V 32 N 69 FA

GESTIÓN SEGURA DE RESPALDOS DE DATOS EN LA NUBE. PROOF OF CONCEPT “CRYPTOBOX”
Figura 3. Relevancia de la violación de datos para los profesionales
Secuestro de sesión
modelos de servicio, es fundamental que los consumidores
de esos servicios comprendan las implicaciones de seguridad
asociadas con el uso, la gestión, la orquestación y la
supervisión de servicios en la nube. La dependencia de un
conjunto débil de las interfaces y APIs expone a las
organizaciones a una variedad de problemas de seguridad
relacionados con la confidencialidad, integridad,
disponibilidad y responsabilidad. Algunos ejemplos se
presentan a continuación. a) Acceso anónimo y/o contraseñas
reutilizables. b) Autenticación en texto plano. c) Transmisión
de contenidos. d) Control de acceso inflexible. e)
Autorizaciones indebidas. f) Control limitado en capacidad
de registro, monitorización y logs. g) Servicio desconocido o
dependencias de la API.
Los métodos de ataque como el phishing, el fraude y la
explotación de las vulnerabilidades de software aun logran
resultados. Las credenciales y contraseñas a menudo son
reutilizadas, lo que amplifica el impacto de este tipo de
ataques. Las soluciones basadas en cloud añaden esta
amenaza para su entorno.
Albaladejo (2011) sostiene que: “en un entorno en la nube, si
un atacante obtiene las credenciales de un usuario del entorno
puede acceder a actividades y transacciones, manipular
datos, devolver información falsificada o redirigir a los
clientes a sitios maliciosos.” (p. 15) Las cuentas o instancias
de servicio pueden llegar a ser una nueva base para el
atacante. A partir de aquí, se puede aprovechar la
suplantación para lanzar ataques posteriores.
En abril de 2010, Amazon experimentó un Cross-Site
Scripting (XSS) error que permitía a los atacantes secuestrar
las credenciales del sitio. En 2009, numerosos sistemas de
Amazon fueron secuestrados para funcionar como nodos del
botnet Zeus, tal como se mencionó anteriormente. Con
credenciales robadas, los atacantes a menudo pueden acceder
a las áreas críticas de los servicios desplegados de cloud
computing, lo que les permite comprometer la
confidencialidad, integridad y disponibilidad de esos
servicios. Las organizaciones deben ser conscientes de estas
técnicas, así como la defensa común en las estrategias de
protección a fondo para contener el daño (y posibles litigios)
como resultado de una violación. Las organizaciones deben
mirar a prohibir la distribución de credenciales de cuentas
entre usuarios y servicios, y elaborar políticas necesarias para
mitigar el riesgo.
Figura 4. Matriz de riesgos para secuestro de sesión.
Figura 5. Relevancia del secuestro de sesión para profesionales
APIs Inseguras.
CSA expone que las APIs son interfaces de software que
permiten a los clientes interactuar y administrar servicios en
la nube. Permite una comunicación directa con los servicios
del proveedor y muchas organizaciones se basan a menudo
en estas interfaces para personalizar el servicio o
proporcionar un valor añadido a los clientes. Sin embargo,
aunque la mayoría de los proveedores se esfuerzan por
garantizar que la seguridad esté bien integrada en sus
Figura 6. Matriz de riesgo para APIs Inseguras.
REVISTA DEL CENTRO DE GRADUADOS E INVESTIGACIÓN. INSTITUTO TECNOLÓGICO MÉRIDA Vol. 32 NÚM. 69 79