Nube Pública:

La nube pública es un modelo de computación en la nube donde los recursos informáticos se comparten entre múltiples usuarios. Estos recursos están alojados en infraestructuras propiedad de proveedores de servicios en la nube como Microsoft Azure, Amazon Web Services (AWS) o Google Cloud.

• Ventajas:
  • Bajo costo: Los usuarios pagan solo por los recursos que utilizan.
  • Escalabilidad: Pueden ampliar o reducir recursos según la demanda.
  • Accesibilidad: Se puede acceder a la nube pública desde cualquier lugar con conexión a Internet.
• Desventajas:
  • Menos control: Los usuarios no tienen control directo sobre la infraestructura subyacente.

Nube Privada:

La nube privada es una infraestructura de computación en la nube dedicada exclusivamente a una organización. Puede estar alojada en el data center de la organización o gestionada por un proveedor externo.

• Ventajas:
  • Seguridad y control: Los datos y aplicaciones están protegidos y no se comparten con otros clientes.
  • Latencia baja: Ideal para cargas de trabajo sensibles al tiempo.
  • Cumplimiento normativo: Las organizaciones pueden cumplir con regulaciones específicas.
• Desventajas:
  • Mayor inversión inicial: Requiere más recursos y mantenimiento.

Data Center Privado:

Un data center privado es una instalación física propiedad de una organización que es la responsable de diseñar, construir y mantener toda la infraestructura.

• Ventajas:
  • Control total: La organización decide cómo se configura y administra.
  • Personalización: Puede adaptarse a necesidades específicas.
• Desventajas:
  • Costos operativos: Mantener y actualizar la infraestructura puede ser costoso.

Desde LISOT, como empresa especializada en servicios informáticos, os podemos ofrecer cualquiera de las tres opciones, dependiendo de la necesidad y requisitos de cada cliente.

La entrada Cómo gestionar la infraestructura informática: Diferencias entre la nube publica, nube privada y datacenter privado se publicó primero en LISOT.

La nueva propuesta SFI se enfoca en la defensa cibernética basada en IA, en los avances en materia de ingeniería de software fundamental y en la promoción de una aplicación más estricta de las normas internacionales, protegiendo de este modo a los civiles de un entorno de amenazas cibernéticas cambiantes.

Empresas de todo el mundo han percibido un incremento de ataques, especialmente en sus servicios en la nube, que han sido víctima de robo de informaciones y actividades fraudulentas aprovechando las vulnerabilidades y brechas de seguridad existentes. Microsoft es consciente de que se trata de un problema que precisa de una solución urgente, especialmente al estar dirigiéndose los ataques a sistemas críticos como redes eléctricas, sistemas de agua e instalaciones sanitarias.

Los ataques cibernéticos actuales proceden de agentes financiados por Estados-nación, perfectamente cualificados y dotados de herramientas cada vez más sigilosas, sofisticadas y menos detectables. Y es que además de comprometer a dispositivos y a redes, suponen un importante riesgo para la población en general.

Ciberdefensa basada en IA

La primera solución que plantea Microsoft es la construcción de un escudo cibernético con la ayuda de la IA, protegiendo a todos sus clientes y empresas a nivel global desde su Centro de Análisis de Amenazas (MTAC). De este modo, se están ampliando las capacidades de los clientes mediante sus tecnologías de seguridad tecnologías de seguridad, las cuales permiten recopilar y analizar datos procedentes de múltiples fuentes.

La IA se convierte en una herramienta innovadora que permite a las organizaciones eliminar todo tipo de amenazas de manera eficiente a gran velocidad y con gran eficiencia, recomendándose Security Copilot como un método eficaz capa de combinar un modelo de lenguaje avanzado con un modelo de seguridad específico respaldado por conocimientos en IA en materia de amenazas cibernéticas. Solo así se alcanzará una protección más sólida.

Avances en la ingeniería de software

El objetivo de Microsoft no es otro que transformar el método en el que se desarrollan programas, modificando los métodos de automatización e IA y combinándolos con un análisis de código seguro. Además, gracias a GitHub Copilot se podrá auditar y probar el código de fuente frente a las amenazas más avanzadas.

De igual modo que sucediese con Trustyworthy Computing hace un par de décadas, las nuevas iniciativas de la ingeniería de software conseguirán reunir a personas y grupos de Microsoft para evaluar e innovar en el ámbito de la ciberseguridad.

En 2024 se prevé implementar configuraciones predeterminadas más seguras. De este modo, se conseguirá la autenticación multifactor y la unificación de los formatos de acceso a sus servicios y plataformas. Todo ello a disposición de los desarrolladores de apps que no sean de Microsoft y de una forma completamente gratuita.

También cobra valor la migración de datos a un sistema de administración de claves empresariales y de consumidores automatizado. Para ello, se emplearán módulos de seguridad de hardware (HSM). Además, se espera reducir los tiempos de respuesta a las amenazas en la nube en torno al 50%.

Promoción de normas internacionales

Para Microsoft es esencial establecer una cooperación internacional que garantice, con normas clave, la seguridad cibernética global. Para ello, los países deberán comprometerse a no distribuir malware en redes de infraestructura crítica y a no a tentar contra la confidencialidad y la seguridad de los servicios en la nube con fines d espionaje. Así pues, habrá que responsabilizar a quienes crucen las líneas rojas y violen las normas comunitarias.

Pese a las prácticas eficientes de higiene cibernética, los atacantes cada vez siguen técnicas más sofisticadas y agresivas que pueden derivar en grandes pérdidas económicas y de prestigio.

Para Microsoft, las empresas tecnológicas y el sector privado desempeñan un papel clave en la protección cibernética, debiendo estar concienciados del valor que cobra la actividad de los estados-nación en pro de una ciberseguridad que es comprendida como una responsabilidad compartida. Solo así se logrará construir un futuro más seguro.

La entrada Microsoft refuerza sus soluciones de ciberseguridad con nuevas herramientas de IA se publicó primero en LISOT.

La mejor defensa ante la ciberdelincuencia es la PREVENCIÓN. Esa prevención empieza conociendo nuestros sistemas realizando un test de intrusión o Pentesting.

¿Qué es un test de intrusión?

El servicio de Basic Penetration Testing (BPT) es el proceso de evaluar el estado de seguridad actual de un sistema o red de una organización para encontrar vulnerabilidades que un atacante podría explotar para obtener acceso no autorizado a los sistemas y la información. En definitiva, detectamos, categorizamos y proponemos pautas de corrección de vulnerabilidades conocidas o desconocidas en los sistemas de hardware o software.

Objetivos del Pentesting

• Recopilar información pública de la organización relacionada con TI e identificar los activos de tecnología de la información (TI) para producir una lista de vulnerabilidades conocidas presentes en los sistemas y aplicaciones ayudando a mitigarlas antes de que puedan ser explotadas.
• Simular un evento de hacking real para probar la solidez de sus sistemas, sus defensas y las medidas de seguridad existentes.
• Evaluar el estado del sistema de TI frente a ataques.

Alcance de un test de intrusión

Realizamos nuestros Ensayos de Penetración en dos formatos:

• Pruebas de penetración básica externas: Realizadas de forma remota sin acceso interno por nuestros expertos en seguridad. El objetivo es identificar y, clasificar las debilidades de los activos del cliente públicos en internet (los activos de TI de una organización) como servidores web, puertas de enlace de red, VPN, servidores de correo electrónico y firewalls.
• Pruebas internas de penetración básica: Realizadas desde las instalaciones de la organización, identificamos y clasificamos amenazas y vulnerabilidades en la red interna desde el punto de vista de alguien que ya tiene acceso a la red de la organización, como un empleado, colaborador o invitado. También ayuda a una  organización  a  determinar  su  cumplimiento de las políticas, estándares y procedimientos globales o locales en términos de seguridad de la información, protección de datos y segmentación de la red.

Procedimiento del test de intrusión:

Utilizaremos una combinación de métodos de escaneo automatizados y manuales y empleando herramientas comerciales  y  disponibles  públicamente,  así como scripts personalizados  y aplicaciones desarrolladas por LISOT.

El proceso de prueba de penetración consta de los siguientes pasos:

• Reconocimiento: recopilación de datos preliminares sobre la organización objetivo. Los datos se recopilan con el fin de planificar mejor el ataque. La información recopilada en este paso incluye intervalos de direcciones IP, direcciones de correo electrónico públicas, sitios web, etc.
• Análisis y enumeración: recopila más información sobre los sistemas conectados, así como la ejecución de aplicaciones y servicios en la red de la organización. También se recopila información como el tipo y la versión de sistemas operativos, cuentas de usuario, direcciones de correo electrónico, la versión del servicio y, números de versiones entre otros.
• Identificar vulnerabilidades: en función de la información recopilada en las dos fases anteriores, identificaremos los servicios vulnerables que se ejecutan en su red o las aplicaciones que tienen vulnerabilidades conocidas.
• Explotación: Usamos código fácilmente disponible o creamos uno personalizado para aprovechar las vulnerabilidades identificadas para obtener acceso al sistema objetivo.
• Escalada de privilegios: en algunos casos, la vulnerabilidad existente proporciona acceso de bajo nivel, como el acceso normal de los usuarios con privilegios limitados. En este paso, intentaremos obtener acceso administrativo completo en la máquina.

¿Por qué realizar un Pentesting?

La mejor forma de conocer cuán segura es una web, red o sistema informático de una compañía es poniéndolo a prueba. Por eso, cuando se contrata un servicio de test de intrusión, el auditor actúa con técnicas similares a las de un ciberdelincuente que realiza un ataque con malas intenciones. Es decir, actúa como si quisiera robar información o actuar de forma ilegítima. De esta manera, pone a prueba los sistemas y descubre hasta qué punto están preparados para afrontar un ataque real de tipo intrusivo.

¿Te interesa poner a prueba tus sistemas? Contáctanos para realizar un test de intrusión.

La entrada El test de intrusión: la mejor defensa ante un ciberataque se publicó primero en LISOT.

1.- Ubicación de los usuarios del sistema:

Debemos analizar si los empleados de nuestra empresa están ubicados mayoritariamente en una sola oficina, en varias oficinas o están dispersos entre la geografía del planeta.

2.- Aplicaciones que gestionan los datos a los que necesitamos acceder:

Probablemente nuestra empresa utilizará más de una aplicación para tratar los datos que utilizamos, y hemos de saber si están desarrollados en una plataforma tecnológica que es capaz de trabajar a través de Internet:

• Aplicativo de gestión interno (ERP)
• Correo
• Otras aplicaciones

3.- Líneas de comunicaciones que disponemos para acceder a los datos:

Para poder trabajar en la nube, un requisito imprescindible es disponer de una buena línea de comunicaciones en todos los lugares desde los que debamos acceder a los datos.

Hay que tener presente que la línea de comunicaciones que tengamos en la oficina se dividirá entre el número de usuarios que precisen acceder a los datos.

(Con una conexión cuyo ancho de banda sea de 1024 Kbps (1 Mega) se podrá descargar en ese intervalo de tiempo (1 segundo), un archivo que ocupe en disco 122 KBytes.)

Con estas tres variables podremos determinar si a nuestra empresa le es aconsejable implantar una solución Cloud.

Como hemos visto en artículos anteriores, podemos realizar una implantación híbrida, subiendo a la nube aquella parte que es más fácil gestionar desde la nube (como por ejemplo el correo) y posteriormente ir migrando el resto de aplicaciones.

Una vez determinemos que nuestra empresa sí es susceptible de migrar a la nube, entonces hemos de decidir si queremos un cloud privado (en un datacenter con recursos exclusivos para nosotros) o un cloud público, en donde la infraestructura está compartida (como Azure, AWS,…)

Desde LISOT, como empresa especialista en servicios de Cloud Computing y en dar soporte informático a empresas, podemos ayudaros a discernir si vuestra empresa es susceptible de migrar a la nube y con qué características.

La entrada Cómo determinar si la solución Cloud es conveniente para nuestra empresa se publicó primero en LISOT.

A la hora de decidir realizar el salto a la nube, tenemos diferentes opciones, en función de qué parte/s de nuestra infraestructura informática migramos a la nube.

En una infraestructura informática disponemos de los siguientes puntos principales:

1. Gestión de permisos de acceso a los recursos, documentos, archivos (Directorio activo)
2. Correo electrónico
3. Carpetas de datos – archivo
4. Aplicativo de gestión – ERP – CRM
5. Copias de seguridad

Combinando estas 5 variables podemos configurar tres grandes soluciones:

• Solución 100% CLOUD:
  • Directorio activo: control de usuarios y accesos
  • Correo
  • Carpetas de datos
  • Aplicativo ERP – CRM
  • Copias de seguridad

• Solución híbrida: 80 % CLOUD – 20 % local:
  • En el CLOUD
    • Directorio activo
    • Carpetas de datos
    • Correo
  • En local (on premise)
    • Aplicativo ERP – CRM
    • Copias de seguridad
      
• Solución híbrida: 20 % CLOUD – 80 % local:
  • En el CLOUD
    • Directorio activo
    • Correo
  • En local (on premise)
    • Directorio activo
    • Carpetas de datos
    • Aplicativo ERP – CRM
    • Copias de seguridad

La entrada Opciones de implantación de una infraestructura informática en la nube se publicó primero en LISOT.

Además de disponer de nuestro propio Datacenter, LISOT está certificado para ofrecer servicios hospedados en la nube:

Desde febrero de 2012, LISOT posee la competencia SILVER de Microsoft de SMALL AND MIDMARKET CLOUD SOLUTIONS.

Desde junio de 2018, LISOT está certificada por VEEAM como partner SILVER para configurar, gestionar y hospedar las copias de seguridad de sus clientes tanto en su propio DATACENTER como en MICROSOFT AZURE y en AMAZON WEB SERVICES (AWS).

La entrada Lisot, experto certificado en servicios en la nube se publicó primero en LISOT.

Antes de plantearnos un proceso de migración de nuestro sistema a la nube, hemos de saber que existen tres grandes familias de servicios en la nube.

Infraestructura como Servicio (IaaS: Infraestructura as a Service)

• Dirigido principalmente para perfiles técnicos como administradores de sistemas.
• Engloba la capacidad de computación de servidores, cabinas de almacenamiento y elementos de conectividad y seguridad. Es decir, toda la infraestructura de procesamiento informático que tradicionalmente el hardware ofrecía y que ahora el proveedor configura como un pool de recursos para el cliente.
• El cliente ejerce un control casi total, porque él es quien configura todo el entorno IT a la medida que requieren sus aplicaciones.
• Un ejemplo sería contratar a un proveedor de soluciones un servidor en un datacenter y sobre éste nosotros le instalamos el sistema operativo y la aplicación que precisemos.

Plataforma como Servicio (PaaS)

• Nos referimos a la combinación del hardware y software que requieren los desarrolladores, diseñadores web y agencias interactivas a la hora de poner en marcha sus proyectos tecnológicos y aplicaciones.
• Además de la infraestructura necesaria para suministrar la capacidad de computación, se ofrecen como un servicio los sistemas operativos, bases de datos y pilas de desarrollo.
• Estas plataformas son administradas por el proveedor, de modo que el usuario puede centrarse en la programación e implementación de sus proyectos y contar con entornos IT complejos, sin necesidad de asumir las tareas de administración de sistemas, que están en manos del proveedor de soluciones Cloud.
• Un ejemplo sería que el desarrollador de nuestra página web contrata a un proveedor de servicios un servidor WORDPRESS o JOOMLA para crear y operar nuestra web corporativa.

Software como Servicio (SaaS)

• Se refiere a cualquier aplicación o programa listo para utilizar por el usuario final, al que se suele acceder vía web, sin instalarlo en local.
• El proveedor gestiona el desarrollo, mantenimiento, actualizaciones, copias de seguridad, etc. 
• El usuario sólo tiene que utilizarlo y sacarle partido a sus características.
• Un ejemplo es la utilización de servicios de correo como GMAIL, OUTLOOK.COM, …

La entrada Cloud Computing: Conceptos básicos se publicó primero en LISOT.

Ventajas de un servicio CLOUD:

• El proveedor de los servicios en la nube tiene mejores recursos, ya que se especializa en este servicio, pudiendo adaptarse mejor a las posibles amenazas de seguridad informática.
• Los datos estarán protegidos y vigilados las 24 horas y los 365 días del año no tan solo de ataques sino de posibles pérdidas como pueden ser que se rompa un equipo.
• Las herramientas de seguridad probablemente sean más potentes y eficaces en una empresa especializada.

Podríamos decir que la nube es un lugar seguro si se utilizan los métodos adecuados

¿Cómo protegernos en la nube?

1. Utilizar diferentes contraseñas para cuentas diferentes: La utilización de diferentes contraseñas en el gran número de cuentas que puede tener una organización es fundamental (hay aplicaciones que nos pueden ayudar a gestionarlas para que no se nos olviden)
2. Emplear la autenticación de dos factores: Además de introducir la contraseña se deberá proporcionar el código de verificación que recibes en el dispositivo móvil.
3. Utilizar un email diferente para cada función: Utilizar una cuenta diferente te ayudara a que los hackers tengan el acceso mucho más complicado.
4. Realizar un backup físico de los datos: Guarda los datos importantes y los que te permitan el funcionamiento de la empresa en disco duro externo o servidor, previniendo así un posible fallo de la nube.
5. Contraseñas fuertes y seguras: Crea una contraseña fuerte y no la repitas en otras cuentas. Evita utilizar fechas o nombres.

Mantener la información a salvo de una manera segura es vital para las empresas para poder funcionar de manera correcta, ya que la información es uno de los aspectos más valiosos de la empresa; protegerla es una de las claves para que la empresa siga creciendo.

Para contratar un servicio empresarial en la nube debe asegurarse que cumpla con los requisitos de seguridad.

La entrada ¿Es segura la nube? se publicó primero en LISOT.