¿Qué es AWS Security Lake? Importancia y prácticas recomendadas

Este blog explica qué es AWS Security Lake y cómo ayuda a la ciberseguridad. Este artículo cubre sus características y las mejores prácticas para utilizarlo de manera eficaz con el fin de mejorar la detección de amenazas y optimizar las operaciones de seguridad.

AWS Security Lake es una solución fácil de implementar diseñada para funcionar con sus fuentes locales y en la nube con el fin de centralizar automáticamente todos sus datos de seguridad. Esta oferta patentada estandariza y normaliza los datos de seguridad en un formato que se ajusta al Open Cybersecurity Schema Framework (OCSF), lo que hace que las operaciones de análisis sean sencillas, rápidas y reveladoras.

No se puede exagerar la importancia de AWS Security Lake en la ciberseguridad. La detección, investigación y respuesta rápidas a los incidentes de seguridad son de vital importancia para discernir las amenazas cibernéticas en rápida evolución. Los datos de seguridad consolidados en un formato estandarizado con potentes capacidades de análisis a través de AWS Security Lake permiten a los equipos de seguridad lograr una mayor cobertura de su panorama de amenazas en constante expansión.

Introducción a AWS Security Lake

AWS Security Lake es un servicio que ayuda a las organizaciones a crear una seguridad de AWS lago de datos donde pueden centralizar todos sus registros relacionados con alertas y otros casos de uso específicos de seguridad. La plataforma está diseñada para proporcionar una forma común de recopilar, almacenar y analizar datos de actividad de los servicios de AWS, así como de aplicaciones de terceros. No solo se refiere a la configuración, sino que también incluye registros de seguridad, como datos de registros personalizados.

Security Lake permite a las organizaciones aprovechar la escala y la rentabilidad de AWS, lo que les ayuda a simplificar las operaciones de seguridad y, al mismo tiempo, les proporciona una amplia visibilidad para acelerar la detección y la capacidad de respuesta.

AWS Security Lake funciona con el Open Cybersecurity Schema Framework (OCSF) para garantizar que los datos de seguridad estén estandarizados, de modo que puedan analizarse y correlacionarse a partir de diferentes fuentes de información. Esta estandarización supone una menor carga administrativa para gestionar los distintos registros de seguridad y ayuda a las organizaciones a hacer un uso eficiente de la información sobre su propia seguridad.

En comparación con los métodos tradicionales de almacenamiento de datos relacionados con la seguridad, Amazon Security Lake es bastante diferente. La principal dificultad de los métodos tradicionales es que los registros se almacenan en distintos lugares (sistemas aislados). El primer problema descrito es la fragmentación de las herramientas, lo que ralentiza la detección y el tiempo de respuesta ante incidentes que aumentan el riesgo de seguridad.

AWS Security Lake proporciona un lugar común donde los equipos de seguridad pueden recopilar datos de diferentes fuentes, lo que facilita el análisis y la actuación rápida. Por el contrario, los métodos tradicionales requieren un esfuerzo manual significativo para recopilar, normalizar y analizar los datos.

Además, las soluciones de seguridad tradicionales pueden carecer de la escala y la agilidad necesarias para procesar los crecientes volúmenes de datos de seguridad. Las organizaciones con sistemas antiguos suelen tener dificultades para ampliar su almacenamiento de datos o incorporar nuevos conjuntos de datos. Basándose en este enfoque, AWS Security Lake se ha creado para integrarse con la potente infraestructura de AWS, que ofrece una gran escalabilidad para las crecientes cargas de datos y flexibilidad para fuentes de datos diversificadas.

Arquitectura de AWS Security Lake

AWS Security Lake se basa en una arquitectura segura diseñada específicamente para centralizar y gestionar de forma eficaz los datos de seguridad en la nube de AWS. Los componentes clave de esta arquitectura incluyen:

1. Capa de ingestión de datos: Esta capa recopila datos de seguridad de diversas fuentes, como servicios de AWS, aplicaciones de terceros y fuentes de registros personalizadas.
2. Capa de normalización de datos: Esta capa se utiliza para garantizar que todos los datos ingestados se estandaricen en un formato común, independientemente de la fuente, utilizando el mecanismo OCSF (Open Cybersecurity Schema Framework).
3. Capa de almacenamiento: Esta capa utiliza Amazon S3 para almacenar registros de seguridad normalizados, lo que ofrece un almacenamiento seguro sin límites.
4. Capa de consulta y análisis: Security Lake se integra con herramientas de análisis como Amazon Athena y AWS QuickSight. Su objetivo es permitir a las organizaciones consultar los datos de seguridad almacenados en S3.
5. Capa de presentación e informes: Esta capa ofrece a los equipos de seguridad paneles de control y visualizaciones para estar al tanto de su postura de seguridad y detectar tendencias o anomalías.

Las opciones de ingestión de datos Las opciones son fluidas y de baja latencia tanto para datos en tiempo real como para cargas por lotes. Las aplicaciones sensibles al tiempo se pueden procesar en tiempo real, por ejemplo, capturando registros de seguridad a tiempo mediante el uso de servicios como Amazon Kinesis Data Streams o AWS Lambda. Los métodos de ingestión por lotes se pueden programar para recopilar y cargar registros de datos menos urgentes.

Después de ser consumidos, se normalizan para que los datos sigan siendo coherentes y compatibles entre sí. Esto se logra con el Open Cybersecurity Schema Framework (OCSF), que moldea los datos de seguridad en un formato común para que puedan utilizarse para analizar y correlacionar fuentes dispares.

Estos datos se normalizan y se almacenan en Amazon S3, un servicio de almacenamiento de objetos que ofrece durabilidad, disponibilidad y escalabilidad para grandes cantidades de registros de seguridad generados por los entornos informáticos modernos.

Integración y análisis de datos en AWS Security Lake

AWS Security Lake funciona con muchos otros servicios de AWS y los utiliza para ofrecer funciones de gestión de datos y mucho más. Entre los servicios clave que admiten AWS Security Lake se incluyen:

1. AWS CloudTrail: ofrece a las organizaciones la posibilidad de registrar todas las solicitudes que se realizan dentro de su cuenta de AWS. Esto abarca los cambios en los recursos e incluso lo que hace un usuario individual a diario.
2. Amazon VPC Flow Logs: Registra información sobre el tráfico IP que entra y sale de las interfaces de red en una nube privada virtual (VPC), lo que ayuda a supervisar la seguridad y garantiza el cumplimiento de los requisitos.
3. AWS Security Hub: Security Hub proporciona un lugar centralizado para que los clientes apliquen las políticas que implementan en sus entornos de AWS.
4. AWS Lambda: Las funciones lambda permiten la computación sin servidor, lo que posibilita el procesamiento de datos en tiempo real y la automatización de flujos de trabajo de seguridad que no incluyen el manejo de infraestructura.
5. Amazon Kinesis: Se utiliza para la ingesta y el procesamiento de datos en streaming, como la recopilación de registros de seguridad en tiempo real, etc.

Fuentes de registros personalizadas y políticas de retención de datos

AWS Security Lake no solo está integrado con los servicios de AWS compatibles, sino que también es capaz de ingestar fuentes de registros de fuentes personalizadas. Los usos importantes de esta función son la integración de datos de sus sistemas locales, cortafuegos, soluciones de seguridad de puntos finales o incluso aplicaciones de terceros. AWS Security Lake admite una amplia gama de fuentes de registro, lo que permite a las organizaciones tener una visión global de su ecosistema de seguridad.

Las organizaciones también pueden establecer políticas de retención de datos que determinen durante cuánto tiempo se conservan los datos de seguridad. Estas políticas se pueden personalizar para garantizar el cumplimiento normativo y satisfacer las necesidades operativas, de modo que se conserven los registros necesarios para la auditoría y la investigación, pero los costes de almacenamiento se mantengan dentro de unos límites razonables.

Uso de Amazon Athena para consultas SQL

Amazon Athena permite a los usuarios ejecutar consultas SQL sobre los datos directamente en Amazon S3 sin ningún tipo de movimiento, lo que permite operaciones de análisis rápidas y ágiles. Los analistas o ingenieros de seguridad tienen la capacidad de realizar consultas ad hoc cuando investigan incidentes o anomalías concretos, lo que les permite ser más receptivos a la hora de investigar posibles amenazas.

Athena también es rentable debido a su naturaleza sin servidor, que solo cobra en función de la cantidad de datos escaneados en las consultas, lo que facilita considerablemente el trabajo de los usuarios que necesitan analizar información por diversos motivos.

Integración con AWS QuickSight

AWS QuickSight es un servicio de inteligencia empresarial nativo de la nube que nos ayuda a visualizar la información obtenida de nuestros datos de seguridad. QuickSight, que contiene un amplio conjunto de funciones, ofrece la posibilidad de crear paneles y visualizaciones para realizar consultas interactivas sobre los datos procedentes de AWS Security Lake utilizando Amazon Athena.

Esta integración permite a los equipos de seguridad comprender mejor sus riesgos de seguridad e identificar y comunicar claramente la visibilidad a las partes interesadas. El modelo de precios por sesión de QuickSight permite a las organizaciones compartir informes útiles con la capacidad de controlar los costes.

¿Qué son Security Lake Schema y OCSF?

En el núcleo de AWS Security Lake se encuentra el Open Cybersecurity Schema Framework (OCSF), que estandariza la forma en que se deben gestionar los datos de seguridad. Redefine la forma en que se clasifican, almacenan y analizan los eventos de seguridad procedentes de múltiples fuentes. Mediante el uso de OCSF, Security Lake resuelve el problema común en la ciberseguridad de que los datos jueguen al juego de las conchas y estén desincronizados entre sí.

En esencia, OCSF tiene una estructura jerárquica para categorizar los eventos de seguridad. Se refiere a las categorías, clases y extensiones que proporcionan una mayor granularidad. Por ejemplo, un evento de flujo de red entraría en la categoría "Red" y en la clase "Flujo de red". Los campos estandarizados incluyen la dirección IP de origen, la dirección IP de destino y el protocolo. Este marco jerárquico permite a los analistas de seguridad filtrar grandes cantidades de datos y obtener información relevante sin verse abrumados por el volumen.

En AWS Security Lake, existe un complejo proceso de normalización para OCSF. Los datos se ingieren desde diferentes lugares y deben analizarse, asignarse a atributos OCSF, enriquecerse con información contextual adicional y validarse con respecto al esquema. Este proceso de transformación automática unifica los diversos formatos de registro de las entradas y permite el análisis entre fuentes, lo que antes era difícil o casi imposible.

OCSF cuenta con un conjunto completo de campos predefinidos, al tiempo que ofrece una mayor extensibilidad para satisfacer las necesidades de diferentes organizaciones. Los campos personalizados se implementan a través del mecanismo de extensión OCSF y se pueden añadir simplemente como columnas adicionales en los archivos Parquet, respectivamente, en las definiciones de tabla Athena correspondientes. De esta manera, las organizaciones pueden moldear este esquema de acuerdo con sus necesidades específicas de seguridad sin perder todas las ventajas de la estandarización.lt;/p>

Uno de los puntos fuertes de OCSF es que puede cambiar manteniendo la compatibilidad con versiones anteriores. Para gestionar este crecimiento sin romper las consultas o estructuras de datos existentes, Security Lake implementa un sistema de control de versiones que puede adaptarse a las actualizaciones del esquema. De esta manera, las organizaciones pueden aprovechar las mejoras del esquema y los nuevos tipos de eventos de seguridad, al tiempo que conservan sus datos históricos no relacionados con la seguridad en un estado útil.

¿Cuáles son las principales ventajas de AWS Security Lake?

Estas son algunas de las principales ventajas de AWS Security Lake:

1. Datos de seguridad centralizados: AWS Security Lake elimina el reto que supone la fragmentación de los datos de seguridad que residen en diferentes herramientas, al centralizar los registros y eventos de una amplia gama de fuentes, incluidos los servicios de AWS, los sistemas locales y las aplicaciones de terceros. La centralización permite disponer de un panel de seguridad unificado y una vista de alertas que, de otro modo, requeriría perder tiempo navegando por muchos silos de datos de forma independiente.
2. Detección de amenazas mejorada: El Open Cybersecurity Schema Framework (OCSF) permite estandarizar y normalizar los datos de seguridad en una variedad de formatos, lo que permite abordar las amenazas de forma proactiva. Esta coherencia se traduce en una mejora de las capacidades de detección de amenazas y permite aprovechar los potentes algoritmos de análisis y aprendizaje automático.
3. Cumplimiento más sencillo: El cumplimiento es la principal preocupación de muchas empresas y, independientemente del sector al que pertenezca una organización, todas quieren operar cumpliendo la normativa en todo momento. AWS Security Lake facilita la auditoría y la generación de informes al poner a su disposición todos sus datos de seguridad estructurados en un único lugar centralizado.
4. Bajo coste de almacenamiento: Con AWS Security Lake, basado en la infraestructura escalable de AWS, las organizaciones pueden ahorrar cantidades significativas en su gasto anual. Los precios de AWS Security Lake ofrecen políticas de retención de datos flexibles para que pueda conservar los registros de eventos de seguridad importantes sin exceder el presupuesto.
5. Profundamente integrado: AWS Security Lake se integra profundamente en el conjunto de datos y está bien integrado con otros controles de seguridad importantes y muchas soluciones de terceros.

5 prácticas recomendadas de AWS Security Lake

Las siguientes prácticas recomendadas mejorarán significativamente la seguridad y la eficiencia de AWS Security Lake. Repasemos cada una de ellas.

1. Integración con AWS Security Hub: La integración de AWS Security Lake con AWS Security Hub es una práctica recomendada para que las organizaciones reciban información sobre seguridad de múltiples servicios diferentes dentro de su organización, así como de terceros que hayan integrado en sus gastos generales. En conjunto, esto proporciona a la organización una visión más completa de su postura de cumplimiento y de las áreas que deben abordarse.
2. Habilitar Security Lake en todas las regiones de AWS compatibles: Security Lake debe habilitarse en todas las regiones de AWS compatibles para garantizar la plena eficacia de lo que ofrece.
3. Utilizar AWS CloudTrail para la supervisión: Debe utilizar la API dentro de Security Lake para supervisar el uso, que es un servicio nativo de AWS CloudTrail. CloudTrail también contiene un historial completo de todas las operaciones de API realizadas por cualquier usuario/rol/grupo, que es autoritario tanto para el acceso de auditoría como para los cambios en los datos de seguridad.
4. Revisar y actualizar periódicamente las políticas de retención de datos: Las políticas de retención de datos deben definirse en AWS Security Lake para garantizar que cada política se ajuste a su organización. La posibilidad de personalizar estos ajustes de retención permite a las organizaciones gestionar eficazmente el ciclo de vida de sus datos de seguridad.
5. Implemente el principio del mínimo privilegio: En lo que respecta a Amazon Security Lake, es importante seguir el principio del mínimo privilegio, que solo permite a los usuarios, grupos y roles realizar sus tareas con los permisos mínimos necesarios.

Comprender las limitaciones de AWS Security Lake

Aunque AWS Security Lake ofrece a los clientes una gran flexibilidad para trasladar los datos de seguridad a la nube y centralizar esa información, también presenta algunas limitaciones y posibles retos de implementación. Veámoslos más detenidamente.

Limitaciones actuales de AWS Security Lake

AWS Security Lake es una herramienta increíble, pero tiene unas reglas y limitaciones algo rígidas. Sin embargo, como ocurre con todas las tecnologías en fase de maduración, es esencial conocer estas áreas para implementar y operar/utilizar con éxito la solución. A continuación se presentan cinco problemas técnicos clave con los que puede encontrarse al utilizar una solución basada en AWS Security Lake.

1. Cuellos de botella en el rendimiento de las consultas: AWS Security Lake básicamente consulta los datos utilizando Amazon Athena (basado en un motor de consultas distribuido). Es eficiente para muchos escenarios, pero puede tener problemas de rendimiento cuando el tamaño de los datos o el número de consultas es extremadamente alto. En particular, las consultas que abarcan múltiples uniones en tablas muy grandes o las consultas en las que es necesario escanear una gran cantidad de datos pueden presentar una alta latencia. Esto se debe a la arquitectura de Athena, que lee directamente desde S3, lo que puede provocar cuellos de botella de E/S. Otra desventaja es que Athena no admite la indexación, por lo que cada operación de filtrado en la que se pueda utilizar un índice en las consultas realizará un escaneo completo, lo que empeoraría considerablemente el rendimiento de las consultas selectivas en tablas grandes.
2. Limitaciones de la transformación de datos: Aunque AWS Security Lake se encarga de asignar los datos entrantes al esquema OCSF, puede producirse una pérdida de información contextual o una interpretación errónea de los formatos de registro no estándar. AWS Security Lake utiliza una transformación basada en reglas y no admite algunos campos no estándar o personalizados que pueden verse en formatos de registro propietarios.
3. Retos del control de acceso granular: Aunque AWS Security Lake se ha creado utilizando IAM para el control de acceso, ofrecer un acceso granular a nivel de campo de datos sigue siendo uno de los mayores retos. El servicio opera principalmente en términos de tabla o partición, y es difícil controlar el acceso hasta columnas individuales, por no hablar de elementos específicos dentro de una entrada de registro. Esta limitación puede suponer un reto a la hora de cumplir con las estrictas normativas de privacidad de datos que exigen un control cuidadoso sobre quién tiene acceso a tipos específicos de información.
4. Exportación y portabilidad: Dado que AWS Security Lake no tiene capacidad para exportar datos, no podrá descargar toda su información fácilmente si lo necesita en una fecha posterior. Extraer grandes volúmenes de datos para su análisis externo o migrar a otra plataforma no es una tarea sencilla. Dado que no ofrece herramientas de exportación listas para usar, los usuarios deben escribir scripts personalizados o utilizar soluciones de terceros para extraer datos de Security Lake. Este problema es difícil de superar en algunos escenarios, como las estrategias multicloud, la retención de datos por motivos de cumplimiento normativo en sistemas externos o los análisis especializados que se requieren fuera del ecosistema de AWS.

Posibles retos en la implementación

1. Integración con las herramientas de seguridad existentes: La mayoría de las organizaciones cuentan con una combinación de herramientas y soluciones, lo que puede plantear algunos retos a la hora de integrarlas. La infraestructura existente se ha construido en torno a estos sistemas heredados. Aunque AWS Security Lake podría implementarse en paralelo a esta línea de herramientas, se requiere el apoyo de OCSF como función integrada o una gran personalización, lo que plantea muchos retos.
2. Cumplimiento de la gobernanza de datos: Con la centralización de la información de seguridad, puede resultar difícil adaptarse a las normas industriales y reglamentarias. Sin este tipo de política en torno al acceso, la retención y el intercambio de datos, la implementación puede resultar increíblemente difícil.
3. Problemas relacionados con el rendimiento: Cuando las organizaciones comienzan a utilizar AWS Security Lake a gran escala, pueden encontrarse con problemas de rendimiento, especialmente al ejecutar consultas con cientos de terabytes o incluso petabytes de datos. Las consultas deben ejecutarse rápidamente sin sobrecargar el sistema, por lo que a menudo es necesario optimizarlas.

Conclusión

AWS Security Lake es un potente servicio totalmente gestionado que le ayuda a agregar y analizar de forma centralizada sus datos de seguridad con escalado automático, modelos de aprendizaje automático integrados y una integración perfecta con fuentes de datos de AWS (por ejemplo, VPC Flow Logs), así como con entornos locales o incluso otras nubes. Mediante el uso del Open Cybersecurity Schema Framework (OCSF), mantiene datos de seguridad normalizados y estandarizados para ofrecer un análisis completo de las amenazas a través de una respuesta sencilla basada en reglas.

La cuestión es que, en el mundo cibernético actual, AWS Security Lake es una herramienta imprescindible para mitigar los riesgos y protegerse contra las últimas amenazas de seguridad. Esto proporciona a las organizaciones una visión completa de su postura de seguridad, ofrece capacidades de detección de amenazas más profundas y simplifica la elaboración de informes de cumplimiento.

AWS Security Lake permite a los equipos de seguridad reunir datos de múltiples fuentes dispares en un único repositorio, de modo que puedan comprender rápidamente la información para responder mejor a las incidencias y tener una visibilidad proactiva continua en un panorama de amenazas cada vez más sofisticado.

"

FAQs

¿Qué es AWS Security Lake?

AWS Security Lake es un nuevo servicio totalmente gestionado que se centra en centralizar grandes volúmenes de datos de seguridad procedentes de fuentes dispares, como entornos AWS, entornos de proveedores de SaaS, sistemas locales y aplicaciones de terceros, en un único lago para su análisis, incluyendo servidores, aplicaciones móviles o clústeres de Kubernetes, entre otros, lo que lo convierte en el repositorio más completo de la fuente de verdad agregada en lo que respecta a la seguridad operativa en toda la organización del modelo operativo en la nube.

Automatiza la recopilación, normalización y gestión de registros y eventos de seguridad para permitir a las organizaciones determinar mejor su postura de ciberseguridad. Security Lake utiliza el Open Cybersecurity Schema Framework (OCSF) para normalizar los datos de las personas y facilitar su consulta y análisis.

¿Es AWS S3 un lago de datos?

Podemos utilizar Amazon S3 como un lago de datos. Su almacenamiento escalable de conjuntos de datos masivos en diferentes formatos, estructurados y no estructurados, le permite almacenar enormes cantidades de datos. Los lagos de datos se pueden construir sobre S3 estructurando los datos para facilitar su consulta y análisis, a menudo integrados con servicios adicionales de AWS.

¿Cuál es el equivalente de AWS a un lago de datos?

El lago de datos en AWS estará representado por AWS Lake Formation. Se trata de un servicio totalmente gestionado que facilita la configuración, la seguridad y la gestión de los lagos de datos en AWS. Ayuda a las organizaciones a recopilar, combinar y proteger datos de muchos puntos de resolución diferentes, por lo que resulta fácil manejar conjuntos de datos más grandes mientras se analizan los detalles recopilados.