Estamos migrando la tienda online a la nube, ¿qué vulnerabilidades de seguridad en la nube se ven más en la práctica?

El error técnico más crítico es dejar el servicio de metadatos del servidor virtual en una versión antigua. Si tienes un plugin con vulnerabilidad de falsificación de peticiones del lado del servidor, el atacante puede consultar directamente esa dirección local y robar las credenciales temporales asignadas al servidor. Obliga el uso de la segunda versión del servicio de metadatos y restringe los permisos basados en roles.

Al migrar una tienda de retail de escala similar, dejamos abierto el puerto de la base de datos del entorno de pruebas durante 2 días. En 48 horas se hicieron intentos automáticos de fuerza bruta desde exactamente 14 mil direcciones IP distintas. Si tu presupuesto es de 1.200 euros, destina al menos 150 de ellos a herramientas de registro centralizado y alertas en tiempo real.

No te dejes engañar por el marketing del proveedor de nube de que "todo es seguro". Según el modelo de responsabilidad compartida aunque la infraestructura sea suya, los parches del sistema operativo, los puertos abiertos y las reglas de acceso son responsabilidad totalmente tuya. Cuando hay una filtración, tanto la factura como la sanción legal recaen directamente sobre tu empresa.

Antes del día de apertura completa sin falta estas tres comprobaciones: 1) Activa el bloqueo de "impedir acceso público" en todos los espacios de almacenamiento. 2) Pon tus servidores en una subred privada y haz que se comuniquen con el mundo exterior solo a través del balanceador de carga. 3) Exige sin excepción autenticación multifactor por hardware o por aplicación para todos los empleados al entrar al panel de administración.

lo q más revienta es x los archivos config q la gente sube al repo de github. en fin si la api key está dentro del códiggo date x jodido, en dos horas te montan un minero de cripto en el servidor.

A un mayorista nuestro en Barcelona le pasó; tiraron el respaldo diario de la base de datos que quedaba del sistema antiguo a un directorio de almacenamiento abierto. Nadie se dio cuenta en dos meses y luego, cuando un buscador indexó el archivo de respaldo quedaron al descubierto los números de identificación fiscal y el historial de pedidos de los clientes. Recibieron una advertencia y una sanción serias de la autoridad de protección de datos.

Al migrar la infraestructura de pago, ¿guardas los datos de tarjeta directamente en tus servidores o usas la estructura de token seguro que ofrece la pasarela de pago? Si los datos de tarjeta pasan por el servidor, tus estándares de seguridad y auditoría en la nube tienen que ser mucho más estrictos.

Sí, la situación con ejemplos de seguridad en la nube es exactamente así. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses. Corrijanme si me equivoco.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Esta es mi opinión no lo escribo como una verdad absoluta.

Gracias por escribir esto, es lo correcto. Intentar hacerlo solo es la vía más cara.

Ánimo.

Aquí hay que hacer una distinción. Todos los que se apresuran con ejemplos de seguridad en la nube se atascan en el mismo punto.

Espero que le sea útil.

Yo también pienso lo mismo. Una copia de seguridad no probada no es una copia de seguridad.

Que todo el mundo haga algo no significa que sea lo correcto. Ánimo.

Ha sido una buena idea abrir este hilo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Soy una pequeña empresa, os lo cuento desde mi lado. Que todo el mundo haga algo no significa que sea lo correcto.

Yo seguiría por ese camino.

Tiene razón.

el camino que parece barato suele salir caro a la larga. las decisiones apresuradas son las que hay que corrgeir seis meses después.

eso es todo, disculpa si me he extendido demasiado.

Guardado. Las decisiones apresuradas son las que hay que corregir seis meses después.

Ánimo.

En su momento, nosotros también nos atascamos ahí. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Esta es mi opinión, no lo escribo como una verdad absoluta.