JCE, la custodia de claves y los criterios de selección frente a KMS. También presentamos la migración a la generación hsm2m.medium, y la descarga de TLS y la integración con Oracle TDE.
Explicamos los métodos de diseño de la gestión de accesos que aprovechan AWS IAM y presentamos cómo lograr una seguridad de confianza cero con el principio de privilegio mínimo, el diseño de políticas y la integración con Cognito.
Escanea automáticamente las vulnerabilidades de instancias EC2, imágenes de contenedores ECR y funciones Lambda, y las prioriza con puntuaciones de riesgo basadas en CVE. Explica cómo se logra también el escaneo sin agente mediante la integración con el agente de Systems Manager.
Se explican el mecanismo por el que las claves maestras de KMS se almacenan dentro de HSM con certificación FIPS 140-2, el diseño que protege doblemente las claves de datos con el cifrado de sobre y el funcionamiento interno de la rotación de claves.
Se explican desde un punto de vista criptográfico los 4 pasos (creación de la solicitud canónica, construcción de la cadena para firmar, derivación de la clave de firma y cálculo de la firma) del proceso de firma SigV4 que se usa para la autenticación de la API de AWS. También se presenta el funcionamiento de SigV4A y de las URL prefirmadas.
Se explican el diseño y la implementación de una base de autenticación de usuarios que aprovecha Amazon Cognito, y se presenta cómo construir flujos de autenticación con grupos de usuarios, grupos de identidades y la integración con proveedores de identidad externos.
Se elimina la VPN y se logra un acceso de confianza cero que verifica en cada ocasión la identidad del usuario y el estado de seguridad del dispositivo. Se presenta el control detallado mediante políticas de Cedar.
Explicación del acceso Zero Trust sin VPN con AWS Verified Access. Se presentan la integración con proveedores de identidad, la confianza en los dispositivos, el control de acceso basado en políticas y la comparación con la VPN tradicional.
Aprenda sobre la emisión de certificados TLS/SSL, renovación automática y despliegue usando AWS Certificate Manager (ACM). Cubre la integración con CloudFront, ALB y API Gateway, validación DNS y uso de Private CA.
Aprenda a lograr recuperación ante desastres con replicación multi-región y construir gestión centralizada desde una cuenta de seguridad usando acceso entre cuentas.
Explicamos la autenticación de usuarios con Cognito User Pool, el acceso a recursos AWS con Identity Pool y la integración de inicio de sesión social.
Rote automáticamente contraseñas de RDS y Aurora con funciones Lambda y recupere secretos de forma transparente desde aplicaciones usando la biblioteca de caché del SDK. También cubre cuándo usar Parameter Store en su lugar.
Detecta scrapers y herramientas de automatización con Bot Control, y previene credential stuffing con ATP. También presentamos el diseño de experiencia de usuario con challenges y CAPTCHA.
Logre gestión de claves compatible con FIPS 140-3 Level 3 con instancias HSM dedicadas. Aprenda cuándo elegir CloudHSM sobre KMS y cómo integrar ambos mediante almacenes de claves personalizados de KMS.
Aplicamos firma de código a funciones Lambda e imágenes de contenedor, imponemos la verificación de firmas en el despliegue e integramos con pipelines CI/CD.
Aprende cómo GuardDuty detecta amenazas, clasifica hallazgos e integra con Security Hub para la respuesta a incidentes.
Construye una autoridad de certificación privada y emite automáticamente certificados mTLS para comunicación entre servicios internos. Presentamos la gestión del ciclo de vida de certificados y el diseño de CRL.
Presentamos la técnica de externalizar la lógica de autorización del código de la aplicación con el lenguaje de políticas Cedar, y lograr decisiones de autorización basadas en tokens con la integración de Cognito.
Explicación del control de tráfico VPC con AWS Network Firewall. Se presenta la diferenciación con Security Groups, el diseño de reglas, el filtrado de dominios y las reglas gestionadas.
Explicamos la agregación automática de CloudTrail, VPC Flow Logs y logs de Route 53 con Security Lake, la normalización OCSF y la integración con suscriptores.
Presenta cómo obtener informes de auditoría SOC, PCI DSS e ISO bajo demanda, y aplicar BAA y GDPR DPA de forma masiva a toda la organización con Organizations.
Explicamos cómo CloudTrail registra las llamadas a la API de AWS, las diferencias entre eventos de administración y eventos de datos, el análisis SQL con CloudTrail Lake y las técnicas de investigación forense ante incidentes de seguridad.
Disene la construccion de AWS Managed Microsoft AD y la relacion de confianza con AD on-premises. Presentamos la gestion de identidades hibrida mediante integracion con WorkSpaces, RDS y FSx.
Explica la recopilación automática de evidencias de auditoría con AWS Audit Manager. Presenta la evaluación automática basada en frameworks (SOC 2, PCI DSS, GDPR, etc.), gestión centralizada de evidencias y generación de informes de auditoría.
Explicamos por qué el endpoint del servicio de metadatos de instancias EC2 169.254.169.254 es una dirección link-local, la historia de su explotación en ataques SSRF, y las circunstancias que llevaron a la creación de la autenticación basada en tokens de IMDSv2.
Explicación del procesamiento de datos confidenciales con AWS Nitro Enclaves. Se presenta el entorno de ejecución aislado, la integración con KMS, la atestación y los casos de uso.
Explicamos la gestion de claves criptograficas para pagos, el cifrado y descifrado de bloques PIN, y la conformidad con PCI DSS mediante Payment Cryptography.
Una exploración curiosa de por qué los ID de cuenta de AWS son números de 12 dígitos, la intención de diseño incorporada en la estructura ARN, y las consideraciones de seguridad sobre lo que se puede inferir a partir de un ID de cuenta.
Explicamos por qué el usuario root de AWS tiene privilegios que IAM no puede restringir, la lista de operaciones que solo el usuario root puede realizar, cómo configurar MFA y la estrategia de sellado mediante la gestión de acceso root de Organizations.
Detección automática de datos confidenciales en S3 con Amazon Macie e inteligencia de amenazas con Amazon GuardDuty para protección integral de privacidad de datos. Desde identificación de información personal hasta detección de amenazas en tiempo real.
Explicamos la defensa contra DDoS con AWS Shield Standard y Shield Advanced. Presentamos de forma práctica la integración con CloudFront, Route 53 y ALB, la combinación con WAF y la función de protección de costos.
Explicamos la investigación de hallazgos de GuardDuty con Detective, perfiles de entidades y el uso de grafos de comportamiento.
Explicamos la integración en la nube de Active Directory con AWS Directory Service. Presentamos la diferenciación entre AWS Managed Microsoft AD, AD Connector y Simple AD, y la integración con WorkSpaces, RDS y FSx.
Una explicación paso a paso de cómo IAM evalúa las solicitudes para permitirlas o denegarlas, cubriendo la prioridad de denegación implícita, autorización explícita y denegación explícita, así como la lógica de intersección para SCPs, límites de permisos y políticas de sesión.
Logra inicio de sesión único para entornos multi-cuenta y controla los niveles de acceso a cada cuenta con conjuntos de permisos. Cubre integración con IdP externo y uso de ABAC.
Se explica la detección automática de datos confidenciales (PII, información financiera, credenciales) en buckets S3 con Amazon Macie y las estrategias de protección de datos basadas en los resultados de detección.
Se explica la detección de datos confidenciales en buckets S3 con Macie, los identificadores de datos personalizados y la integración con Security Hub.
AWS Payment Cryptography es un servicio HSM gestionado especializado en la industria de pagos que proporciona cifrado y tokenización conforme a PCI DSS de forma serverless. Este artículo profundiza en los mecanismos técnicos del cifrado de pagos, incluyendo la generación de bloques PIN, la gestión de claves DUKPT y la diferenciación con CloudHSM.
Agregamos los hallazgos de GuardDuty, Inspector y Macie en formato ASFF, cuantificamos la puntuación mediante la evaluación automática de estándares de seguridad y presentamos la remediación automática con integración de EventBridge.
Explicamos las técnicas de investigación de incidentes de seguridad y análisis de amenazas utilizando Amazon Detective. Presentamos el flujo de trabajo desde la detección hasta la investigación mediante la integración con GuardDuty y el método de identificación de causas raíz mediante análisis basado en grafos.
Explicamos el monitoreo integrado de seguridad con AWS Security Hub y la automatización de la detección de amenazas mediante la integración con GuardDuty. Presentamos la visualización del estado de cumplimiento de las mejores prácticas de seguridad y la gobernanza de seguridad en entornos multi-cuenta.
Explicamos las diferencias entre la protección gratuita L3/L4 de Standard y la protección avanzada L7 de Advanced con asistencia del SRT, la protección de costos y la integración con WAF.
Explicamos el diseño y operación de la evaluación de vulnerabilidades y detección de amenazas utilizando Amazon Inspector y Amazon GuardDuty.