Metodología de análisis de seguridad en Cloud.

Abstract

Este trabajo consiste en el diseño de una metodología de análisis de seguridad en la Nube, donde se ha realizado un análisis exhaustivo de los componentes, amenazas y herramientas de los principales proveedores del mercado. Además, también se ha realizado un estudio sobre las normativas y metodologías que actualmente se implementan en los procesos de análisis de seguridad, entre ellas se encuentran: CVSS, TIBER-EU, “Cyber Kill Chain” y “MITRE ATT&CK”. Con la información obtenida se ha realizado una Planificación de ejercicios de Análisis de la Nube, donde se profundiza en los participantes, fases, así como la planificación de la ejecución de las pruebas de seguridad. Por otro lado, también se ha diseñado una lista de ejercicios de análisis de seguridad. Este nuevo diseño permite a los analistas evaluar de manera eficiente el estado de seguridad de la infraestructura de la nube. Este listado se ha obtenido del Modelado de Amenazas realizado en este proyecto, teniendo en cuenta las vulnerabilidades y amenazas analizadas de cada proveedor, además del análisis de las matrices obtenidas con MITRE ATT&CK. Finalmente, se ha comprobado la eficiencia de esta lista mediante una simulación en un entorno de nube “Azure”, donde se han implementado tanto los ejercicios de análisis pertenecientes de la fase de Reconocimiento, como las herramientas de análisis asociadas.

This work consists of the design of a Cloud security analysis methodology, where an exhaustive analysis of the components, threats and tools of the main market providers has been carried out. In addition, a study has also been carried out on the regulations and methodologies that are currently implemented in security analysis processes, among them are: CVSS, TIBER-EU, "Cyber Kill Chain" and "MITRE ATT&CK". With the obtained information, a planning of Cloud Analysis exercises has been carried out, where the participants, phases, as well as the planning of the execution of the security tests are elaborated in greater depth. On the other hand, a list of security analysis exercises has also been designed. This new design enables analysts to efficiently evaluate the security status of the Cloud infrastructure. This list has been obtained from the Threat Modeling carried out in this project, taking into account the analyzed vulnerabilities and threats from each provider, in addition to the analysis of the matrices obtained with MITER ATT&CK. Finally, the efficiency of this list has been verified through a simulation in an "Azure" cloud environment, where both the analysis exercises belonging to the Reconnaissance phase and the associated analysis tools have been implemented.