El pasado 10 de febrero, Amazon Web Services actualizó su ebook sobre medidas de protección en su servicio de almacenamiento, Amazon S3. Los ataques de ransomware han aumentado debido a la migración cada vez más común a la nube.
Riesgos y vulnerabilidades
Según el equipo de seguridad de Orca, suele tardarse alrededor de 91 días en resolver problemas relacionados con malware en sistemas de almacenamiento en la nube. Aunque no se puede ejecutar malware directamente en un bucket, este es una instancia utilizada por muchos usuarios y recursos, lo que amplifica su impacto.
Los tipos principales de malware detectados en buckets son troyanos y scripts que buscan explotar CVEs. Un porcentaje muy pequeño corresponde a webshells. Las prácticas más frecuentes que derivan en ataques de ransomware son la filtración de claves de acceso del servicio IAM, vulnerabilidades en aplicaciones desplegadas en Amazon EC2 con credenciales IAM asociadas y el servicio de metadatos IMDSv1 activo.
Medidas de mitigación
El uso de IMDSv1 puede dar lugar a ataques SSRF, lo cual puede mitigarse al usar IMDSv2. Tras obtener las claves IAM, los atacantes suelen comprobar los permisos mediante llamadas a distintas API de AWS.
Se pueden observar eventos poco comunes, como la eliminación de objetos en los buckets o el cifrado de dichos objetos. AWS ofrece servicios que permiten detectar estos incidentes, entre ellos: AWS CloudTrail, Métricas de AWS CloudWatch para Amazon S3 y métrica «region-DataTransfer-Out-Bytes».
Recuperación de datos
Se puede optar por crear un segundo par de claves para reemplazar las filtradas, desactivando las comprometidas. Si las credenciales son temporales, también será necesario revocar las sesiones activas.
AWS recomienda llevar a cabo simulaciones de respuesta ante incidentes para preparar al equipo y validar procesos existentes. Para que un ataque de ransomware tenga éxito, el atacante debe ser capaz no solo de cifrar los datos, sino también de bloquear el acceso a los mismos.
Opciones de protección
AWS ofrece dos opciones destacadas para la recuperación de datos: versionado de buckets y AWS Backup. El versionado de buckets permite mantener varias versiones de un objeto en un mismo bucket, facilitando su restauración. El versionado no está habilitado por defecto y puede suponer costes adicionales.
AWS Backup permite crear y mantener copias separadas de la información almacenada en los buckets, protegidas por credenciales de acceso diferentes. Las opciones de protección pueden incluir S3 Object Lock, AWS Backup Vault Lock, Amazon S3 Inventory, uso de roles IAM para credenciales temporales, cifrado del lado del servidor con claves KMS administradas por el cliente.
Automatización y gestión
La aplicación de parches para resolver vulnerabilidades puede ser tediosa. Se puede hacer uso de AWS Systems Manager junto con Amazon Inspector para automatizar el proceso. El uso de un diseño estándar en AWS VPC ayuda a proteger la infraestructura.
Se recomienda planear y administrar cuidadosamente la infraestructura de red, usando el mismo número de zonas de disponibilidad (AZ) y subredes públicas y privadas en cada AZ con listas de control de acceso de red comunes. Dentro de este paraguas cae el uso de múltiples cuentas de AWS, AWS Firewall Manager y Route 53 Resolver DNS Firewall para regular el tráfico DNS basado en una lista de dominios actualizada con nuevas amenazas.
Recomendaciones iniciales
Para usuarios nuevos o que encuentren dificultades al aplicar las medidas mencionadas, se recomienda comenzar por una arquitectura básica de seguridad en AWS. Existe una plantilla de AWS CloudFormation para facilitar la tarea.