Prepare su infraestructura segura en la nube

Durante la fase de preparación de un recorrido de adopción de la nube, usted se centra en crear la base del patrimonio. El enfoque de zona de aterrizaje de Microsoft Azure proporciona a las empresas y a las grandes organizaciones un patrón de diseño más seguro, escalable y modular que se debe seguir cuando implementan sus infraestructuras. Es posible que las organizaciones más pequeñas y las startups no necesiten el nivel de organización que proporciona el enfoque de la zona de aterrizaje, pero una comprensión de la filosofía de la zona de aterrizaje puede ayudar a cualquier organización a crear un diseño fundamental y obtener un alto grado de seguridad y escalabilidad.

Después de definir la estrategia y el plan de adopción de la nube, puede comenzar la fase de implementación diseñando la base. Use las recomendaciones de esta guía para asegurarse de que el diseño básico y la implementación priorizan la seguridad.

Este artículo es una guía complementaria de la metodología de preparación . Describe las áreas de optimización de seguridad que debe tener en cuenta a medida que avanza por esa fase en el recorrido.

Modernización de la estrategia de seguridad

Los primeros pasos para implementar la modernización de su postura de seguridad son construir su zona de aterrizaje o base en la nube y crear o modernizar su plataforma de identidad, autorización y acceso.

• Adopción del enfoque de zona de aterrizaje: la adopción del enfoque de la zona de aterrizaje o la incorporación de los principios de diseño del enfoque de zona de aterrizaje en la medida en que sea práctico para su caso de uso le permite iniciar la implementación de forma optimizada. A medida que evoluciona el patrimonio en la nube, mantener diferentes dominios de su patrimonio separados ayuda a mantener todo el patrimonio más seguro y manejable.

  • Si no tiene previsto adoptar una zona de aterrizaje empresarial completa, debe comprender las áreas de diseño y aplicar instrucciones relevantes para su patrimonio en la nube. Necesitas pensar en todas estas áreas de diseño e implementar controles específicos para cada área, independientemente de cómo está diseñada tu base. Por ejemplo, el uso de grupos de administración puede ayudarle a controlar el patrimonio de la nube, incluso si solo consta de algunas suscripciones.

Desarrolle zonas de aterrizaje seguras y escalables que proporcionan entornos controlados para implementar recursos en la nube. Estas zonas le ayudan a garantizar que las directivas de seguridad se aplican de forma coherente y que los recursos se separan según sus requisitos de seguridad. Consulte el área de diseño de seguridad para obtener instrucciones detalladas sobre este tema.

• Identidad, autorización y acceso modernos: Según los principios de Zero Trust, el enfoque moderno para la identidad, la autorización y el acceso cambia de confianza por defecto a confianza por excepción. A continuación se desprende de estos principios que los usuarios, los dispositivos, los sistemas y las aplicaciones deben tener acceso solo a los recursos que necesitan, y solo durante el tiempo necesario para satisfacer sus necesidades. La misma guía se aplica a los elementos fundamentales de su patrimonio: controle estrictamente los permisos de las suscripciones, los recursos de red, las soluciones de gobernanza, la plataforma de administración de identidades y accesos (IAM) y los inquilinos siguiendo las mismas recomendaciones que sigue para las cargas de trabajo que ejecuta. Consulte el área de diseño de administración de identidades y acceso para obtener instrucciones detalladas sobre este tema.

Facilitación de Azure

• Aceleradores de zona de aterrizaje de Azure: Microsoft mantiene varios aceleradores de zona de aterrizaje, que son implementaciones empaquetadas previamente de un tipo de carga de trabajo determinado que se pueden implementar fácilmente en una zona de aterrizaje para empezar a trabajar rápidamente. Incluyen aceleradores para Azure Integration Services, Azure Kubernetes Service (AKS), Azure API Management y otros. Consulte la sección Escenario de plataforma de aplicaciones modernas de la documentación de Cloud Adoption Framework para Azure para obtener una lista completa de aceleradores y otros temas relacionados con las consideraciones de aplicaciones modernas.

• Módulo Terraform de zonas de aterrizaje de Azure: puede optimizar sus implementaciones de zonas de aterrizaje con automatización usando el módulo Terraform de zonas de aterrizaje de Azure. Mediante el uso de su tubería de integración continua y despliegue continuo (CI/CD) para implementar zonas de aterrizaje, puede asegurarse de que todas las zonas de aterrizaje se desplieguen de manera idéntica, con todos los mecanismos de seguridad implementados.

• Microsoft Entra:Microsoft Entra es una familia de productos de identidad y acceso a la red. Permite a las organizaciones implementar una estrategia de seguridad de Confianza cero y crear un tejido de confianza que comprueba las identidades, valida las condiciones de acceso, comprueba los permisos, cifra los canales de conexión y supervisa los riesgos.

Preparación y respuesta ante incidentes

Después de definir la estrategia y desarrollar el plan de preparación y respuesta a incidentes, puede comenzar la implementación. Tanto si adopta un diseño completo de zona de aterrizaje empresarial como un diseño básico más pequeño, la segregación de red es fundamental para mantener un alto grado de seguridad.

Segmentación de red: diseñe una arquitectura de red con segmentación y aislamiento adecuados para minimizar las superficies expuestas a ataques y contener posibles infracciones. Use técnicas como nubes privadas virtuales (VPC), subredes y grupos de seguridad para administrar y controlar el tráfico. Consulte el artículo Plan for network segmentation (Planear la segmentación de red) para obtener instrucciones detalladas sobre este tema. Asegúrese de revisar el resto de las guías de seguridad de red de la zona de aterrizaje de Azure. Las instrucciones incluyen recomendaciones para la conectividad entrante y saliente, el cifrado de red y la inspección del tráfico.

Facilitación de Azure

• Azure Virtual WAN:Azure Virtual WAN es un servicio de red que consolida muchas funcionalidades de red, seguridad y enrutamiento para proporcionar una única interfaz operativa. El diseño es una arquitectura de tipo «hub-and-spoke» que tiene escala y rendimiento incorporados para sucursales (dispositivos VPN/SD-WAN), usuarios (clientes VPN/OpenVPN/IKEv2 de Azure), circuitos de ExpressRoute de Azure y redes virtuales. Al implementar las zonas de aterrizaje, Azure Virtual WAN puede ayudarle a optimizar la red mediante mecanismos de segmentación y seguridad.

Preparación para la confidencialidad

Durante la fase de preparación, la preparación para las cargas de trabajo desde el punto de vista de la confidencialidad consiste en garantizar que las políticas y estándares de IAM se implementen y apliquen. Esta preparación garantiza que, al implementar cargas de trabajo, los datos se protegerán de forma predeterminada. Asegúrese de tener directivas y estándares bien regulados para:

• Principio de privilegios mínimos. Conceda a los usuarios el acceso mínimo necesario para realizar sus tareas.

• Control de acceso basado en roles (RBAC). Asigne roles y permisos en función de las responsabilidades del trabajo. Esto le ayuda a administrar el acceso de forma eficaz y reduce el riesgo de acceso no autorizado.

• Autenticación multifactor (MFA). Implemente MFA para agregar una capa adicional de seguridad.

• Controles de acceso condicional. Los controles de acceso condicional proporcionan seguridad adicional aplicando directivas basadas en condiciones específicas. Las directivas pueden incluir la aplicación de MFA, el bloqueo del acceso en función de la geografía y muchos otros escenarios. Al elegir una plataforma de IAM, asegúrese de que se admite el acceso condicional y de que la implementación cumple sus requisitos.

Facilitación de Azure

• Microsoft Entra Conditional Access es el motor de políticas de Microsoft Zero Trust. Toma señales de varios orígenes en cuenta al aplicar decisiones de directiva.

Preparación para la integridad

Al igual que con los preparativos de confidencialidad, asegúrese de que tiene directivas y estándares bien regulados para la integridad de los datos y el sistema para implementar cargas de trabajo con una seguridad mejorada de forma predeterminada. Defina directivas y estándares para las siguientes áreas.

Prácticas de administración de datos

• Clasificación de datos: cree un marco de clasificación de datos y una taxonomía de etiqueta de confidencialidad que defina categorías de alto nivel de riesgo de seguridad de datos. Utilizará esa taxonomía para simplificarlo todo, desde el inventario de datos o la información sobre actividades, hasta la gestión de directivas o la priorización de investigaciones. Consulte Creación de un marco de clasificación de datos bien diseñado para obtener instrucciones detalladas sobre este tema.

• Comprobación y validación de datos: invierta en herramientas que automatizan la comprobación y validación de datos para reducir la carga de los ingenieros y administradores de datos y reducir el riesgo de error humano.

• Directivas de copia de seguridad: codifique las directivas de copia de seguridad para asegurarse de que se realiza una copia de seguridad periódica de todos los datos. Pruebe las copias de seguridad y restauraciones periódicamente para asegurarse de que las copias de seguridad se realicen correctamente y que los datos sean correctos y coherentes. Alinee estas directivas con los objetivos de tiempo de recuperación (RTO) y de punto de recuperación (RPO) de la organización.

• Cifrado seguro: asegúrese de que el proveedor de nube cifra los datos en reposo y en tránsito de forma predeterminada. En Azure, los datos se cifran de un extremo a otro. Consulte el Centro de confianza de Microsoft para obtener más información. Para los servicios que use en las cargas de trabajo, asegúrese de que el cifrado seguro se admite y se configura correctamente para satisfacer los requisitos empresariales.

Patrones de diseño de integridad del sistema

• Supervisión de seguridad: para detectar cambios no autorizados en los sistemas en la nube, diseñe una sólida plataforma de supervisión de seguridad como parte de la estrategia general de supervisión y observabilidad. Consulte la sección Administración de la metodología de supervisión para obtener instrucciones generales detalladas. Consulte la guía de visibilidad, automatización y orquestación de Confianza cero para obtener recomendaciones sobre la supervisión de la seguridad.

  • SIEM y detección de amenazas: use la información de seguridad y la administración de eventos (SIEM) y las herramientas de orquestación de seguridad, automatización y respuesta (SOAR) y las herramientas de detección de amenazas para detectar actividades sospechosas y posibles amenazas en la infraestructura.

• Administración automatizada de configuraciones: codifique el uso de herramientas para automatizar la administración de la configuración. La automatización le ayuda a garantizar que todas las configuraciones del sistema sean coherentes, libres de errores humanos y que se apliquen automáticamente.

• Administración automatizada de revisiones: codifique el uso de herramientas para administrar y gobernar las actualizaciones de las máquinas virtuales. La aplicación automatizada de revisiones ayuda a garantizar que todos los sistemas se revisan periódicamente y que las versiones del sistema son coherentes.

• Implementaciones automatizadas de infraestructura: codifique el uso de la infraestructura como código (IaC) para todas las implementaciones. Implemente IaC como parte de las canalizaciones de CI/CD. Aplique los mismos procedimientos de implementación seguros para las implementaciones de IaC que para las implementaciones de software.

Facilitación de Azure

• Azure Policy y Microsoft Defender for Cloud trabajan juntos para ayudarle a definir y aplicar directivas de seguridad en todo el patrimonio de la nube. Ambas soluciones admiten la gobernanza de los elementos fundamentales y los recursos de carga de trabajo.

• Azure Update Manager es la solución nativa de administración de revisiones y actualizaciones de Azure. Puede ampliarlo a sistemas locales y sistemas habilitados para Arc.

• Microsoft Sentinel es la solución SIEM y SOAR de Microsoft. Proporciona detección, investigación y respuesta de ciberamenaza, búsqueda proactiva y una visión completa de toda la empresa.

Preparación de la disponibilidad

Diseñar las cargas de trabajo para lograr resistencia ayuda a garantizar que su empresa pueda resistir errores de funcionamiento y incidentes de seguridad, y que las operaciones pueden continuar mientras se solucionan los problemas con los sistemas afectados. Las siguientes recomendaciones, que se alinean con los principios de Cloud Adoption Framework, pueden ayudarle a diseñar cargas de trabajo resistentes:

• Implemente el diseño de aplicaciones resistentes. Adopte patrones de diseño de aplicaciones que mejoren la resistencia frente a incidentes de infraestructura y no de infraestructura, en consonancia con los principios más amplios de Cloud Adoption Framework. Normalice los diseños que incorporan mecanismos de recuperación automática y autoconservación para garantizar el funcionamiento continuo y la recuperación rápida. Para obtener instrucciones detalladas sobre los patrones de diseño resistentes, consulte el pilar Confiabilidad de Well-Architected Framework.

• Adoptar una arquitectura sin servidor. Use tecnologías sin servidor, incluida la plataforma como servicio (PaaS), el software como servicio (SaaS) y la función como servicio (FaaS), para reducir la sobrecarga de administración del servidor, escalar automáticamente con la demanda y mejorar la disponibilidad. Este enfoque apoya el énfasis del Marco de Adopción de la Nube en la modernización de las cargas de trabajo y la optimización continua de la eficiencia operativa.

• Use microservicios y contenedorización. Implemente microservicios y contenedores para evitar aplicaciones monolíticas dividiéndolas en servicios más pequeños e independientes que se pueden implementar y escalar de forma independiente. Este enfoque se alinea con los principios de Cloud Adoption Framework de agilidad y escalabilidad en entornos en la nube.

• Desacople servicios. Aísle estratégicamente los servicios entre sí para reducir el radio de alcance de los incidentes. Esta estrategia ayuda a garantizar que los errores de un componente no afecten a todo el sistema. Es compatible con el modelo de gobernanza de Cloud Adoption Framework al promover unos límites de servicio sólidos y la resistencia operativa.

• Habilite el escalado automático. Asegúrese de que la arquitectura de la aplicación admite el escalado automático para controlar distintas cargas para que pueda mantener la disponibilidad durante los picos de tráfico. Esta práctica se alinea con la guía de Cloud Adoption Framework sobre la creación de entornos de nube escalables y con capacidad de respuesta, y puede ayudarle a mantener los costos manejables y predecibles.

• Implemente el aislamiento de errores. Diseñe la aplicación para aislar errores en tareas o funciones individuales. Si lo hace, puede ayudar a evitar interrupciones generalizadas y mejorar la resistencia. Este enfoque admite el enfoque de Cloud Adoption Framework en la creación de sistemas confiables y tolerantes a errores.

• Asegúrese de alta disponibilidad. Incorpore mecanismos integrados de redundancia y recuperación ante desastres para mantener el funcionamiento continuo. Este enfoque admite los procedimientos recomendados de Cloud Adoption Framework para la alta disponibilidad y el planeamiento de la continuidad empresarial.

• Planee la conmutación automática por error. Implemente aplicaciones en varias regiones para admitir la conmutación por error sin problemas y el servicio ininterrumpido. Este enfoque se alinea con la estrategia de Cloud Adoption Framework para la redundancia geográfica y la recuperación ante desastres.

Preparación para el mantenimiento de la seguridad

Durante la fase de preparación, la preparación para el mantenimiento de la seguridad a largo plazo implica garantizar que los elementos fundamentales de su infraestructura se adhieren a las mejores prácticas de seguridad para las tareas iniciales, pero también sean escalables. Esto le ayuda a asegurarse de que, a medida que su patrimonio crece y evoluciona, su seguridad no se verá comprometida y la administración de su seguridad no se volverá demasiado compleja y pesada. Esto, a su vez, le ayuda a evitar los comportamientos de TI en la sombra. Para ello, durante la fase De preparación, piense en cómo se pueden lograr los objetivos empresariales a más largo plazo sin importantes rediseños arquitectónicos o revisiones importantes a las prácticas operativas. Incluso si decide establecer una base mucho más sencilla que un diseño de zona de aterrizaje, asegúrese de que puede realizar la transición del diseño fundamental a una arquitectura empresarial sin necesidad de volver a implementar los elementos principales de su patrimonio, como las redes y las cargas de trabajo críticas. La creación de un diseño que pueda crecer a medida que crece su infraestructura, manteniéndose seguro, es fundamental para el éxito de su recorrido en la nube.

Consulte Transición de un entorno de Azure existente a la arquitectura conceptual de la zona de aterrizaje de Azure para obtener recomendaciones sobre cómo mover una superficie de Azure existente a una arquitectura de zona de aterrizaje.

Paso siguiente

Realización de la adopción de la nube con seguridad mejorada