Migramos todo a AWS: ¿hay alguna checklist de seguridad que podamos aplicar por nuestra cuenta?

Tres puntos urgentes para hacer hoy mismo: 1) Configurar las alertas de facturación (Billing Alerts); si hay un intento de minería de criptomonedas no autorizado, os enteraréis antes de que la cuenta genere miles de libras de factura. 2) Verificar que los registros de CloudTrail estén activos en todas las regiones. 3) Confirmar que los respaldos automáticos de la base de datos estén funcionando.

Al manejar datos financieros de clientes bajo la normativa de protección de datos del Reino Unido (UK GDPR), la responsabilidad legal recae directamente en los directivos de la empresa. Aunque no contratéis un pentest completo externo, os recomiendo al menos documentar estas comprobaciones de seguridad que hagáis con fecha y capturas de pantalla.

El año pasado, al revisar tras una migración similar, nos dimos cuenta de que el programador externo se había olvidado una clave API con permisos de administrador en su ordenador local. Esa clave estuvo expuesta durante 4 meses enteros. De milagro no hubo ninguna filtración, pero desde entonces el primer lunes de cada mes revisamos las claves IAM.

Entrad a la consola de IAM y descargad el 'Credential Report'. Este único archivo os da en una sola tabla qué usuario no activó MFA, cuándo se usó por última vez cada clave de acceso y cuántos días tienen las contraseñas. En los primeros 10 minutos detectáis los puntos ciegos más grandes desde ahí.

Si desactivamos del todo el acceso público en S3 ¿se verán afectados los PDF de las facturas de los clientes? Como se descargan los documentos a través de la aplicación, no me queda claro si los usuarios tendrán un error al cerrar esa opción.

La regla general para el acceso a S3 es esta: los archivos no deben estar abiertos directamente a internet. Al mostrar un archivo al cliente, vuestra aplicación genera URLs firmadas temporales (presigned URLs) en segundo plano. Así el bucket de almacenamiento permanece cerrado para todo el mundo, pero la app le da al usuario autorizado un enlace de descarga seguro de 5 minutos.

Todo el mundo habla de activar herramientas de seguridad y sistemas de logs, pero nadie habla del coste. Si activáis a ciegas los servicios de seguridad y monitoreo en todas las regiones, a fin de mes pagaréis más de factura de logs que por el servidor principal. Activadlo solo en la región activa que uséis.

Lo primero que debéis hacer es entrar a la página de Trusted Advisor. Incluso la versión gratuita saca alertas rojas sobre vulnerabilidades básicas, puertos abiertos y el estado de MFA en la cuenta root. Resolver los puntos rojos de ahí ya os quita la mayor parte del riesgo.

Resumen breve para nuevos usuarios: Si regañas las falsas alarmas nadie volverá a reportar.

También me gustaría saber si alguien lo hace de otra manera.

A nosotros nos pasó esto. Todos los que se apresuran con checklist de seguridad AWS se atascan en el mismo punto.

No confíes en una sola medida; ve capa por capa. Si escribís el resultado aquí, también servirá de ayuda a otros.

Perdona pero esto no es válido en todos los casos. Todos los que se apresuran con checklist de seguridad AWS se atascan en el mismo punto.

Lo dejo como nota por si sirve.

Gracias me ha servido de mucha ayuda.

Hace dos años viví exactamente lo mismo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Voy a detallar un poco el aspecto técnico. No confíes en una sola medida; ve capa por capa.

Ha sido una buena idea abrir este hilo. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Las decisiones apresuradas son las que hay que corregir seis meses después. Esta es mi opinión no lo escribo como una verdad absoluta.

Estoy siguiendo esto.

A mí me pasó justo al revés, por eso escribo. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Eso es todo, disculpa si me he extendido demasiado.

El punto que más se pasa por alto sobre checklist de seguridad AWS es este: Que todo el mundo haga algo no significa que sea lo correcto.

Esta es mi opinión, no lo escribo como una verdad absoluta.