Introducción al banco de pruebas de seguridad en la nube de Microsoft
Nota:
Microsoft Cloud Security Benchmark es el sucesor de Azure Security Benchmark (ASB), que cambió de nombre en octubre de 2022.
Los nuevos servicios y características se publican diariamente en las plataformas de proveedores de servicios en la nube y Azure, los desarrolladores publican rápidamente nuevas aplicaciones en la nube basadas en estos servicios y los atacantes buscan constantemente nuevas formas de aprovechar los recursos mal configurados. La nube se mueve rápido, los desarrolladores se mueven rápido y los atacantes también se mueven rápidamente. ¿Cómo puede mantenerse al día y asegurarse de que sus implementaciones en la nube están seguras? ¿Cómo son las prácticas de seguridad para los sistemas en la nube diferentes de los sistemas locales y diferentes entre los proveedores de servicios en la nube? ¿Cómo se supervisa la carga de trabajo para la coherencia en varias plataformas en la nube?
Microsoft ha descubierto que el uso de pruebas comparativas de seguridad puede ayudarle a proteger rápidamente las implementaciones en la nube. Un marco de procedimientos recomendados de seguridad completo de los proveedores de servicios en la nube puede proporcionarle un punto de partida para seleccionar opciones de configuración de seguridad específicas en el entorno de nube, entre varios proveedores de servicios y permitirle supervisar estas configuraciones mediante un solo panel de control.
La prueba comparativa de seguridad en la nube de Microsoft (MCSB) incluye una colección de recomendaciones de seguridad de alto impacto que puede usar para ayudar a proteger los servicios en la nube en un entorno único o multinube. Las recomendaciones de MCSB incluyen dos aspectos clave:
- Controles de seguridad: estas recomendaciones suelen aplicarse en las cargas de trabajo en la nube. Cada recomendación señala una lista de partes interesadas que suelen estar implicadas en el planeamiento, la aprobación o la implementación de la prueba comparativa.
- Líneas base de servicio: aplican los controles a servicios en la nube individuales para proporcionar recomendaciones sobre la configuración de seguridad de ese servicio específico. Actualmente solo hay líneas de base de servicio disponibles para Azure.
Implementación del punto de referencia de seguridad en la nube de Microsoft
- Planee la implementación de MCSB mediante la revisión de la documentación de los controles empresariales y las líneas de base específicas del servicio a fin de planificar el marco de control y cómo se asigna a guías como las de Controles del Centro de seguridad de Internet (CIS), el Instituto Nacional de Estándares y Tecnología (NIST) y el marco de seguridad de datos del sector de tarjetas de pago (PCI-DSS).
- Supervise el cumplimiento con el estado de MCSB (y otros conjuntos de controles) mediante el Microsoft Defender for Cloud : panel de cumplimiento normativo para su entorno de varias nubes. .
- Establezca límites de protección para automatizar configuraciones seguras y aplicar el cumplimiento de MCSB (y otros requisitos de la organización) mediante características como Azure Blueprints, Azure Policy o las tecnologías equivalentes de otras plataformas de nube.
Casos de uso comunes
La prueba comparativa de seguridad en la nube de Microsoft se puede usar a menudo para abordar los desafíos comunes de los clientes o asociados de servicio que son:
- Novedades de Azure (y otras principales plataformas en la nube, como AWS) y buscando procedimientos recomendados de seguridad para garantizar una implementación segura de servicios en la nube y su propia carga de trabajo de aplicación.
- Buscando mejorar la posición de seguridad de las implementaciones en la nube existentes para priorizar los principales riesgos y mitigaciones.
- Usar entornos de varias nubes (como Azure y AWS) y enfrentar desafíos para alinear la supervisión y evaluación del control de seguridad mediante un único panel de cristal.
- Evaluar las características y funcionalidades de seguridad de Azure (y otras principales plataformas en la nube, como AWS) antes de incorporar o aprobar servicios en el catálogo de servicios en la nube.
- Tener que cumplir los requisitos de cumplimiento en sectores altamente regulados, como el gobierno, las finanzas y la atención sanitaria. Estos clientes deben asegurarse de que sus configuraciones de servicio de Azure y otras nubes cumplan la especificación de seguridad definida en el marco, como CIS, NIST o PCI. MCSB proporciona un enfoque eficaz con los controles ya asignados previamente a estas pruebas comparativas del sector.
Terminología
Los términos "control" y "línea de base" se usan a menudo en la documentación del banco de pruebas de seguridad en la nube de Microsoft. Es importante comprender cómo MCSB usa estos términos.
| Término | Descripción | Ejemplo |
|---|---|---|
| Control | Un control es una descripción de alto nivel de una característica o actividad que debe abordarse y no es específico de una tecnología o implementación. | La protección de datos es una de las familias de control de seguridad. La protección de datos contiene acciones específicas que deben abordarse para ayudar a garantizarla. |
| Línea base | Una línea de base es la implementación del control en los servicios individuales de Azure. Cada organización determina una recomendación de punto de referencia y, en Azure, se necesitan las configuraciones correspondientes. Nota: Actualmente solo hay líneas de base de servicio disponibles para Azure. | La empresa Contoso busca habilitar las características de seguridad de Azure SQL según la configuración recomendada en la línea de base de seguridad de Azure SQL. |
Le damos la bienvenida a sus comentarios sobre el banco de pruebas de seguridad en la nube de Microsoft. Le animamos a que proporcione comentarios en el área de comentarios que aparece a continuación. Si prefiere compartir su entrada de forma más privada con el equipo de seguridad en la nube de Microsoft, envíenos un correo electrónico a benchmarkfeedback@microsoft.com.