Computo en la
nube
¿Qué es el
computo en la nube?
Es un sistema
informático basado en Internet y centros de datos remotos para gestionar
servicios de información y
aplicaciones.
El cómputo en la nube es una de las principales tendencias del
desarrollo de aplicaciones computacionales debido a que permite incrementar el
número de servicios que se ofrecen, lo que genera beneficios tanto para los
proveedores de aplicaciones como a los consumidores de las mismas, además de
que ofrece ventajas únicas como la inmediatez y transparencia en los servicios.
¿Cómo funcionan los servicios de cómputo en la
nube?
Los servicios de cómputo en la nube tienen varios
atributos comunes:
·
Virtualización: el cómputo en la nube usa la virtualización
de servidores y almacenamiento de forma amplia para asignar/reasignar los
recursos rápidamente.
·
Multiusuario: los recursos se agrupan y comparten entre
varios usuarios para obtener una economía de escala.
·
Acceso a
red: se obtiene acceso a los
recursos a través de un navegador web o un cliente delgado con distintos
dispositivos de red (computadora, tableta o teléfono inteligente).
·
Según
demanda: los
recursos se autoaprovisionan a partir de un catálogo en línea de
configuraciones predefinidas.
·
Elasticidad: es posible la escalación ascendente y
descendente de forma automática.
·
Medición/cargos: se registra y se factura el uso de los
recursos según la organización de los servicios.
Entre los diversos tipos de servicios de cómputo en
la nube proporcionados internamente o por proveedores de servicios de terceros,
los más habituales son:
·
Software
como servicio (SaaS): el
software se ejecuta en computadoras que son propiedad del proveedor de SaaS y
administradas por este, en vez de estar instalado y administrado en
computadoras de los usuarios. Se obtiene acceso al software a través de
Internet pública y suele ofrecerse con suscripción mensual o anual.
·
Infraestructura
como servicio (IaaS): el
proveedor de IaaS proporciona cómputo, almacenamiento, redes y otros elementos
(seguridad, herramientas, etc.) a través de Internet pública, VPN o una
conexión de red dedicada. Los usuarios son propietarios de los sistemas
operativos, las aplicaciones y la información que se ejecuta en la
infraestructura; los administran y pagan por el uso.
·
Plataforma
como servicio (PaaS): el
proveedor de PaaS proporciona todo el software y el hardware necesarios para
crear y ejecutar aplicaciones basadas en la nube a través de Internet pública,
VPN o una conexión de red dedicada. Los usuarios pagan por el uso de la
plataforma y controlan el modo en que se utilizan las aplicaciones a lo largo
de su ciclo de vida
Beneficios
de los servicios de cómputo en la nube
Los servicios de cómputo en la nube ofrecen
numerosos beneficios, entre los que se incluyen:
·
Mayor
rapidez en la implementación y menor tiempo de respuesta que genera valor
·
Acceso a
aplicaciones y contenido desde cualquier lugar
·
Rápida
escalabilidad para satisfacer la demanda
·
Mayor
utilización de las inversiones en infraestructura
·
Menores
costos de infraestructura, energía e instalaciones
·
Mayor
productividad del personal de TI y de toda la organización
·
Mejor
seguridad y mayor protección de los activos de información
Hoy en día se escucha hablar
mucho del término cloud computing, que en español se interpretaría como
“cómputo en la nube”, éste parece ser novedoso, sin embargo, muchas de sus
aplicaciones se utilizan diariamente sin darse cuenta, por ejemplo en: las
redes P2P, muchos servicios gratuitos de Google, el proyecto SETI@Home,
ciertos servicios web curiosos, e incluso algunos sistemas operativos como Jolicloud.
Estos sistemas se gestionan en la nube y el usuario final tan sólo se conecta
utilizando la potencia de los servidores sin necesidad de tener éstos consigo.
A veces es necesario un pequeño programa cliente, hecho a medida. Pero en la
mayoría de las ocasiones basta tan sólo un navegador web.
Un grupo de expertos del NIST
(National Institute of Standards and Technology) realizó un estudio sobre los
principales problemas de seguridad que aún hay que superar para poder aplicar
esta tecnología a un nivel mucho más amplio. Pero existen diversas opiniones de
primer nivel que ven problemas mucho más serios, asociados a la privacidad y a
la libertad del usuario.
El modelo de servicios del
entorno de computación en nube está comprendido por tres opciones centrales (Fig.
1):
• El software como Servicio
(SaaS). Comprende aplicaciones para usuarios finales entregadas como
servicios, en lugar de software en-premisa.
• La plataforma como Servicio (PaaS). Provee una plataforma para aplicaciones o middleware como un servicio en el que los desarrolladores pueden crear y desplegar aplicaciones personalizadas.
• La infraestructura como Servicio (IaaS). Concierne el hardware, la tecnología para el almacenamiento, funcionamiento de sistemas operativos e informáticos; otras infraestructuras entregadas como fuera-de-premisas, servicios bajo demanda en vez de dedicados y recursos en el sitio, tales como el Amazon Elastic Compute Cloud (Amazon EC2) o el Amazon Simple Storage Service (Amazon S3).
• La plataforma como Servicio (PaaS). Provee una plataforma para aplicaciones o middleware como un servicio en el que los desarrolladores pueden crear y desplegar aplicaciones personalizadas.
• La infraestructura como Servicio (IaaS). Concierne el hardware, la tecnología para el almacenamiento, funcionamiento de sistemas operativos e informáticos; otras infraestructuras entregadas como fuera-de-premisas, servicios bajo demanda en vez de dedicados y recursos en el sitio, tales como el Amazon Elastic Compute Cloud (Amazon EC2) o el Amazon Simple Storage Service (Amazon S3).
Fig. 1
1. Considerar la guía de la Alianza de Seguridad en
Cómputo referente a la nube.
Los puntos más destacados de
esta guía son:
Fig. 2
Para una lectura a detalle de
cada uno, sugerimos dirigirse a:http://www.cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf
2. Elegir adecuadamente la contraseña
Otro asunto preocupante de los
servicios del cómputo en la nube es que, a pesar de las medidas de protección
que implementan todas las empresas, la seguridad de las cuentas de los usuarios
depende de la contraseña asignada a cada una de éstas.
La diferencia entre una red
corporativa y una cuenta en línea es que en un ecosistema de negocios, los
administradores pueden crear políticas para la creación de contraseñas que los
obliguen a mantener ciertos niveles de complejidad y a crear nuevas contraseñas
periódicamente. No obstante, en la nube, tenemos la libertad de establecer lo
que sea como contraseña y no volver a cambiarla nunca más. Ésta es un área que
aún necesita mucho trabajo. Por tal situación se recomienda:
1. Selección de contraseñas
“fuertes”, difíciles de descifrar.
2. Mantenerlas en secreto.
3. No transferirlas.
4. No escribirlas en papeles de
fácil acceso o en archivos sin cifrar.
5. No habilitar la opción
“recordar clave en este equipo”, que ofrecen los programas.
6. No enviarlas por correo
electrónico.
7. Cambiarlas frecuentemente.
3. Cifrar datos en la nube
Otra de las debilidades (poco
conocidas) de cómputo en la nube es que pocas máquinas tienen acceso a los
números generados al azar que se necesitan para cifrar información.
Los detalles de este lío son
excesivamente técnicos pero el resultado es que la inherente naturaleza de la
computación virtual hace mucho más simple la tarea a los hackers y crackers
porque les permite adivinar con facilidad los números utilizados para generar
las llaves de cifrado.
Si bien éste no es un problema
inmediato que atenta contra la integridad de la nube, sí requerirá
investigación a largo plazo.
Para el cifrado de datos en la
nube se recomienda:
1. Administración remota segura.
Cifrado del tráfico.
2. Clasificar y cifrar información
sensible con aplicaciones de cifrado confiables.
3. Utilizar tecnologías de cifrado
de punto a punto (VPN).
4. Usar adecuadamente los servicios de la nube
Si consideramos los problemas
ya descritos, probablemente pensaremos dos veces antes de confiar en los
servicios que funcionan a través de la nube.
Pero, ¿En verdad es tan
malo? ¿Es la nube una plataforma peor de lo que ya tenemos?
En realidad, a pesar de que la
nube traerá bajo el brazo un paquete de retos y amenazas con las que estaremos
lidiando en el futuro inmediato, esto será precisamente durante las primeras
fases de la transición. Tampoco presenta amenazas necesariamente peores que las
del sistema tradicional.
Al final de cuentas, el mercado
como ente regulador y espontáneo hará que los desarrolladores y propietarios de
servicios para la nube hagan propuestas cada vez más sólidas y seguras. Serán
justamente esas personas las mejor recompensadas por sus esfuerzos y, sus
plataformas, las que adoptarán los usuarios.
Los servicios que funcionan a
través de la nube no son como deberían ser actualmente, pero en poco tiempo
podrán competir fácilmente con cualquier otra plataforma. En efecto, podría
llegar el día donde sean consideradas incluso más seguras. Hasta entonces, los
usuarios deben proceder con precaución cuando se muden a la nube. Al menos,
deben hacerlo conscientes de las capacidades y los riesgos que ello implica.
5. Precisar información a compartir y por compartir
1. Clasificar la información
sensible y separarla de la información publica.
2. Crear cuentas de acceso a la
información pública con mínimos privilegios.
Fig. 3
6. Aplicar “mejores prácticas” de seguridad al
momento de configurar las aplicaciones
Es necesario que los usuarios
incorporen buenas prácticas para proteger el entorno de información y prevenir
aún más la posibilidad de formar parte del conjunto que engloba a potenciales y
eventuales víctimas de cualquiera de las amenazas, quienes constantemente
buscan sacar provecho de las debilidades humanas. Para ello se obligatorio
conocer los peligros latentes y la forma de detenerlos a través de mecanismos
de prevención.
1. Cambiar usuarios y contraseñas
por default.
2. Cambiar periódicamente la
contraseña de administración.
3. Quitar servicios y cuentas no
utilizados.
4. Actualizar frecuentemente sus
aplicaciones con los “parches de seguridad”.
5. Copias de Seguridad de los
archivos de configuración de las aplicaciones.
6. Descargar las aplicaciones y
actualizaciones de sitios confiables.
7. Registrar de manera exhaustiva el entorno para
detectar actividades o cambios no solicitados ya sea en procesos, tareas o
documentos
1. Monitoreo de servicios
críticos.
2. Utilización de herramientas que
buscan y detectan problemas de seguridad; localizan intrusos y controlan
cambios.
3. Análisis periódico de logs
(bitácoras).
4. Crear respaldos de
configuraciones.
5. Utilizar antivirus
y anti-spyware.
8. Aplicar conforme a lo dispuesto por el proveedor
de servicios, parches y corrección de vulnerabilidades.
1. Descargar las aplicaciones y
actualizaciones de sitios confiables del proveedor.
2. Aplicar parches en ambiente de
prueba antes de aplicarlos a los servidores de producción.
3. Elaborar y mantener respaldos
de su información personal o de datos críticos, de lo contrario, si algo le
pasa al sistema no podrá recuperar su trabajo.
9. Establecer de forma regular un análisis de
vulnerabilidades y auditorías de la configuración
Realizar auditorías y análisis
de vulnerabilidades permitirá identificar debilidades en aquellos puntos
susceptibles a algún ataque malicioso, los cuales pueden propiciar diversos
daños, por ejemplo atentar contra la confidencialidad, integridad y disponibilidad
de los datos concentrados en dicha nube.
Conclusiones
El computo en
la nube me parece una mejor alternita cuando se requiere guardar grandes cantidades
de información aunque una desventaja es que necesariamente de debe estar
conectado a internet cuando se requiera utilizar la informacion, en cuanto a la
seguridad yo creo que si puede ser segura nuestra informacion en la nube siempre
y cuando el servidor donde este montado nuestro servicio sea en una plataforma
segura, esto podría ser un sistema operativo UNIX y otra recomendación que la administrador
del servidor sepa muy bien sobre cómo proteger dicha información.
http://www.computacionennube.org/
http://revista.seguridad.unam.mx/numero-08/tips-de-seguridad-para-el-c%C3%B3mputo-en-nube
Revista SEGURIDAD, DEFENSA DIGITAL | 1 251 478, 1 251
477 | REVISTA BIMESTRAL
