Seguridad en la Nube

PLANTEAMIENTO DEL PROBLEMA

La computación en la nube es el nuevo paradigma en la sociedad del conocimiento, la información se ha convertido en el bien más preciado puesto que circula por todas partes, tales como dispositivos móviles, de almacenamiento, libros, vallas, entre otros; pero todo lo anterior a lo largo del tiempo ha perdido terreno por la digitalización de los datos y a su vez la migración de los mismos a plataformas Web. Con todo lo anterior, ha sido necesario concentrar la gestión de la información en grandes plataformas o centros de datos, que debido a la creciente demanda y necesidad no solamente son ofertados a particulares sino también a grandes empresas, que a su vez requieren asegurar que dichos recursos serán alojados en nubes de máquinas que aseguren al usuario:

 Privacidad de los datos: Al permitir que los datos sean alojados en la nube, se está expuesto a que la información quede alojada en cualquier servidor que puede representar un riesgo a la confidencialidad de los datos e incurrir en problemas legales.

 Seguridad: Es necesario que los proveedores de los servicios en la nube, cuenten con las medidas necesarias de seguridad para evitar ataques externos como robos de datos o corrupción de los mismos, así como también auditar continuamente los sistemas de información.

 Interoperabilidad: Se debe contar con que los servicios tienen una integración entre si y están en la capacidad de operar con sistemas ya existentes.

 SLA: Estricto cumplimiento de los acuerdos de niveles de servicio.

 Aplicaciones: Tener una visibilidad de la información como ambientes distribuidos.

Con el fin de realizar lo citado anteriormente, se ha pensado en aplicar los Agentes de seguridad para el acceso a la nube (CABS: Cloud Acces Security Broker) los cuales protegen al cliente y a los usuarios, de ataques orientados a la información, basados en la implementación de unas políticas de seguridad que serán ubicadas entre el proveedor de los servicios cloud y los usuarios. La solución será implementada en una plataforma educativa la cual por la gran demanda de estudiantes, presenta saturación de los espacios destinados para la información y se requiere poder compartir datos en espacios seguros y que a su vez con los servicios proporcionados por el Cloud permitan la actualización en línea de la información, contando con el respaldo de los debidos registros de auditoría a la plataforma, alertas de seguridad, reportes, control de acceso y prevención de fuga de información.

JUSTIFICACIÓN DE LA INVESTIGACIÓN

Los servicios de Cloud Computing requieren de una arquitectura de hardware y software con el fin de suministrar el servicio a un determinado número de usuarios, que en éste caso particular harán uso de la plataforma CLOUDSOC, la cual será adaptada a los servicios web que brinda la institución educativa, con el fin de brindar la seguridad necesaria a la información. Dependiendo del servicio proporcionado, algunos elementos son configurados por el proveedor del servicio o pueden dejarse a la disposición del usuario. Los dos componentes clave para el funcionamiento de la arquitectura Cloud es el Front – end y el Back – end, el primero de ellos corresponde a lo que puede ver el cliente, es decir la interfaz de usuario; el segundo es toda la arquitectura de servidores, dispositivos de almacenamiento a cargo de quien provee el servicio; es menester recordar que CASB es un intermediario entre cliente – servidor.

En resumen para que técnicamente la propuesta sea viable se requiere:

- Del cliente:

o Software de virtualización con un sistema operativo determinado

o Conexión de la máquina al servidor mediante redes virtuales

o Acceso a la plataforma Web de la entidad educativa

- Del Proveedor:

o Establecer las configuraciones necesarias del Software para satisfacer la necesidad en particular.

En cuanto a la viabilidad económica del proyecto será necesario tener en cuenta lo siguiente:

 Costos de instalación, configuración, mantenimiento, actualización del software.

 Costo del hardware, sistemas de respaldo entre otros.

 Centro de datos, UPS

 Personal de soporte para el software del sistema y entrenamiento del personal funcional.  Copias de seguridad, actualización y configuraciones del sistema.

Todo lo anterior debe ser contemplado en el momento de hacer una estimación detallada de costos y planificación de actividades.

El recurso humano utilizado para la implantación de la solución, debe contar con un conocimiento avanzado en ITIL puesto que requiere conceptos y prácticas para la gestión de servicios de tecnologías de la información y las operaciones relacionadas con la misma. Además se garantizará una gestión de los servicios IT de manera eficiente, gracias al control y una mejora continua del servicio. Por otro lado se requiere personal especializado en el control de políticas de seguridad en la Web, prevención de ataques, instalación del software necesario e integración de plataformas, además de los recursos necesarios para hacer los entrenamientos a nivel funcional y técnico.

El impacto que genera la utilización de la solución corresponde a un mejor aprovechamiento de los recursos tecnológicos, agilidad en los procesos, disminución de costos en la infraestructura y un aumento en la confiabilidad hacia la institución educativa, puesto que la información reposará de manera segura y confiable, recordando que esta última es el bien más preciado en la actual sociedad del conocimiento.

OBJETIVOS DE LA INVESTIGACIÓN

GENERAL

Desarrollar una guía y realizar la implementación de agentes de seguridad de acceso a la nube en una institución educativa para mejorar sus procesos de manejo de la información y tener en cuenta las políticas de seguridad en la nube vigentes.

ESPECÍFICOS

 Establecer las características necesarias de hardware y software para la implementación de la solución con CABS.

 Conocer los beneficios y desventajas de implementar una solución con CABS.

 Indagar acerca de las políticas de seguridad que se deben cubrir con el uso de cloud computing.

 Implantar la solución CLOUDSOC en la plataforma educativa

PREGUNTAS DE LA INVESTIGACIÓN

 ¿Quiénes serán los principales beneficiados con la implementación de la tecnología?

 ¿Qué manejo debe darse a la información que está expuesta en la plataforma de la institución educativa?

 ¿Qué tecnología o tecnologías se usarán para darle solución al problema?

 ¿Cómo garantizar que los beneficiarios de la tecnología hagan un buen uso de la misma?

 ¿Cuál es la viabilidad técnica y económica de la propuesta?

 ¿Los componentes con los que cuenta la tecnología son fácilmente integrables con lo dispuesto en la plataforma web d la entidad educativa?

TERMINOLOGÍA A UTILIZAR (GLOSARIO DE TÉRMINOS)

Díaz (2017), plantea el siguiente glosario para cloud computing.

API: “Application Programming Interface”. Es una interfaz que permite a las aplicaciones de terceros, solicitar datos y tenerlos de vuelta en un formato predefinido y de acuerdo a normas específicas. Constituye el mecanismo más utilizado de comunicación entre aplicaciones.

App: “Application software”. Es el término utilizado comúnmente como abreviatura de aplicación informática, la cual se define como un programa informático diseñado para ayudar al usuario a realizar una serie de tareas específicas. Además, las aplicaciones pueden ser estándar o desarrollados a medida para cubrir las necesidades particulares de un usuario en concreto.

BaaS: “Backend as a Service”. También conocida como MBaaS (Mobile Backend as a Service), básicamente se refiere a la conexión entre aplicaciones móviles y servicios en la nube.

Backup: Copia de seguridad que se realiza sobre ficheros o aplicaciones contenidas en un ordenador con la finalidad de recuperar los datos en el caso de que el sistema de información sufra daños o pérdidas accidentales de los datos almacenados. Los dispositivos más empleados para llevar a cabo la técnica de backup pueden ser cintas magnéticas, DVD, discos duros, discos ópticos, USB o hasta incluso la implementación de un servicio remoto de copia de seguridad.

BPM: “Business Process Management”. Gestión de Procesos de Negocio, el BPM se refiere al tipo de gestión empresarial consistente en la integración de los procesos, las personas y los sistemas tecnológicos de la compañía, en aras de facilitar el desarrollo de las estrategias de negocio de la entidad.

Cloud Computing: Es un nuevo concepto tecnológico que se basa en que las aplicaciones software y los equipos hardware con capacidad de proceso y almacenaje de datos no están en el PC o equipos del usuario, sino que están ubicado en un Datacenter que permite a los usuarios acceder a las aplicaciones y servicios disponibles a través de Internet o como se conoce coloquialmente a través “la Nube” de Internet, de una forma sencilla y cómoda.

Clúster: Conjunto de servidores que trabajan como una única máquina mejorando el desempeño de las transacciones y operaciones implantadas en este sistema.

Colocation: Servicio ofrecido por las empresas que proveen centros de datos en sus instalaciones donde se instalan servidores y sistemas de conectividad para proveer un área de procesamiento o almacenamiento fuera de las instalaciones del negocio.

CPD: Centros de Procesamiento de Datos, ubicación física donde se concentran todos los equipos electrónicos necesarios para el procesamiento de la información de una organización.

CRM: “Customer Retationship Management”. Gestión de la Relación con el Cliente, son herramientas informáticas dedicadas a la gestión integrada de información sobre clientes. Estas aplicaciones permiten, desde almacenar y organizar esta información, hasta integrar, procesar y analizar la misma.

DaaS: “Desktop as a Service”. Modelo de negocio en el que el proveedor facilita una solución de escritorio remoto. Esto permite a cada usuario disponer del mismo escritorio sea cual sea el terminal utilizado, y permite reducir la cantidad de licencias necesarias para mantener distintos dispositivos (PC, portátil, PC en casa,…), e incorpora las medidas de seguridad necesarias para que el acceso a este tipo de entornos sea seguro.

Data Center: Un centro de almacenaje de datos y que provee servicios de negocio que entrega de forma segura aplicaciones y datos a usuarios remotos a través de Internet.

End to End: extremo a extremo, se trata de soluciones cloud basadas en el principio del end-to-end, el cual establece que las funciones específicas de las aplicaciones deben residir en el host final de una red y no en los nodos intermedios, siempre y cuando puedan ser implementadas completa y correctamente en dicho host final.

Grid Computing: Tecnología que permite la coordinación de todo tipo de recursos heterogéneos (cómputo, almacenamiento, aplicaciones, etc., de diferentes arquitecturas), trabajando de forma descentralizada. Supone el uso integrado de equipamiento de alto rendimiento, redes, y bases de datos ubicadas en distintas instituciones. Suele utilizarse este modelo por universidades o laboratorios de investigación, que se asocian, obteniendo así resultados sinérgicos.

IaaS: “Infraestracture as a Service” o “Infraestructura como Servicio”. Con una Infraestructura como servicio (Iaas) lo que se tiene es una solución basada en virtualización en la que se paga por consumo de recursos: espacio en disco utilizado, tiempo de CPU, espacio en base de datos y transferencia de datos.

ISO27001: Estándar para la seguridad de la información. Especifica los requisitos necesarios para establecer, implantar, mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) según la metodología del Plan-Do-Check-Act (Planificar-Hacer-Verificar-Actuar).

ITIL: “Information Technology Infrastructure Library”, es una recopilación de las mejores prácticas en la industria de las tecnologías de la información, en cuanto a los procesos referentes a la provisión de servicios de tecnología de información a las empresas y organizaciones.

Mainframe: Computadora de gran capacidad de cómputo y costosa, utilizada principalmente en empresas que necesitan procesar gran cantidad de datos o soportar gran cantidad de usuarios. Puede funcionar durante largos períodos de tiempo sin ninguna interrupción, pudiéndose reparar en funcionamiento.

Máquina Virtual: Ordenador que está construido utilizando recursos virtualizados. Este sistema se comporta a nivel lógico de manera idéntica a la de un ordenador físico, de modo que el Sistema Operativo o aplicaciones que corren sobre él no detectan la diferencia.

Nube Pública: Hace referencia al modelo estándar de Cloud Computing, en donde el prestador de estos servicios pone a disposición de cualquier usuario en Internet su infraestructura.

Nube Privada: Empleando los mismos preceptos que el Cloud Computing tradicional, ofrece los mismos servicios pero en la propia infraestructura del cliente.

Nube Híbrida: Es una combinación de las mejores características de los modelos de Cloud Privado y Público.

On-demand: Término referido al concepto de ―bajo demanda. Dentro del ámbito tecnológico se utiliza para expresar la flexibilidad de los productos cloud, basados en un modelo de pago por uso y en los cuales el proveedor pone a disposición del cliente todos sus recursos, pudiéndolos usar bajo petición previa.

On-premise: Modelo referido al esquema tradicional de licenciamiento, es decir la empresa adquiere las licencias que le otorgan derecho de uso de los sistemas del proveedor, los integra en sus propias instalaciones y mantiene sus datos dentro de su propia infraestructura de tecnología.

PaaS: “Platform as a Service” o “Plataforma como Servicio”. Es el resultado de la aplicación al desarrollo de Software del modelo SaaS. El modelo PaaS abarca el ciclo completo para desarrollar e implantar aplicaciones desde Internet.

RaaS: “Robot as a Service”, Robot como Servicio, es la entrega como un servicio, de un software que permite a un usuario dar de alta a un robot para realizar ciertas acciones. La utilización de este tipo de servicios cloud se centra en su uso para dar asistencia médica, para el control remoto de equipos de minería, para unidades militares autónomas, para líneas de fabricación industrial, para exploración espacial, etc.

SaaS: “Software as a Service” o “Software como Servicio”. Es aquella aplicación ofrecida por su creador a través de Internet para su utilización por varios clientes manteniendo la privacidad de sus datos y la personalización de la aplicación.

SLA: “Service Level Agreement” o “Acuerdo de Nivel de Servicio”. Es un protocolo plasmado normalmente en un documento de carácter legal por el que una compañía que presta un servicio a otra se compromete a hacerlo bajo determinadas condiciones y con unas prestaciones mínimas.

Virtualización: Es el concepto que describe cómo en un solo computador físico se coordina el uso de los recursos para que varios sistemas operativos puedan funcionar al mismo tiempo de forma independiente y sin que ellos (los SO) sepan que están compartiendo recursos con otros sistemas operativos.

VMWare: Es el nombre que lleva el software de virtualización de servidores (Virtual Machine), por extensión de la marca de la empresa que lo facilita. Se trata de un sistema de virtualización por software, en el que se emula un sistema físico (ordenador) con unas características de hardware determinadas. VMWare permite ejecutar varios sistemas operativos de forma independiente sobre una infraestructura física.”

IMAGEN DEL MAPA CONCEPTUAL

PLANEACIÓN DE LA SOLUCIÓN

1. Cronología	La implantación de la solución debe darse durante uno de los periodos de receso de la institución educativa con el fin de no impactar la operación de la misma.
2. Axiomas	Los grupos de investigación de la UNAD como GAUNE, DAVINCI, GIDESTEC, como también las grandes empresas como SYMANTEC, Google, IBM entre otras. - Seguridad extra en la nube una necesidad para las empresas - CloudSOC: El CASB adecuado para la empresa
3. Método	- Realizando una investigación detallada de la infraestructura tecnológica con la que cuenta la institución, con el fin de hacer la integración de los sistemas. - Implementando la plataforma Symantec CloudSOC, la cual permite proteger los datos frente a las amenazas en aplicaciones en la nube, a través del uso de CASB. - Al implantar la solución se tendrá una mayor escalabilidad y solucionará problemas de acceso a la información y almacenamiento de la misma.
4. Ontología	Desarrollar una guía para la implementación de agentes de seguridad de acceso a la nube en una institución educativa para mejorar sus procesos de manejo de la información y tener en cuenta las políticas de seguridad en la nube vigentes.
5. Tecnología	CASB es un conjunto de herramientas de seguridad que responden a los riegos derivados de hacer uso de software almacenado y gestionado por servidores de terceros. Los agentes de seguridad para el acceso a la nube son intermediarios entre los usuarios y las aplicaciones almacenadas en la nube, con el objetivo de proveer seguridad, principalmente haciendo uso de servicios proxy y gestores de autenticación. Haciendo uso de CLOUDSOC, se pone en marcha un intermediario para implantar las políticas de seguridad necesarias con el fin de proteger los datos e información general de los usuarios, generar estadísticas de uso y prevenir posibles vulnerabilidades de seguridad.
6. Teleología	- Consultar información de forma más ágil - Seguridad en los datos almacenados - Control de acceso - Estadísticas de uso. - Disminuir los problemas de congestión de la plataforma educativa.
7. Topografía	Plataforma virtual de la institución educativa los libertadores
8. Ecología	Debido a la naturaleza del Cloud Computing, se realiza un gran aporte a nivel ambiental, puesto que se verán reducidos en gran manera el uso de equipos físicos, energía, emisiones de carbono por la gran cantidad de residuos tóxicos que generan los elementos de tecnología.
9. Etiología	Se busca reducir de manera significativa el riesgo de tener grandes cantidades de información en una plataforma web que es susceptible de ataques malintencionados con el fin de robar información confidencial, alterar registros de calificaciones y disminuir en cierta manera la saturación de la plataforma al consultar información.
10. Experiencia	Symantec es una corporación multinacional estadounidense que desarrolla y comercializa software para grandes compañías, pero cuya especialidad está dada a la seguridad informática. De acuerdo al último reporte de “The Forrester Wave” CLOUDSOC, se posicionó como la marca líder en soluciones CASB.

martes, 12 de diciembre de 2017

Evaluación Final

Integrantes:

- Juan David Rodríguez

- Iván Darío Medrano

- Miguel Alexander Arias

- Jennifer Posada

- Angélica María Cuero

Productos Entregados

- Artículo

- Propuesta ampliada

- Lección evaluativa: Clic Aquí

martes, 28 de noviembre de 2017

TRABAJO COLABORATIVO 3

Integrantes:

- Juan David Rodríguez

- Iván Darío Medrano

- Miguel Alexander Arias

- Jennifer Posada

- Angélica María Cuero

PRODUCTOS ENTREGADOS

- Mapa Conceptual y Cronograma

- Ensayo

- Fuente mapa conceptual

- Propuesta ampliada

domingo, 5 de noviembre de 2017

Integrantes

Integrantes:

Jennifer Posada Pinedo

Angélica María Cuero T.

Trabajo de Grado - (Colaborativo 2)

Trabajo Colaborativo 2: Seguridad en la Nube, pilar de un sistema orientado al usuario

viernes, 6 de octubre de 2017

Integrantes

Integrantes:

Juan David Rodríguez - Iván Dario Medrano -

Angélica María Cuero T. -

Trabajo de Grado - (Colaborativo I)

jueves, 5 de octubre de 2017

Información acerca de la Tecnología de Punta

CUADRO CON SINTOMAS, CAUSAS, PRONÓSTICO Y CONTROL AL PRONÓSTICO

TECNOLOGÍA DE PUNTA PARA RESOLVER EL PROBLEMA

(Cloud Access Security Broker)

Buscan proteger contra ataques orientados a la información y los usuarios

Refuerzan las políticas de seguridad usadas en la nube.

Funcionan como intermediarios entre las aplicaciones de la nube y los usuarios

Permite registros de auditoría, alertas de seguridad o reportes.

Proporciona control de acceso, cifrado, evita la fuga de información

Protección en diferentes fases:

Máquinas que se conectan a la red

Red

Proveedor de Cloud

https://www.welivesecurity.com/la-es/2014/09/24/seguridad-nube-empresas-que-son-casb/