Módulo de la Diplomatura Universitaria en Ciberseguridad.
Docente: Ing. Alfredo Pardo.
Trabajo integrador: Comparativa de Servicios de Seguridad en la Nube
El objetivo del trabajo fue comparar dos ofertas de nube que no vimos durante el módulo (donde trabajamos con AWS, Google Cloud y Azure), analizando el nivel, la granularidad y la facilidad de entendimiento de sus servicios de seguridad.
Los servicios elegidos fueron:
- IBM Cloud: proveedor completo de nube (IaaS, PaaS y SaaS) de una empresa con larga trayectoria en innovación tecnológica.
- Red Hat OpenShift (RHOS): no es un proveedor completo, sino una plataforma de aplicaciones en contenedores, basada en Kubernetes, que permite desplegar de forma agnóstica sobre AWS, Azure, Google Cloud o IBM Cloud.
Gestión de Identidades y Accesos
| Red Hat OpenShift | IBM Cloud | |
|---|---|---|
| Modelo | RBAC nativo de Kubernetes, por objetos | IAM centralizado para todos sus servicios |
| Granularidad | Roles locales (por proyecto) y cluster-wide | Moderna: roles, grupos y políticas. Clásica: permisos en bloque |
| Por defecto | Acceso denegado | Depende de la infraestructura usada |
| Integraciones | LDAP, Active Directory, OAuth | Active Directory, LDAP, SAML, SSO, MFA, API Keys |
El punto más débil encontrado está en la infraestructura clásica de IBM Cloud, heredada de Bluemix. Otorga permisos en bloque por cuatro categorías (Cuenta, Dispositivos, Red y Servicios), lo que trae dos problemas:
- Los permisos no son granulares: para administrar una parte del sistema hay que otorgar permisos excesivos, aumentando la superficie de ataque.
- Es un Single Point of Failure con mucho poder: si una cuenta se vulnera, el impacto para el cliente es muy grande.
Seguridad de Datos
- OpenShift usa OADP (OpenShift APIs for Data Protection), basada en Velero, para backups, puntos de restauración y protección de imágenes de contenedores. Ofrece opcionalmente módulos de cifrado compatibles con FIPS 140-2 Nivel 1.
- IBM Cloud unifica backups y recuperación con Safeguarded Copy y detección activa frente a ransomware. Para cargas sensibles ofrece Hyper Protect y Secure Execution, y afirma cumplir FIPS 140-2 Nivel 4.
Cumplimiento
Red Hat ofrece el Compliance Operator, que permite definir el nivel de cumplimiento de estándares deseado siguiendo OpenSCAP.
Conclusión
Se recomienda utilizar Red Hat OpenShift como complemento de alguno de los proveedores vistos en el curso (AWS, Google, Azure). De esta forma las aplicaciones quedan preparadas para desplegarse en cualquier nube, con los estándares de seguridad de Red Hat embebidos.