Control de acceso obligatorio en la computación en nube

Un sistema Linux actualizado es muy seguro, con protección incorporada contra ataques de virus y otras características de seguridad esenciales. Sin embargo, en el mundo actual de acceso remoto y comercio electrónico internacional, las apuestas son altas, y algunos CIOs y administradores de redes quieren saber si pueden hacer sus sistemas Linux aún más seguros. Otra opción para añadir otra capa de seguridad a su entorno Linux es integrar el Control de Acceso Obligatorio (MAC).

El Control de Acceso Obligatorio es un concepto que surgió de los sistemas de seguridad de varios niveles utilizados para los secretos militares y otra información privilegiada. La mejor manera de entender el MAC es considerar en qué se diferencia de los sistemas convencionales de Control de Acceso Discrecional (DAC) basados en Unix y utilizados en los entornos de Linux. 

Un sistema tradicional de Linux asigna privilegios de lectura/escritura/ejecución a un recurso y permite al propietario o administrador conceder acceso a los usuarios y grupos. Un superusuario (a menudo llamado usuario "raíz") tiene un control completo sobre el sistema y puede acceder o conceder acceso a cualquier recurso. Si todos se comportan y nadie se equivoca, es flexible, fácil de entender y muy seguro. ¿Pero qué pasa si el propietario de un recurso da acceso, sin querer, a alguien que no debería tenerlo? O, quizás más importante, ¿qué pasa si la cuenta de usuario está comprometida, y un intruso explota la flexibilidad incorporada en el sistema DAC para aumentar los privilegios?

La presencia de la todopoderosa cuenta "raíz" es otra característica que es incompatible con los principios granulares de seguridad utilizados en las organizaciones de alta seguridad. Los entornos de alta seguridad tienden a asignar funciones a los administradores de sistemas en función de responsabilidades precisas. El control de acceso obligatorio permite crear políticas que otorguen a los usuarios los privilegios mínimos necesarios y evitar los cambios y la escalada de privilegios. Todo en TI tiene un coste, así que antes de adoptar un sistema de Control de Acceso Obligatorio, asegúrate de que es lo que necesitas. La pérdida de flexibilidad puede añadir gastos generales y complicaciones a los procesos empresariales, lo que a veces obliga a una intervención administrativa para lo que de otro modo sería una tarea ordinaria.

Las dos herramientas más populares para el control de acceso obligatorio en Linux son SELinux y AppArmor. Las distribuciones basadas en Red Hat como CentOS 7 y CentOS 8 están preconfiguradas para SELinux. Ubuntu y openSUSE utilizan AppArmor; sin embargo, los desarrolladores siempre pueden desinstalar AppArmor y configurar SELinux si está más acostumbrado a ello o crees que funcionará mejor para tu entorno. Tanto AppArmor como SELinux adoptan la forma de módulos del núcleo de Linux y pueden configurarse para ejecutarse en la mayoría de los principales sistemas Linux, aunque el grado de asistencia técnica puede variar.

En general, AppArmor es más fácil de configurar y operar; sin embargo, aunque AppArmor es muy seguro -y significativamente más seguro que operar sin un marco de control de acceso obligatorio- Selinux proporciona un nivel de protección más profundo y versátil. AppArmor está diseñado para proteger archivos y otros recursos; sin embargo, no ofrece una protección equivalente para los procesos. Además, dado que AppArmor hace referencia a los recursos por ruta, un intruso que ya esté en el sistema podría, en teoría, hacer algunos trucos con los enlaces duros que no serían posibles utilizando el SELinux basado en inodos.

SELinux fue desarrollado originalmente en base a la investigación de la Agencia de Seguridad Nacional (NSA), una agencia de inteligencia a nivel nacional del Departamento de Defensa de los Estados Unidos. Ofrece un enfoque más hermético para el control de acceso. Sin embargo, debido a que es más difícil de configurar y operar, se espera que requiera un tiempo de configuración adicional y una curva de aprendizaje más larga para el personal de TI.

Con la participación del equipo, los beneficios de un MAC son muchos y pueden allanar el camino para una conciencia de seguridad que se siente a través de toda la estructura de la empresa.