Introducción

Aruba Central Seguridad La seguridad de datos es una parte importante de cualquier aplicación innovadora, donde la información más privada se mantiene en forma digital. El elemento principal de la seguridad de datos implica que tanto los datos en inactividad como en tránsito estén protegidos y se implementen controles técnicos para la protección contra la pérdida de datos.

A continuación te presentamos algunas medidas de ciberseguridad de datos que están presentes en Aruba Central.

Transferencia de datos: todo el intercambio de datos entre la app, los dispositivos y los usuarios se realiza mediante el protocolo seguro HTTP.

Cifrado de datos

Todos los datos inactivos  se cifran y almacenan. Esto incluye el cifrado de volúmenes EBS de Amazon EC2 y depósitos S3. El cifrado del lado del servidor con claves de cifrado administradas por Amazon S3 (SSE-S3) utiliza un cifrado sólido de múltiples factores. Amazon S3 cifra cada objeto con una clave única. Como medida de seguridad adicional, cifra la propia clave con una clave maestra que rota periódicamente. El cifrado del lado del servidor de Amazon S3 utiliza uno de los cifrados de bloque más fuertes disponibles, el estándar de cifrado avanzado de 256 bits (AES-256) para cifrar datos. Existe un mecanismo similar para los volúmenes de EBS.

Aislamiento lógico

El cifrado de datos en tránsito No está habilitado dentro de la VPC; sin embargo, existe un control de compensación para el cifrado de datos en tránsito dentro de VPC. Una VPC de Amazon AWS proporciona un aislamiento lógico de los recursos y aísla inherentemente los componentes dentro de la VPC de Amazon de todas las demás VPC. Además, Aruba limita la cantidad de subredes públicas dentro de la AWS VPC interna y enruta el tráfico de salida a través de NAT ubicado en la subred pública. Todos los demás hosts se implementan en subredes privadas.

Copia de seguridad de datos: La copia de seguridad de datos se realiza periódicamente y los datos de copia de seguridad se almacenan de forma redundante.

Borrado de datos: Todos los datos se almacenan durante un tiempo fijo después del cual se eliminan.

Acceso a datos: Los datos de cada cliente se separan de los datos de todos los demás clientes. El acceso a los datos con fines de solución de problemas solo se puede proporcionar con el consentimiento del cliente.

APIs Central

APIs Central proporciona un amplio conjunto de API para diversas características y funcionalidades. Las API se pueden usar para integrarse con otro software de terceros o aplicaciones internas, como paneles personalizados.

Proporcionar un amplio conjunto de API significa que la seguridad debe estar integrada. En este caso, las comunicaciones entre la API REST y un cliente HTTP se protegen al habilitar HTTPS. Central también es compatible con el protocolo OAuth 2.0 para autenticación y autorización. Los tokens de acceso proporcionan una forma temporal y segura de acceder a las API. Los tokens de acceso tienen una vida útil limitada por razones de seguridad y las aplicaciones deben usar la API de actualización para obtener nuevos tokens periódicamente.

API Gateway Central Expone un componente conocido como API REST hacia el norte para que los usuarios accedan y administren sus cuentas de Central . Central utiliza Kong de código abierto (versión 0.11.2) como su plataforma API Gateway.

A diferencia de una interfaz de usuario, no existe el concepto de sesión de usuario. Cada solicitud debe ir acompañada de un token OAuth2.

Generación de Token

Generación de Token Un usuario debe generar un token OAuth2 antes de acceder a las API mediante APIGW. Estos son los diversos modos a través de los cuales se puede generar un token:

Concesión de código de autorización

• ID de cliente y secreto de cliente: cadena alfanumérica específica para una cuenta de cliente. Estos se pueden generar a través de la interfaz de usuario central o las API de automatización.
• API de inicio de sesión de puerta de enlace API
• Llame a la API de inicio de sesión REST para obtener una sesión de usuario
• El servidor APIGW valida las credenciales de los usuarios utilizando Aruba IT SSO API / LocalDB API. SAML no funciona para este caso
• Usando la sesión de usuario y la identificación/secreto del cliente, genere un código de autorización (válido por cinco minutos y de uso único)
• Intercambiar código de autorización para un token OAuth2 y un token de actualización

Control de acceso

El acceso a la plataforma central está estrictamente controlado. Todos los aspectos de administración y monitoreo del entorno de la nube están a cargo de un equipo dedicado de Aruba DevSecOps con un uso intensivo de técnicas de control de acceso basado en roles (RBAC) y autenticación multifactor (MFA).

El flujo de trabajo de acceso del cliente Se integra desde el momento en que un cliente compra su hardware Aruba. El administrador del cliente puede controlar a quién de su organización se le otorga qué nivel de acceso. Para solucionar problemas, los clientes pueden otorgar acceso a su instancia de aplicación al TAC de Aruba.

Single Sign-On Central se puede integrar con un servicio compatible con SAML 2.0 para habilitar el inicio de sesión único para una mejor experiencia de usuario. Esto se hace redirigiendo al usuario a la URL de inicio de sesión de SAML del cliente (según el dominio de correo electrónico). El usuario se autentica en el servidor SAML y se le redirige a Central con una aserción SAML. Central valida esta aserción SAML con los metadatos SAML preconfigurados (certificado, etc.) y obtiene la identificación de correo electrónico y los atributos del usuario. Central valida este ID de correo electrónico de usuario con los datos internos para determinar si es un usuario conocido.

Contraseñas

En las implementaciones de producción públicas de Central , la autenticación se realiza mediante Aruba SSO o IDP específico del cliente en caso de autenticación SAML. Como puede apreciar en un entorno SAML, las contraseñas de los clientes no se almacenan en Central . La única fuente de verdad es el servidor SAML (para un dominio determinado).

Autenticación de dos factores.

Aplicar una autenticación de dos factores Ofrece una segunda capa de seguridad para el proceso de inicio de sesión además de la contraseña. Cuando la autenticación de dos factores está habilitada en una cuenta de usuario, el usuario puede iniciar sesión en su cuenta a través de la aplicación móvil o la aplicación web solo después de proporcionar su contraseña y un código de verificación de seis dígitos que se muestra en sus dispositivos de confianza.

Pista de auditoría

Todas las acciones realizadas por los usuarios se registran dentro de la aplicación con todos los detalles. Esto garantiza la auditoría y el cumplimiento de los requisitos de cumplimiento.

Estándares y cumplimiento AWS admite muchas certificaciones, marcos y cumplimiento de las leyes y reglamentaciones de privacidad. Puede encontrar una lista completa de su soporte de cumplimiento de seguridad aquí. Con el uso de Aruba de los centros de datos de AWS, el cumplimiento como SSAE 18 SOC 2, PCI, FedRAMP y la certificación ISO 27001:2013 son inherentes.

Aruba Central Aplica controles de seguridad adicionales además de los servicios de alojamiento de AWS, que se derivan de las políticas de seguridad y los marcos de trabajo de seguridad de HPE descritos en los estándares PCI, FedRAMP y SSAE 18 SOC 2. El entorno también está cubierto con un PCI AOC (Atestiguación de Cumplimiento) para clientes cubiertos por PCI. En el futuro, se agregará la certificación FedRAMP para clientes federales (y también para gobiernos estatales y locales que necesitan FedRAMP).

Evaluaciones independientes

Informes de Controles de sistemas y organizaciones (SOC) La organización puede obtener información y garantías para las partes interesadas a través de los informes SOC. Esta ayuda logra objetivos y controles de cumplimiento clave para los ciclos de auditoría anuales. Los beneficios clave incluyen:

• Reduzca los costos de cumplimiento y el tiempo dedicado a las auditorías y al llenado de cuestionarios de proveedores.
• Cumpla con las obligaciones contractuales y las preocupaciones del mercado a través de informes flexibles y personalizados
• Aborde proactivamente los riesgos en toda su organización
• Aumentar la confianza y la transparencia para las partes interesadas internas y externas

Evaluaciones de vulnerabilidades y pruebas de penetración Aruba ejecuta escaneos de vulnerabilidades todos los meses utilizando herramientas estándar de administración de vulnerabilidades. Los problemas descubiertos se solucionan en función de su gravedad, como se muestra a continuación:

• Crítico – 7 días
• Alta – 21 días
• Normal (Medio) – 90 días
• Bajo – 180 días

Un tercero también realiza anualmente pruebas de penetración para Aruba Central y acceder a la carta, comuníquese con su equipo local de Aruba. La política de Aruba Central no permite que los prospectos, clientes o socios realicen sus propias pruebas de penetración. Como puede imaginar, dicha actividad genera gastos generales operativos y tiene el potencial de causar interrupciones o daños colaterales accidentales.

Puedes obtener más de nuestro contenido dando click aquí