Solución
CloudDog, recomendada a Norte Asset por AWS, comprendió la complejidad del contexto e identificó una oportunidad para mejorar el modelo de gestión de la empresa. La solución propuesta fue desarrollada con base en el concepto de infraestructura como código, utilizando AWS CloudFormation Control Tower (CfCT). Este enfoque posibilitó la implementación de la arquitectura de Landing Zones, en conjunto con el Transit Gateway, con el objetivo de una gestión eficiente del tráfico de red interno entre los entornos y la integración con socios.
Adicionalmente, la solución incorporó diversos Servicios de Seguridad de AWS para garantizar la protección de los recursos de Norte Asset. AWS Security Hub se adoptó para centralizar la gestión de seguridad, mientras que Amazon Inspector se implementó para la identificación anticipada de riesgos. Amazon GuardDuty se utilizó para la detección de amenazas, y Amazon Detective para el análisis de anomalías.
Todos los componentes de la solución, presentes en las cuentas de AWS, generan logs de auditoría que se almacenan en una cuenta segregada, garantizando la integridad e inmutabilidad de esos registros. Adicionalmente, se creó una cuenta específica para que los profesionales de auditoría de seguridad analicen la seguridad del entorno sin necesidad de acceso a las cuentas que alojan las cargas de trabajo.
La infraestructura de redes y TI fue mejorada por medio de una cuenta dedicada, incluyendo una réplica del Active Directory y Amazon Workspaces. Estas soluciones permiten la virtualización de áreas de trabajo, siendo utilizadas por los analistas cuando están fuera de la oficina, proporcionando mayor flexibilidad y productividad.
En el desarrollo de aplicaciones, se estableció una disciplina a través de la utilización de una cuenta específica para DevOps. Los programadores desarrollan aplicaciones utilizando las herramientas disponibles en esa cuenta, y las automatizaciones garantizan la entrega de la versión final directamente en los entornos adecuados, de acuerdo con la estructuración de las líneas de desarrollo.
La solución, desarrollada con el concepto de infraestructura como código utilizando CfCT, le proporcionó a Norte Asset una arquitectura consistente, escalable y altamente segura en sus cuentas de AWS. Este enfoque no solo atendió las necesidades de seguridad y gobernanza, sino que también permitió una fácil replicación de la solución para otros clientes de CloudDog que buscan un nivel similar de gestión y seguridad en sus cuentas de AWS.
Arquitectura
La arquitectura implementada para atender las necesidades de Norte Asset está compuesta por diferentes cuentas en AWS, cada una desempeñando un rol específico. A continuación, una descripción detallada de la arquitectura y sus respectivas cuentas:
- Cuenta de Gestión: Responsable del control y la gobernanza de la infraestructura de Norte Asset. En esta cuenta se configuran los siguientes servicios: AWS Single Sign-On (SSO) para facilitar el acceso a los recursos de AWS, Amazon Organizations para gestionar la estructura de cuentas y políticas, Amazon CloudTrail para registrar actividades y auditorías, AWS Config para evaluar y rastrear el cumplimiento de las configuraciones, AWS Control Tower para estandarizar y gestionar las mejores prácticas de seguridad, y AWS Budgets para monitorear los gastos.
- Cuenta de Logs: Dedicada al almacenamiento y gestión de los logs generados por los servicios de la arquitectura. En ella se utiliza el servicio Amazon S3 para almacenar los logs de forma segura y duradera.
- Cuenta de Auditoría: Enfocada en la seguridad y auditoría de los entornos de Norte Asset. En esta cuenta se configuran los servicios AWS Security Hub, Amazon Detective, Amazon GuardDuty, Amazon Inspector y Amazon Athena. AWS Security Hub centraliza la información de seguridad y ofrece insights sobre posibles riesgos y violaciones. Amazon Detective se utiliza para el análisis de anomalías y la investigación de posibles amenazas. Amazon GuardDuty realiza la detección continua de amenazas y actividades maliciosas. Amazon Inspector identifica anticipadamente riesgos de seguridad y vulnerabilidades. Amazon Athena se utiliza para consultar los logs almacenados en la cuenta de Logs, permitiendo búsquedas y análisis eficientes.
- Cuenta de TI: Responsable de la infraestructura de redes y tecnología de la información. En esta cuenta se configuran dos Transit Gateways: uno para conectar la región de São Paulo, la oficina local y el entorno productivo, y otro para conectar los entornos de desarrollo y homologación en la región de Virginia. Estos Transit Gateways facilitan el tráfico seguro y eficiente entre los entornos, manteniendo la segregación adecuada. Además, incluye el servicio Amazon Workspaces para la virtualización de áreas de trabajo, proporcionando mayor flexibilidad y productividad para los analistas de Norte Asset.
- Cuenta de Producción, Homologación y Desarrollo: Dedicadas a los entornos relacionados con los productos de Norte Asset, estando segregadas de acuerdo con las etapas del ciclo de vida. Cada cuenta posee los recursos necesarios para soportar el respectivo entorno, como instancias de servidor, bases de datos y otros servicios relevantes.
Con esta arquitectura, Norte Asset logra gestionar de forma eficiente sus recursos en la Nube, garantizando la seguridad, segregación y control adecuados en cada etapa del ciclo de vida de sus productos. Esto proporciona un entorno confiable para el desarrollo, la homologación y la producción, atendiendo las demandas del mercado financiero de manera segura y escalable.
Resultados
La implementación de la solución propuesta le proporcionó a Norte Asset los siguientes resultados:
- Refuerzo de los Mecanismos de Seguridad: La separación adecuada de los entornos de desarrollo, homologación y producción en cuentas de AWS distintas fortaleció significativamente los mecanismos de seguridad.
- Control de Acceso Riguroso: La aplicación de prácticas de control de acceso en conformidad con las mejores prácticas del mercado estableció un nivel elevado de seguridad.
- Gestión Avanzada del Tráfico de Red Interno: La gestión eficiente del tráfico de red interno aseguró la seguridad y eficiencia de las comunicaciones entre entornos y socios.
- Centralización de la Gestión de Seguridad: La centralización de la gestión de seguridad facilitó la identificación temprana de riesgos, la detección de amenazas y el análisis de anomalías.
- Almacenamiento Seguro de Logs de Auditoría: Los logs de auditoría se almacenaron de forma segura, inaccesibles para los profesionales internos, fortaleciendo la transparencia y la capacidad de detección de problemas de seguridad.
- Infraestructura de Redes y TI Mejorada: La inclusión de una réplica del Active Directory y Amazon Workspaces para la virtualización de áreas de trabajo mejoró la infraestructura de redes y TI, proporcionando mayor flexibilidad a los analistas.
- Disciplina en el Desarrollo de Aplicaciones: La introducción de automatizaciones eficientes y la entrega directa en los entornos adecuados estableció una disciplina en el desarrollo de aplicaciones, resultando en mayor eficiencia y calidad en el proceso.
Estos resultados no solo atendieron las necesidades de seguridad y gobernanza de Norte Asset, sino que también contribuyeron a una operación más eficiente y transparente en todas las fases del ciclo de vida de sus productos.
