Tras migrar todo a la nube, ¿qué herramientas de evaluación de seguridad tienen sentido para estructuras pequeñas?

Puedes correr herramientas open source como una tarea cron semanal en una máquina virtual y mandar los resultados a tu correo. Las herramientas que auditan reglas de gestión de identidades y accesos (IAM) detectan muy bien claves de servicio sin usar y roles con permisos demasiado amplios. Para empezar, este nivel sobra.

Antes de buscar herramientas caras, revisa estas tres cosas ya mismo: 1) ¿Está cerrado el acceso de lectura público en tus depósitos de objetos? 2) ¿Los puertos de administración de servidores y bases de datos están abiertos solo a la IP fija interna? 3) ¿Es obligatorio el 2FA para entrar al panel de administración? Esto ya elimina la mayor parte del riesgo.

Nosotros pagamos 12.000 dólares al año por una herramienta enterprise y el primer mes nos dio pánico porque tiró 600 alertas de infracción. Luego vimos que una era solo por un tag que le faltaba a un servidor de pruebas. En equipos pequeños, herramientas con tanto ruido frenan el trabajo. Ir paso a paso con las consolas nativas es mucho más sensato.

los formularios de auditoría de clientes suelen asustar, pero te soy sincero, no buscan nombres de software caros. quieren ver documentación que demuestre que escaneas tu infraestructura periódicamente y cómo solucionas los hallazgos.

instala escáneres open source y saca el reporte en html. dile al cliente q hacen esaneos automáticos de seguridad semanales a la infraestructura y mándale ese resumen, pa la mayoría de clientes corporativos es evidencia más q suficiente.

Nota: esto es mi experiencia, puede no aplicar a todos.

¿Tu cliente está sujeto a alguna regulación específica? ¿Manejan datos de salud o tarjetas de crédito? Si no hay una exigencia legal concreta, meterse en herramientas caras de terceros solo va a ahogar tu presupuesto sin necesidad.

Activa el centro de seguridad nativo de tu proveedor de nube, ajusta las reglas y pasa una herramienta de auditoría open source una vez a la semana.

Muchas gracias lo probaré hoy.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

La respuesta varía mucho según el sector, no hay una regla general. También me gustaría saber si alguien lo hace de otra manera.

No tengo ninguna experiencia en herramientas de evaluación de seguridad en la nube por eso pregunto. Intentar hacerlo solo es la vía más cara.

Corrijanme si me equivoco.

correcto.

Voy a defender lo contrario, no se molesten. El tiempo que tardas en detectar un problema determina directamente su coste.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Si escribís el resultado aquí, también servirá de ayuda a otros.

Lo que se dice aquí es exactamente lo que nos pasó. Todos los que se apresuran con herramientas de evaluación de seguridad en la nube se atascan en el mismo punto.

No sabía eso. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Por supuesto, cambia si tu situación es diferente.

hay una cosa a la que hay que prestar atención pero en fin si regañas las falsas alarmas nadie volverá a reportar.

eso es todo disculpa si me he extendido demasiado.

totalmente. la verdad si tuviera que añadir algo más: No confíes en una sola medida; ve capa por capa.

ánimo.

Le agradecería que compartiera el resultado. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Lo importante no es la cifra sino en qué se basa esa cifra. Si escribís el resultado aquí también servirá de ayuda a otros.

Lo probaré.