Laboratorio de postura de seguridad en la nube
Haz el triaje de buckets públicos, puertos abiertos, claves de root, IAM con comodines, snapshots públicos, IMDSv1 y confianza entre cuentas en un entorno multicuenta, sin romper producción.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un escáner de postura te entrega cientos de hallazgos, todos marcados como urgentes. El trabajo es decidir cuáles importan, quién los corrige y cómo corregirlos sin tirar producción. Este laboratorio de triaje de postura de seguridad en la nube (CSPM) te da 30 hallazgos de un escáner sobre el entorno de nube de 6 cuentas de una empresa de transporte ficticia, con un entorno adquirido del que nadie es del todo responsable, en 6 rondas que se van endureciendo. Cubre buckets públicos con y sin datos sensibles, puertos SSH, RDP y de base de datos abiertos a 0.0.0.0/0, claves de acceso antiguas sin MFA, claves de acceso de root, políticas con comodines y con PassRole, snapshots públicos sin cifrar, políticas de claves KMS demasiado amplias, IMDSv1, una región sin registro de auditoría, balanceadores de carga huérfanos y roles entre cuentas sin external ID. Para cada hallazgo tomas cuatro decisiones: la gravedad (exposición por sensibilidad de los datos), el responsable que puede cambiarlo, la corrección exacta y la disposición: corregir ya, planificarlo, aceptarlo con una excepción documentada, cerrarlo como esperado o abrir un incidente. 7 hallazgos son señuelos que parecen malos y están bien, como el bucket del sitio web público o la política por defecto de una clave KMS, y muchas correcciones son trampas que rompen producción, como cerrar el puerto que usa la comprobación de estado de un balanceador. Una responsable de la plataforma de nube reacciona a cada decisión con el razonamiento, cada hallazgo se relaciona con controles al estilo de los benchmarks, las partidas tienen semilla (?seed= reproduce una) y el resumen exporta un plan de remediación y un registro de excepciones en Markdown. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Lee cada hallazgo del escáner con su contexto: cuenta, región, servicio, recurso y pruebas.
- Fija la gravedad por exposición y sensibilidad de los datos, no por la etiqueta del escáner.
- Elige al responsable, la corrección exacta y la disposición: corregir ya, planificar, excepción documentada, cerrar como esperado o abrir un incidente.
- Evita los señuelos y las correcciones que rompen producción, y exporta el plan de remediación y el registro de excepciones.
Preguntas frecuentes
¿Qué es el laboratorio de postura de seguridad en la nube?
Un laboratorio de formación en el navegador para el triaje de la gestión de la postura de seguridad en la nube (CSPM). Revisas 30 hallazgos de un escáner de postura en las 6 cuentas de nube de una empresa ficticia: producción, datos, desarrollo, seguridad, la cuenta de administración de la organización y la cuenta de una empresa adquirida. Para cada hallazgo fijas una gravedad, eliges al responsable, escoges la corrección precisa y decides si corregirlo ya, planificar la corrección, aceptar el riesgo con una excepción documentada, cerrarlo como configuración esperada o abrir un incidente.
¿Cómo debo fijar la gravedad de un error de configuración en la nube?
Por la exposición y los datos, no por la etiqueta del escáner. Pregúntate quién puede llegar al recurso (internet, cualquier cuenta de AWS, un socio, solo la VPC, nadie) y qué contiene o controla (datos personales restringidos, derechos de administración de producción, datos de prueba sintéticos, contenido de marketing público). Un bucket público con datos personales de clientes es crítico; un bucket público con la caché de compilación es bajo; un bucket de sitio web público no es un riesgo tal y como está configurado. Las pruebas de uso, como una IP desconocida descargando archivos o una clave de root usada hace una hora, convierten un hallazgo de ticket en incidente.
¿Qué errores de configuración cubre?
Buckets de S3 públicos mediante políticas de bucket, ACL de AllUsers y el grupo AuthenticatedUsers; grupos de seguridad abiertos a 0.0.0.0/0 en SSH 22, RDP 3389, PostgreSQL 5432 y un puerto de aplicación; usuarios de IAM con claves de acceso antiguas y sin MFA; claves de acceso del usuario root; políticas «*:*» e iam:PassRole sobre «*»; roles de emergencia (break-glass); snapshots de EBS y RDS públicos y sin cifrar; políticas de claves KMS con Principal «*»; IMDSv1 en instancias expuestas a internet; un registro de auditoría que no cubre todas las regiones; la política del bucket de archivo de logs; balanceadores de carga huérfanos y de recuperación ante desastres; y roles entre cuentas que confían en proveedores sin external ID, que confían en «*» o que confían en toda una cuenta de desarrollo.
¿Cuáles son las trampas?
Correcciones que suenan bien y rompen producción: activar Block Public Access en el bucket del sitio web público, borrar la clave de acceso que usó el despliegue nocturno hace seis horas, quitar el puerto que necesita la comprobación de estado de un balanceador, eliminar la declaración de la raíz de la cuenta de la política de una clave KMS (lo que deja la clave inmanejable), exigir IMDSv2 mientras un agente todavía usa IMDSv1 y añadir un external ID a un rol que asume tu propio escáner. El laboratorio marca cada una como rotura de producción y explica qué comprobar primero: los flow logs, los datos del último uso, la métrica MetadataNoToken o el runbook.
¿Cuándo es una excepción documentada la respuesta correcta?
Cuando el riesgo es real pero deliberado y controlado: un bucket de sitio web público que solo sirve contenido de marketing, un rol de administración de emergencia protegido por MFA y una alarma, un balanceador de recuperación ante desastres que está vacío hasta la conmutación, o un host que necesita IMDSv1 hasta que llegue la actualización de un agente. Una buena excepción nombra un responsable, el motivo, el control compensatorio y una fecha de revisión o de caducidad. Cuando la regla del escáner simplemente no encaja, como un balanceador público en el 443 o CloudTrail escribiendo en el archivo de logs, ciérralo como configuración esperada y ajusta la regla.
¿Relaciona los hallazgos con controles CIS?
Cada hallazgo se relaciona con controles al estilo de los benchmarks, como bloquear el acceso público al almacenamiento, no tener claves de acceso de root, MFA para los usuarios de consola, ninguna política «*:*», ningún acceso entrante desde 0.0.0.0/0 a puertos de administración, un registro de auditoría multirregión y exigir IMDSv2. La mayoría siguen recomendaciones de los benchmarks CIS de fundamentos de nube; el resto, como los external ID para roles de terceros, proceden de las guías de seguridad de los proveedores. Los nombres están parafraseados y sin numerar porque la numeración cambia entre versiones de los benchmarks.
¿Cómo se puntúa y qué son la semilla y los niveles de dificultad?
Cada una de las cuatro decisiones vale 2 puntos, y 1 por un casi acierto defendible (una gravedad a una banda de distancia, un corresponsable, una corrección que funciona pero deja algo atrás), así que 8 por hallazgo. Supera el 75 % para aprobar, y por debajo del tiempo de referencia para mejor nota. Rookie juega 6 hallazgos, Pro 12 y Elite 18, y en Elite siempre aparecen las trampas más difíciles. La semilla decide qué hallazgos aparecen y el orden de las correcciones, así que un enlace con ?seed= da a un colega la misma partida.
¿Es una cuenta de nube real?
No. Nada se conecta a un proveedor de nube. La empresa, las cuentas, las personas y los proveedores son inventados; los ID de cuenta son marcadores al estilo de la documentación como 111122223333, los dominios usan el dominio de nivel superior reservado .example y las direcciones IP proceden de los rangos de documentación RFC 5737 y de los privados RFC 1918. El comportamiento de AWS que se describe, como Block Public Access, IMDSv2, las políticas de claves KMS y los external ID, es real y está escrito con precisión.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.