Buenas prácticas de despliegue

Fystack aplica controles de seguridad estrictos en sus despliegues para proteger la infraestructura de producción y el material criptográfico sensible. Este documento describe nuestros principios fundamentales de seguridad en el despliegue: aislamiento de red, control de acceso y protección de endpoints.

1. Despliegue en redes privadas con acceso por VPN

Toda la infraestructura de producción de Fystack se despliega dentro de redes privadas con acceso obligatorio por VPN, lo que garantiza que los servicios críticos nunca queden expuestos directamente a internet.

Arquitectura de red

Requisitos de acceso por VPN

Todo el personal que accede a la infraestructura de producción debe autenticarse a través de la VPN con los siguientes controles:

• Autenticación multifactor (MFA): se requieren llaves de seguridad físicas o apps de autenticación
• Cumplimiento de dispositivos: solo dispositivos administrados con cifrado de disco completo y protección de endpoints
• Lista de IP permitidas: acceso VPN restringido a rangos de IP autorizados
• Monitoreo de sesiones: todas las sesiones VPN se registran y se monitorean en busca de anomalías
• Expiración automática: las sesiones VPN expiran tras 8 horas de inactividad
• Autenticación basada en certificados: se requieren certificados de cliente además de las credenciales

Segmentación de red

2. Roles de Cloud IAM para el acceso a KMS y Secret Manager

Fystack usa roles de Cloud IAM para aplicar el principio de mínimo privilegio en el acceso a Key Management Service (KMS) y Secret Manager. Solo los servicios esenciales y los ejecutivos de nivel C tienen acceso al material criptográfico crítico.

Modelo de acceso IAM

Restricciones de las cuentas de servicio

Los servicios de aplicación acceden a KMS y Secret Manager mediante cuentas de servicio con permisos estrictamente acotados:

• Cuentas por servicio: cada servicio tiene su propia cuenta de servicio dedicada
• Permisos mínimos: solo los permisos necesarios para operaciones específicas
• Control de acceso por secreto: el acceso se otorga por secreto individual, no a todo el almacén de secretos
• Credenciales con vigencia limitada: los tokens de las cuentas de servicio expiran y rotan automáticamente
• Registros de auditoría: todo acceso a KMS y Secret Manager queda registrado en un registro de auditoría inmutable

Políticas de control de acceso

Ejemplo de política de acceso a KMS:

• El CEO y el CTO pueden administrar las claves de KMS y ver los registros de auditoría
• Las cuentas de servicio de las aplicaciones solo pueden cifrar y descifrar con claves específicas
• Todo uso de claves se registra con la identidad de quien lo invoca y una marca de tiempo
• Eliminar una clave requiere doble autorización del CEO y del CTO
• La rotación de claves está automatizada y monitoreada

Ejemplo de política de acceso a Secret Manager:

• El CEO y el CTO pueden crear, leer, actualizar y eliminar secretos
• Los servicios de aplicación solo pueden leer los secretos que tienen asignados
• El acceso a los secretos se registra con la identidad del servicio y la dirección IP
• Las versiones de los secretos son inmutables y se conservan con fines de auditoría
• La rotación de secretos desencadena actualizaciones automáticas de los servicios

3. Detección y respuesta en endpoints (EDR)

Fystack despliega soluciones de detección y respuesta en endpoints (EDR) como CrowdStrike o Bitdefender como sidecars para detectar y prevenir intentos de infiltración en todos los sistemas de producción.

Arquitectura de despliegue de EDR

Capacidades de EDR

Detección de amenazas:

• Análisis de comportamiento: identifica comportamientos anómalos de procesos y escalamiento de privilegios
• Detección basada en firmas: bloquea malware y exploits conocidos
• Machine learning: detecta amenazas de día cero y amenazas persistentes avanzadas (APT)
• Detección de movimiento lateral: identifica intentos de acceso no autorizado entre sistemas
• Protección contra ransomware: detecta y bloquea intentos de cifrado de archivos

Acciones de respuesta:

• Contención automática: aísla de la red los contenedores comprometidos
• Terminación de procesos: finaliza automáticamente los procesos maliciosos
• Captura forense: conserva el estado de la memoria y el disco para la investigación
• Escalamiento de alertas: notificación inmediata al equipo de seguridad
• Capacidad de reversión: restauración desde imágenes de contenedor verificadas

Monitoreo y alertas de EDR

Integración de EDR

• Integración con SIEM: los eventos de EDR se reenvían al sistema de gestión de información y eventos de seguridad (SIEM)
• Playbooks de respuesta a incidentes: flujos de respuesta automatizados para escenarios de amenaza comunes
• Fuentes de inteligencia de amenazas: actualizaciones en tiempo real sobre amenazas emergentes e indicadores de compromiso
• Informes de cumplimiento: informes de cumplimiento automatizados para auditorías de seguridad
• Análisis forense: telemetría detallada para la investigación posterior a incidentes

4. Resumen

La estrategia de seguridad de despliegue de Fystack se basa en tres pilares fundamentales:

1. Aislamiento en redes privadas con acceso por VPN, que garantiza que la infraestructura crítica nunca quede expuesta directamente a internet
2. Controles IAM estrictos, que limitan el acceso a KMS y Secret Manager solo al CEO y al CTO, con permisos mínimos para las cuentas de servicio
3. Despliegue de EDR como sidecar, que proporciona detección de amenazas en tiempo real y respuesta automatizada en todos los sistemas de producción

Estos controles funcionan en conjunto para crear una postura de seguridad de defensa en profundidad que protege las claves criptográficas, los datos sensibles y la infraestructura de producción frente a amenazas tanto externas como internas.