Vale la pena centralizar la administración de las herramientas, los métodos y las credenciales utilizadas para acceder a aplicaciones, servicios y todas las demás partes del ecosistema de TI. Aquí le decimos cómo.

La escena de TI empresarial actual se caracteriza por la transformación digital continua y la generación de datos de proporciones épicas. Dado que el trabajo remoto y móvil es la nueva norma en un mundo posterior a la pandemia, la movilidad y la agilidad se han convertido en impulsores esenciales de la continuidad comercial en la empresa.

En un esfuerzo por automatizar e integrar todas las funciones comerciales posibles, centralizar y acelerar el flujo de datos e información, mejorar la productividad y brindar una mejor experiencia al cliente, las organizaciones están creando entornos ágiles de DevOps con complejos modelos operativos híbridos de múltiples nubes.

Sin embargo, una gran movilidad y datos oportunos conlleva una gran responsabilidad. Las empresas enfrentan desafíos cada vez mayores para mantener seguros los datos, los servicios y la información de identificación personal (PII). A pesar de los avances tecnológicos, año tras año seguimos viendo cifras récord de filtraciones de datos .

¿Cómo evolucionan las empresas sus métodos de almacenamiento, gestión y protección de datos para asegurarse de que los empleados tengan una forma sencilla de acceder a los recursos digitales al tiempo que refuerzan la seguridad de toda la infraestructura de TI?

La respuesta está en la gestión eficaz de los secretos.

¿Qué es la gestión de secretos y por qué es necesaria?

La gestión de secretos (secrets management) es el conjunto adecuado de herramientas y mejores prácticas que se utilizan para almacenar, acceder y gestionar de forma centralizada y segura las credenciales de autenticación digital (o “secretos”) a lo largo de todo su ciclo de vida. 

Los secretos son elementos de datos que se utilizan en la autenticación y la autorización e incluyen contraseñas, claves de cifrado públicas y privadas, claves SSH, API, tokens y certificados. Tanto las máquinas como los humanos usan secretos para autenticarse y comunicarse.

Pero, en primer lugar, ¿por qué necesita la gestión de secretos?

“Con el cambio universal a la infraestructura híbrida de múltiples nubes y la dependencia de la contenedorización de aplicaciones, la necesidad de que tanto las máquinas como las personas accedan continuamente a los sistemas y los datos ha crecido sustancialmente. Por ejemplo, cada vez más aplicaciones deben acceder continuamente a diferentes fuentes de datos, servicios en la nube y servidores, a menudo con diferentes tipos de credenciales necesarias para cada recurso. Esto ha creado una necesidad exponencial de secretos a lo largo del proceso DevOps”, explica Oded Hareven, director ejecutivo y cofundador de Akeyless, una herramienta de gestión de secretos basada en SaaS.

Lo que lo hace complicado es que los desarrolladores codifican con frecuencia varios secretos en aplicaciones o códigos de microservicios, scripts, herramientas de automatización y repositorios de códigos, todos residiendo en varias infraestructuras. Peor aún, estos códigos se encuentran en diferentes etapas de desarrollo con un riesgo real de ser mal administrados y desprotegidos. El resultado es una falta general de control e integración de secretos, lo que lleva a lo que se conoce en los círculos de seguridad como “expansión de secretos”.

El problema no termina ahí. Los secretos guardados en plataformas en la nube que realizan integración continua/entrega continua (CI/CD) son necesarios, por su naturaleza, para administrar y permitir el acceso a otras máquinas y software. Para ello, necesitan almacenar secretos y claves de firma (utilizadas para sellar códigos y actualizaciones de software), que con frecuencia se almacenan en ubicaciones no seguras, como la computadora portátil de un desarrollador o un servidor de compilación.

La expansión secreta no sólo hace que las credenciales sean difíciles de rastrear y administrar, sino que también son vulnerables a la piratería. De hecho, las credenciales robadas representan casi la mitad de todas las filtraciones de datos, según un informe de Verizon .

Muchos ataques recientes, incluidos los ataques a la cadena de suministro de software, aprovechan los secretos que se han colocado en el código, que nuevamente se almacena en repositorios de fácil acceso, como GitHub. De hecho, GitHub detectó recientemente más de 700,000 posibles filtraciones de credenciales en miles de repositorios privados, listas para ser tomardas.

Los ejemplos siguen llegando. Un ataque a la cadena de suministro de software expuesto recientemente secuestró bibliotecas populares de PHP y Python para robar claves de AWS. En otro caso, se descubrió que un servicio de uso común que ayuda a los desarrolladores de código abierto a escribir y probar software estaba filtrando miles de tokens de autenticación y otros secretos, lo que permitía a los piratas informáticos acceder a las cuentas privadas de los desarrolladores en Docker, Github, AWS y otros repositorios de código. .

Pero, ¿no hay un millón de métodos ya disponibles para proteger contraseñas, claves y otras credenciales?

Existen. Y eso es parte del problema.

Desafíos en la gestión de secretos

Existe una considerable ineficiencia y duplicación en las soluciones de seguridad actuales cuando se trata de administrar secretos. Algunos de estos desafíos son:

Expansión secreta:

El mundo se está moviendo de lo local a la nube, y también los secretos. Los 3 grandes proveedores de servicios en la nube (y otros) ofrecen sus propias soluciones de gestión de secretos, que la mayoría de las empresas aceptan de forma predeterminada, simplemente por falta de una mejor solución. ¿Qué podría ser más seguro que la propia plataforma del proveedor?

Pero con una arquitectura multinube híbrida en el centro del escenario (es el único modelo operativo de TI que está creciendo en adopción), la mayoría de los equipos de DevOps se encuentran lidiando con múltiples entornos repletos de microservicios y contenedores para diferentes cargas de trabajo. Estos, a su vez, tienen miles de componentes de máquina a máquina que se comunican entre sí, lo que genera una cantidad alucinante de claves, fichas y otros secretos en circulación.

La explosión y descentralización de secretos es una enorme carga operativa para los administradores y los profesionales de DevOps. Las innumerables soluciones de nube y virtualización disponibles en la actualidad permiten a los usuarios crear y destruir máquinas virtuales y aplicaciones a gran escala. No hace falta decir que cada una de estas instancias de VM viene con su propio conjunto de secretos que deben administrarse. Además, las claves SSH por sí solas pueden sumar millones en organizaciones empresariales. Aparte de eso, los trabajos de Ansible, los contenedores de Kubernetes y las rutinas diarias por lotes tienden a tener contraseñas que necesitan rotación.

Todos estos sistemas no pueden acceder a los recursos de seguridad que son externos a su entorno. No existe un plano de control unificado que pueda ayudarlo a administrar múltiples repositorios secretos almacenados en diferentes plataformas.

Visibilidad insuficiente:

Los secretos estáticos localizados en diferentes entornos (como la nube, local, perimetral o entorno híbrido) son administrados por diferentes personas, equipos y administradores, creando “islas secretas”. Esto conduce inevitablemente a desafíos de auditoría y brechas de seguridad.

Complejidad de las soluciones de bóveda:

Debido a la gran cantidad de herramientas y plataformas existentes y heredadas (tanto DevOps como no DevOps) y la gran cantidad de extensiones para cada una de ellas, las soluciones de bóveda on-premise (on-prem vault) no funcionan bien en muchos casos. Además, es difícil configurar bóvedas de acuerdo con la infraestructura subyacente de cómputo, almacenamiento y redes en un entorno híbrido. La necesidad de actualizaciones frecuentes sólo aumenta la complejidad de las bóvedas on-premise.

Las bóvedas basadas en la nube no son mejores. Una gran señal de alerta es que estas ofertas son propiedad del proveedor y sólo admiten cargas de trabajo que se ejecutan dentro de su propio entorno y ecosistema, por lo que nuevamente no son una buena opción para las arquitecturas de nube híbrida. Incluso si usa solo un proveedor de nube importante, un entorno de múltiples nubes, solo conduce a la expansión de la bóveda. Otra preocupación es que sus claves maestras se comparten con su proveedor de nube. Esto significa que un administrador deshonesto, un pirata informático o una agencia gubernamental podría acceder a ellos y usted estaría indefenso.

La solución perfecta para la gestión de secretos

Podría no existir, pero eso no significa que no pueda crear políticas infalibles de Administración de Acceso e Identidad (IAM) que mantengan a su empresa a salvo de todas las amenazas conocidas y todos los tipos de amenazas conocidas.

IAM es el nuevo perímetro: es fundamental para una estrategia de seguridad moderna. Validar la identidad (autenticación) de los usuarios humanos y de máquinas y justificar su necesidad de acceder al recurso (autorización) se vuelve cada día más complejo con el aumento de la automatización y la cantidad de cargas de trabajo dinámicas que fluctúan con la demanda.

Además, la naturaleza de la autenticación cambia constantemente. Los módulos de aplicaciones y bases de datos ya no están confinados a un gran bloque de código como solían estar. Más bien, son una integración compleja y dinámica de microservicios y subcomponentes, cada uno de los cuales tiene su propio proceso de autenticación.

Esto es lo que las empresas que operan en un entorno multinube o que tienen una combinación híbrida de sistemas de nube locales, privados y públicos deben buscar en una plataforma o solución de gestión de secretos :

Funciona en configuraciones híbridas, multinube y multilocal: este es quizás el factor más esencial para las empresas. Siempre que sea posible, elija una plataforma que se integre a la perfección con flujos de trabajo multiplataforma y multientorno utilizando tecnología nativa de la nube. Su solución de administración de secretos debe ser compatible con la autenticación y verificación de máquina a máquina y de persona a máquina habilitada para IAM en diferentes tipos de secretos, como certificados SSH, claves API, certificados x.509, claves de cifrado, etc. cumplimiento de la seguridad.

Funciona con diferentes protocolos de autenticación, idiomas y dispositivos: es importante que su herramienta de administración de secretos admita la autenticación humana, de hardware y software a través de proveedores de identidad de terceros a través de todas las interfaces principales, (sin duda) que incluyen una línea de comando, GUI, REST API y SDK para lenguas principales. No hace falta decir que debería facilitar secretos dinámicos e integrarse con plataformas comunes basadas en la nube como Docker, Kubernetes, Terraform, Ansible y Jenkins para operaciones de DevOps sin interrupciones.

Luego está la cuestión de la escala. Si usted desea crecer a “escala de la nube” y expandir su infraestructura geográfica o tecnológica, debe poder escalar sus capacidades de administración de secretos para admitir todas las herramientas y complementos existentes y futuros.

Se puede administrar a través de una plataforma SaaS unificada: los equipos de seguridad de hoy necesitan visibilidad centralizada y control de autenticación para todos los usuarios, aplicaciones y dispositivos en todos los entornos utilizados por la organización. “Una herramienta intuitiva de administración de secretos basada en SaaS con visibilidad en tiempo real de cada instancia de uso de secretos, registro de auditoría y análisis sólido es la necesidad del momento de acuerdo con todos los jefes de seguridad con los que he hablado”, afirma Hareven.

Resuelve el problema del secreto cero y hace cumplir el modelo de confianza cero: la administración de contraseñas es una función común en estos días. Una persona puede tener una hoja de cálculo o un documento en el que almacena todas las contraseñas de las distintas aplicaciones o paneles de control que utiliza. Sin embargo, para abrir esta hoja de cálculo, probablemente tengan otra contraseña. Y también necesitarían credenciales de usuario para iniciar sesión en el sistema operativo y acceder a la hoja de cálculo. Multiplique este escenario por los infinitos tipos de secretos que tiene hoy, y obtendrá el problema del “secreto cero”.

Su solución de administración de secretos debe proporcionarle un conjunto de credenciales iniciales con un token o clave efímera para la autenticación continua en la máquina principal para que el “secreto cero” nunca se vea comprometido.

Esto cae dentro de la premisa de la arquitectura de confianza cero (ZTA), que sigue el principio de privilegio mínimo (PoLP), según el cual los usuarios y las aplicaciones obtienen acceso granular y “justo a tiempo” a una cantidad específica de recursos para un período de tiempo específico, solo después de “justificar” su solicitud al administrador. Estos privilegios se otorgan dinámicamente y caducan automáticamente después del período de tiempo preestablecido.

Guarde sus secretos

La plataforma de gestión de secretos ideal potencia DevOps, la migración a la nube y la transformación digital en la empresa al permitir que diferentes equipos accedan a los recursos que necesitan y gestionen sus secretos de forma autónoma. Con una solución entregada “como servicio” desde la nube, puede reducir los gastos generales de mantenimiento, mejorar la disponibilidad y escalar sus operaciones para cumplir con los objetivos de crecimiento de su organización.

Dipti Parmar, CIO.com