Garantizar el acceso seguro a la red
Adopte las siguientes mejores prácticas para proteger sus redes virtuales en la nube, subredes, equilibradores de carga y otros recursos de red.
Implantar controles de acceso a la red
Arquitectura empresarial, arquitecto de seguridad, arquitecto de red
- Defina políticas de IAM adecuadas para limitar el acceso a los recursos de red solo a los usuarios y grupos que pueden gestionar los recursos de red.
- Formule una estrategia de subred por niveles para la VCN:
- Subred DMZ para equilibradores de carga.
- Subredes públicas para hosts accesibles externamente, como servidores de aplicaciones web e instancias que ejecutan sistemas de detección de intrusiones (IDS).
- Subredes privadas para hosts internos como bases de datos.
- Las instancias informáticas que están asociadas a una subred privada solo pueden tener direcciones IP privadas.
- Conecte hosts sensibles a la seguridad (sistemas de base de datos, por ejemplo) a subredes privadas. Para la conectividad de dichos hosts a Internet, utilice un gateway de NAT. Para permitir que los hosts accedan a otros servicios de Oracle Cloud Infrastructure, utilice un gateway de servicio.
- Los grupos de seguridad de red proporcionan un control detallado del tráfico que fluye entre vNICs controlado por el grupo de seguridad de red.
- Las listas de seguridad controlan el tráfico que puede fluir dentro y fuera de subredes.
- Utilice grupos de seguridad de red para controlar el acceso a sus recursos en subredes públicas y privadas:
- Permita solo los flujos de red necesarios para una carga de trabajo creando grupos de seguridad para cada nivel de la aplicación.
- No permita el tráfico lateral innecesario dentro o entre niveles de aplicación.
- No permita que los niveles de aplicación se comuniquen con otros niveles a menos que sea necesario.
- Utilice reglas de seguridad granulares para regular la comunicación dentro de la VCN, con Internet, con otras VCN conectadas mediante gateways de intercambio de tráfico y con hosts locales.
- Para configurar un sistema de detección de intrusiones y explorar todo el tráfico saliente, utilice la función de tabla de rutas de la VCN.
- Los logs de flujos de subred de VCN registran el tráfico que fluye dentro de una VCN. Active los logs de flujo de subred de la VCN y controle regularmente su contenido.
- Active el firewall de aplicaciones web para servicios HTTPS orientados al público.
Proteger los equilibradores de carga
Arquitectura empresarial, arquitecto de seguridad, arquitecto de red
- Para terminar TLS en el equilibrador de carga, utilice un equilibrador de carga HTTP. Para terminar TLS en un servidor backend, utilice un equilibrador de carga TCP.
- Puede configurar el acceso de red a los equilibradores de carga mediante listas de seguridad de red o grupos de seguridad de red.
- Defina políticas de IAM para limitar los permisos para gestionar los equilibradores de carga a un juego mínimo de usuarios y grupos.
Restricción del acceso mediante orígenes de red
Arquitectura empresarial, arquitecto de seguridad, arquitecto de red
Un origen de red es un juego de direcciones IP definidas. Las direcciones IP pueden ser direcciones IP públicas o direcciones IP de las VCN de su arrendamiento.Los recursos de red solo se pueden crear en el arrendamiento (o compartimento raíz) y, al igual que otros recursos de identidad, residen en la región principal.
Puede utilizar orígenes de red para ayudar a proteger su arrendamiento de las siguientes maneras:
- Especifique el origen de red en una política de IAM para restringir el acceso a los recursos. Cuando se especifica en una política, IAM valida que las solicitudes para acceder a un recurso de una dirección IP permitida. Por ejemplo, puede restringir el acceso a los bloques de Object Storage de su arrendamiento solo a los usuarios conectados a Oracle Cloud Infrastructure a través de su red corporativa. También puede permitir que solo los recursos que pertenecen a subredes específicas de una VCN en concreto realicen solicitudes a través de un gateway de servicio.
- Especifique el origen de red en la configuración de autenticación de su arrendamiento para restringir la conexión a la consola. Puede configurar la política de autenticación de su arrendamiento para permitir la conexión a la consola solo desde las direcciones IP especificadas en el origen de red. Se denegará el acceso a los usuarios que intenten conectarse desde una dirección IP no incluida en la lista permitida en el origen de red.
Registros y zonas de DNS seguros
Arquitectura empresarial, arquitecto de seguridad, arquitecto de red
Defina las políticas de IAM para limitar los usuarios que pueden modificar los registros y las zonas de DNS.
Uso de zonas de máxima seguridad en Oracle Cloud Infrastructure
Arquitectura empresarial, arquitecto de seguridad, arquitecto de red
Cuando empiece un nuevo proyecto y cree una nueva solución, hay una amplia guía de mejores prácticas allí, desde muchas fuentes diferentes, como:
- Recomendaciones de proveedores
- Normas y políticas organizativas
- Marcos externos
- cumplimiento normativo
- Arquitectura de referencia
Estas mejores prácticas suelen abarcar diversos temas de seguridad, como autenticación, cifrado, almacenamiento, control de acceso, etc. Sin embargo, en muchos casos, se ignora el asesoramiento sobre mejores prácticas. Lo hemos visto muchas veces: los plazos del proyecto, las restricciones presupuestarias, las brechas de conocimientos y los entornos que comienzan como no relacionados con la producción pueden significar que no se siguen las mejores prácticas relevantes, lo que lleva a un entorno inseguro y una postura de seguridad débil.
El servicio de zonas de máxima seguridad de Oracle Cloud Infrastructure tiene como objetivo ayudar a minimizar este riesgo. Una zona de seguridad es un control preventivo que, por naturaleza del hecho de que contiene datos y recursos confidenciales, es restrictivo por su diseño. Por ejemplo, las zonas de máxima seguridad se liberarán con una política de máxima seguridad activada. Esto asume que no se debe permitir el acceso público y que los datos confidenciales deben separarse de Internet en la medida de lo posible. La política de seguridad fuerza esta posición evitando que, en tiempo real, cree recursos que rompan esta política.