La computación en nube ha cambiado las reglas del juego en TI, y al mismo tiempo ha cambiado las reglas del juego para los atacantes. La mala configuración de los recursos en la nube, las rutas laterales invisibles entre servicios, las identidades privilegiadas sin supervisión… éstas son hoy las mayores fuentes de incidentes en los entornos en la nube. Prisma Cloud de Palo Alto Networks es una plataforma CNAPP que aborda estos problemas de forma integral: desde el código hasta el tiempo de ejecución, desde la configuración de la infraestructura hasta las identidades y las cargas de trabajo. En este artículo, explicamos cómo funciona y qué aporta de forma realista a las organizaciones que operan en varias nubes.
Índice
- ¿Qué es Prisma Cloud y qué significa CNAPP?
- ¿Qué riesgos son específicos de los entornos multi-nube?
- CSPM – Gestión del nivel de seguridad en la nube
- CWPP – protección de la carga de trabajo en la nube
- CIEM – Gestión de Identidades y Derechos
- Seguridad del código: seguridad en la fase de desarrollo
- Prisma Cloud y el cumplimiento normativo
- Principales conclusiones
- PREGUNTAS FRECUENTES
- Resumen
¿Qué es Prisma Cloud y qué significa CNAPP?
CNAPP -Plataforma de Protección de Aplicaciones Nativa en la Nube- es una categoría de productos de seguridad que combina en una sola plataforma funciones que antes sólo estaban disponibles como herramientas separadas: CSPM, CWPP, CIEM y Code Security. Prisma Cloud de Palo Alto Networks es uno de los líderes de esta categoría. La idea que subyace a CNAPP surge de la observación de que los ataques a entornos de nube rara vez se basan en una única vulnerabilidad, sino que suelen ser una cadena de acontecimientos: una configuración errónea más unos permisos no utilizados más la falta de supervisión en tiempo de ejecución equivalen a un ataque con éxito.
Las herramientas independientes para cada una de estas capas no pueden ver toda la cadena. Prisma Cloud puede ver, y ésta es su ventaja fundamental. La plataforma se integra con AWS, Azure, GCP y Oracle Cloud mediante API nativas, escaneando todos los recursos de forma automática y continua. La cartera Ramsdata de Palo Alto Networks cubre todo el espectro de sus productos, incluidos Prisma Cloud y NGFW de nueva generación.
¿Qué riesgos son específicos de los entornos multi-nube?
Los entornos multicloud generan riesgos de seguridad específicos que las herramientas de seguridad tradicionales no ven. Los errores de configuración son estadísticamente la mayor fuente de incidentes: cubos de S3 abiertos, instantáneas de discos públicos, grupos de seguridad demasiado abiertos. Cada plataforma en la nube tiene miles de configuraciones posibles, y la verificación manual es imposible a escala.
La explosión de identidades y permisos es otro problema: en las grandes organizaciones hay decenas de miles de funciones IAM, cuentas de servicio y claves API, una parte significativa de las cuales tienen permisos mucho más amplios de lo que necesitan. Un atacante que se apodere de una de estas cuentas puede moverse lateralmente por todo el entorno. La falta de visibilidad entre servicios en una arquitectura de microservicios significa que los flujos de datos anómalos pasan desapercibidos. Todos estos problemas se abordan con los módulos Prisma Cloud.
CSPM – Gestión del nivel de seguridad en la nube
CSPM (Cloud Security Posture Management) es el módulo de Prisma Cloud responsable de escanear continuamente la configuración de los recursos en la nube en busca de desviaciones de los patrones de seguridad y los requisitos de cumplimiento. La plataforma se conecta a las cuentas de AWS, Azure y GCP a través de la API y escanea automáticamente todos los recursos: instancias, contenedores, bases de datos, redes y políticas IAM.
Los resultados se presentan como una lista de configuraciones defectuosas con una priorización de riesgos e instrucciones precisas de reparación. Algunas configuraciones pueden remediarse automáticamente mediante mecanismos de auto-remediación. CSPM cubre los requisitos normativos de CIS Benchmarks, PCI-DSS, HIPAA, SOC 2 y GDPR, generando informes de cumplimiento listos para usar por los auditores. Para las empresas que operan en un entorno regulado, esto ahorra cientos de horas de trabajo manual.
CWPP – protección de la carga de trabajo en la nube
CWPP (Cloud Workload Protection Platform) protege lo que se ejecuta en la nube: máquinas virtuales, contenedores, funciones sin servidor. El agente Prisma Cloud instalado en hosts y clústeres Kubernetes proporciona visibilidad de los procesos, conexiones de red y actividad de archivos en tiempo de ejecución. Cualquier anomalía -proceso generado desde un contenedor web, conexión a una IP externa, modificación de un archivo del sistema- se detecta y alerta en tiempo real.
El CWPP también incluye el escaneado de las imágenes de los contenedores antes de su despliegue: se comprueba cada imagen en busca de vulnerabilidades conocidas (CVE), secretos incrustados en el código e incumplimiento de las políticas del CIS. Este enfoque de «seguridad por turnos – permite detectar problemas antes de que nada pase a producción. Para obtener información detallada sobre las soluciones de seguridad de la capa de puntos finales, visita la página de Seguridad de Puntos Finales NAC de Ramsdata.
CIEM – Gestión de Identidades y Derechos
CIEM (Gestión de Derechos de Infraestructura en la Nube) es un módulo que aborda el problema de los derechos excesivos en los entornos en la nube. Prisma Cloud mapea todas las identidades -usuarios, roles IAM, cuentas de servicio, claves API- y analiza su uso real en comparación con los privilegios concedidos. El resultado es un mapa gráfico de riesgos de identidad con recomendaciones para reducir los permisos al mínimo necesario (principio del mínimo privilegio).
CIEM también detecta patrones peligrosos: cuentas con privilegios administrativos que no se han utilizado en meses, cuentas de servicio con acceso a recursos de producción, claves API temporales que se han convertido en permanentes. Las recomendaciones automáticas de corrección reducen rápidamente la superficie de ataque sin necesidad de analizar manualmente miles de permisos.
Seguridad del código: seguridad en la fase de desarrollo
Code Security es un módulo que se integra con repositorios de código (GitHub, GitLab, Bitbucket) y escanea la IaC (Infraestructura como Código) – Terraform, CloudFormation, Kubernetes YAML – en busca de configuraciones erróneas de seguridad antes de desplegar el código. Los desarrolladores reciben comentarios sobre los problemas directamente en las solicitudes de extracción, eliminando el riesgo de desplegar configuraciones incompatibles.
Prisma Cloud también escanea en busca de secretos -claves API, contraseñas, tokens- incrustados en código o archivos de configuración. Éste es uno de los vectores de ataque más comunes contra los entornos en nube, que Code Security elimina ya en la fase de revisión del código.
Prisma Cloud y el cumplimiento normativo
Para las organizaciones que operan en un entorno regulado, Prisma Cloud ofrece marcos de conformidad llave en mano: CIS Benchmarks para AWS/Azure/GCP, PCI-DSS, HIPAA, SOC 2, ISO 27001, GDPR y muchos más. Cada recurso se asigna automáticamente a los requisitos normativos y se evalúa su cumplimiento. Los informes de cumplimiento se generan automáticamente y pueden exportarse a formatos aceptables para los auditores.
Principales conclusiones
- Prisma Cloud es una plataforma CNAPP que combina CSPM, CWPP, CIEM y Code Security en una única herramienta.
- CSPM escanea continuamente las configuraciones de los recursos de la nube y detecta desviaciones de los patrones de seguridad.
- CWPP protege las cargas de trabajo en tiempo de ejecución y escanea las imágenes de los contenedores antes de su despliegue.
- El CIEM mapea todas las identidades y permisos, indicando los derechos de acceso excesivos.
- La Seguridad del Código se integra con el canal CI/CD, detectando problemas antes de que el código pase a producción.
- La plataforma es compatible con AWS, Azure, GCP y Oracle Cloud con un panel de gestión unificado.
PREGUNTAS FRECUENTES
¿Prisma Cloud requiere un agente en cada máquina? El módulo CSPM se ejecuta sin agente, a través de la API de la nube. CWPP requiere un agente ligero (Defender) en los hosts protegidos y en los clusters Kubernetes.
¿Cómo se integra Prisma Cloud con el SIEM existente? Prisma Cloud admite la integración con Splunk, Elastic, QRadar y otros SIEM mediante API estándar y conectores estándar. Las alertas y los registros pueden transmitirse en tiempo real.
¿Funciona Prisma Cloud en entornos on-prem? Prisma Cloud está optimizado para entornos en la nube. Los entornos on-prem pueden ser supervisados por agentes CWPP, pero la funcionalidad completa de CSPM y CIEM requiere recursos en la nube.
¿Cómo son las licencias de Prisma Cloud? Las licencias son modulares: las organizaciones pueden comprar sólo los módulos que necesiten. El precio se basa en el número de recursos protegidos o en el ancho de banda.
Resumen
Prisma Cloud es la respuesta integral a los retos de seguridad en entornos multicloud: desde configuraciones erróneas a permisos excesivos, pasando por amenazas en tiempo de ejecución. La integración de todas las capas de protección en una única plataforma te permite ver toda la cadena de ataques y responder con mayor rapidez. Si gestionas una infraestructura multicloud y buscas una plataforma que te proporcione visibilidad y control totales, ponte en contacto con Ramsdata, socio de Palo Alto Networks.
