Pregunte al Experto- ¿Cómo mantener seguro tu centro de datos?

Cisco Moderador · ‎04-23-2018

PreguenteAlExperto-CentrodeDatosSeguro-may2018_900X150.png

Aclaré todas sus dudas relacionadas a cómo mantener seguro un centro de datos.
Los datos son los activos más importantes de los clientes, pero ¿cómo se pueden proteger dentro del centro de datos? Aproveche esta sesión para conocer los pasos y estrategias para hacerlo de la forma más adecuada. La sesión cubre dudas desde las actividades esenciales como el saber qué está pasando en el centro de datos, cómo se comunican las aplicaciones y cuál es la experiencia del usuario hasta dudas más particulares como el hecho de cómo llegar a una infraestructura de cero confianza.

Haga sus preguntas del Lunes 23 de Abril al Viernes 11 de Mayo, 2018.

Detalles de la especialista

Roxana Díaz es una arquitecta de soluciones técnicas de la tecnología de Data Center en Cisco Systems. Es responsable de mantener la estrategia técnica de Data Center en México y maneja los proyectos más relevantes a nivel de arquitectura de centros datos en el país. Cuenta con más de 12 años de experiencia en el área de redes y telecomunicaciones, se enfoca particularmente en el diseño y la arquitectura de Centros de Datos y Cloud. Roxana es egresada de la carrera de ingeniería del Instituto Tecnológico de Monterrey EMCSA, cuenta con las certificaciones de MIT Big Data y Social Analytics y con un CCIE en seguridad #18612.

Roxana puede no responder a todas las preguntas, debido al volumen esperado durante este evento. Recuerde que también puede hacer sus preguntas en nuestra categoría de Data Center https://supportforums.cisco.com/t5/data-center/ct-p/5801-data-center

** ¡Las calificaciones fomentan la participación! **
Por favor asegúrese de calificar las respuestas a sus preguntas.

Klausen10 · ‎04-29-2018

Buenas tardes que tipo los dispositivos electrónicos como accesos biométricos, cámaras de vigilancia hasta los firewalls son los más recomendables hoy en dia para un data center empresarial?

roxadiaz · ‎05-02-2018

Hola Klausen

Muchas gracias por tu pregunta, realmente en un centro de datos deben existir varios niveles de seguridad, desde la física como mencionas cámaras, biométricos, sensores, firewalls de nueva generación, IPS. La lógica como quien puede acceder a que servicios dependiendo su usuario y rango, hasta las nuevas tendencias donde ahora los Centro de Datos deben ser de confianza cero (ACI), ayudar a detectar ataques día 0 (Stealthwatch), tener visibilidad de lo que pasa (Tetration).

La mayoría de los centros de datos deben cumplir con ciertos estándares o normas como la ISO, PCI ,TIC/MAAGTICSI donde siempre el tema de seguridad es importante.

Y también es importante contar con una política de seguridad interna, desde como crear las contraseñas, saber que no se pueden compartir las contraseñas. Tu puedes tener unas soluciones muy robustas pero si los usuarios no siguen estas normas básicas puedes ser vulnerado.

saludos

Roxana Diaz

Klausen10 · ‎05-02-2018

Muchas gracias por tus comentarios. En base a que se puede medir o elegir las soluciones que mencionas previamente.

Y que tan conveniente es tener la información de soporte en la nube como respaldo?

roxadiaz · ‎05-11-2018

Hola Klaus

Gracias por la pregunta, aquí lo primero sería preguntarte cuales son los retos que tienes para conocer cual sería la más adecuada para ti. Y hablo de una solución ya que para temas de seguridad hay que considerar no solo la parte de tecnología, el tema de procesos es muy relevante.

ACi es una solución que se compone de controladora y equipos de red, stealthwatch se mide por cantidad de tráfico que se tiene que analizar y tetration es por sensores que colectan la información para que la plataforma haga el análisis. Dependiendo cuales sean tus retos cada solución te puede ayudar. Por ejemplo:

Quieres una red más flexible, ágil, que te ayude a generar una red de confianza cero, microsegmentacion – ACI

Quieres tener visibilidad de lo que pasa en el centro de datos, conocer la dependencia de las aplicaciones, segmentación de red teniendo consistencia de políticas independientemente donde viva la aplicación o recomendación y descubrimiento de políticas para microsegmentacion - Tetration

Quieres visibilidad end-to-end detectar brechas de seguridad, anomalías, etc con un enfoque 100% de seguridad – Stealthwatch

Ahora para la otra pregunta que tan conveniente es tener la información de soporte en la nube como respaldo, desde mi punto de vista no sería lo ideal ya que hay muchos factores que se tienen que considerar como el ancho de banda para mover los datos hacia la nube, pensemos en la primera vez si tienes una base de datos de 2T y lo tienes que subir a la nube será un poco tardado. Una de las ventajas de las plataformas de nube es la agilidad que te da para crear servicios de manera rápida, pero recuerda que al final tú vas a tener que pagar por las maquinas estén recibiendo tráfico o no.

Creo que, para temas de respaldo, soluciones como Commvault o Veeam pueden ser una buena opción. Podrías poner algo con soluciones como C3260 por ejemplo.

Espero haber aclarado tu duda.

Saludos

Roxana

roxadiaz · ‎05-11-2018

Hola Klausen

Gracias por la pregunta, aquí el primer paso sería preguntarte cuales son los retos que tienes para conocer cual sería la más adecuada para ti. Y hablo de una solución ya que para temas de seguridad hay que considerar no solo la parte de tecnología, el tema de procesos es muy relevante.

ACI es una solución que se compone de controladora y equipos de red, stealthwatch se mide por cantidad de tráfico que se tiene que analizar y tetration es por sensores que colectan la información para que la plataforma haga el análisis. Dependiendo cuales sean tus retos cada solución te puede ayudar. Por ejemplo:

Quieres una red más flexible, ágil, que te ayude a generar una red de confianza cero, microsegmentacion – ACI

Quieres tener visibilidad de lo que pasa en el centro de datos, conocer la dependencia de las aplicaciones, segmentación de red teniendo consistencia de políticas independientemente donde viva la aplicación o recomendación y descubrimiento de políticas para microsegmentacion - Tetration

Quieres visibilidad end-to-end detectar brechas de seguridad, anomalías, etc con un enfoque 100% de seguridad – Stealthwatch

Ahora para la otra pregunta que tan conveniente es tener la información de soporte en la nube como respaldo, desde mi punto de vista no sería lo ideal ya que hay muchos factores que se tienen que considerar como el ancho de banda para mover los datos hacia la nube, pensemos en la primera vez si tienes una base de datos de 2T y lo tienes que subir a la nube será un poco tardado. Una de las ventajas de las plataformas de nube es la agilidad que te da para crear servicios de manera rápida, pero recuerda que al final tú vas a tener que pagar por las maquinas estén recibiendo tráfico o no.

Creo que, para temas de respaldo, soluciones como Commvault o Veeam pueden ser una buena opción. Podrías poner algo con soluciones como C3260 por ejemplo.

Espero haber aclarado tu duda.

Saludos

Roxana

dulfranc1 · ‎04-30-2018

Hola Roxana

Gracias por la oportunidad, tengo un par de dudas

En la seguridad de nuestro centro mantenemos los firewalls e ISE como una base primordial, además de esto que nos podrías recomendar para asegurar la data?

Con todo el movimiento hacia la digitalización y con los datos en la nube ¿que solución recomiendas a considerar para estar más seguros?

roxadiaz · ‎05-02-2018

Hola Dulfranc

Gracias por la pregunta, es importante considerar que la seguridad se encuentra en diferentes niveles, pudes tener la seguridad en la gestión quien puede acceder a la herramientas, ejecutar cambios, etc.. y ahí soluciones como Firepower con antimalware, IPS, ISE, VPN son básicas.

También esta como van a acceder tus usuarios a los servicios y como puedes delimitar la superficie de ataque ACI, web application firewalls, firewalls virtuales, switch virtuales.

Seguridad en el acceso como habilitar seguridad en las branches o HQ, en el caso de Cisco la mayoría de los switches viene con funcionalidades integradas solo debes habilitarles.

Otra capa es tener encriptada la información que puede ser desde el disco o encriptar todo el camino usando tecnología como Macsec.

También hay soluciones como Umbrella, Cloudlock y Tetration que te pueden ayudar.

La mayoría de las soluciones están pensadas en esta nueva era de digitalización y tener consistencia de políticas hacia las nubes.

Saludos

dulfranc1 · ‎05-02-2018

Hola Roxana

Gracias por tu respuesta, me has dado mucha claridad y me has sacado de varias dudas.

Firepower management es algo que nosotros tenemos en uso y mente. El web filtering nos ha apoyado mucho

En tu respuesta mencionas Cisco Umbrella,se podría decir que a futuro y tomando en cuenta la tendencia cloud está será la nueva solución que debemos considerar para monitoreo y prevención?

roxadiaz · ‎05-11-2018

Hola Dulfranc

Creo que dependerá mucho que necesitas hacer, como mencione hay varios niveles de seguridad por lo que si creo que Umbrella es una parte muy importante para el tema de monitoreo y prevención. Pero creo que no es la única que se debería de considerar.

Si tienes problemas que los usuarios entren a lugares con poca confiabilidad y exista un riesgo de infectar la red con algún malware, re direccionando los DNS hacia umbrela puedes ayudar a prevenir y proteger tu infraestructura. Pero esto no limita que si los usuarios se llevan sus laptos a casa o utilizan sus teléfonos celulares puedan traer la vulnerabilidad a la empresa.

Por eso soluciones como stealthwatch también son relevantes ya que utilizando mecanismos de machine learning tu puedes ayudar a detectar estas brechas de seguridad, esta solución se conecta con Talos la cual está a nivel mundial y ayuda a detectar, prevenir y remediar brechas de seguridad y amenazas.

Creo que, si nos estamos moviendo cada vez más a soluciones de nube que nos ayuden a crear mayor flexibilidad y ayudar a ustedes nuestros clientes en sus prioridades de negocio.

Saludos

Roxana

Emanuel Diaz · ‎05-04-2018

Saludos y gracias por la oportunidad! Hablando de ACI

Tiene poco que estoy familiarizado con ACI y sus componentes, espero puedas ayudarme con las dudas.

¿Cuáles son los orquestadores más conocidos que se pueden integrar con APIC?

En teoría ACI niega todo el tráfico a menos que los contratos sean configurados. Digamos que tengo un NGFW que puede ser integrado a un ACI fabric, entonces cuando cree contratos ¿estos serían empujados al NGFW?

Gracias

roxadiaz · ‎05-11-2018

Hola Emmanuel

Antes que nada, muchas gracias por la pregunta, tratare de dar la mayor claridad posible. Respecto a los orquestadores más conocidos que se puedan integrar con el APIC realmente son muchos que pueden ser conocidos y no conocidos. ¿Cuáles son en los que tú tienes interés?

Podemos mencionar algunos como Openstack, Vmware, Microsoft, entre otros en la página de cisco puedes ver algunos de ellos:

https://newsroom.cisco.com/press-release-content?type=webcontent&articleId=1281658

Porque te mociono no conocidos, debido a que ACI tiene apis abiertas para que desarrolladores puedan generar acciones sobre los APICS.

Respecto a si ACI niega todo el tráfico es correcto, una de las premisas de esta nueva tecnología es que es de cero confianza. Que significa esto, que nadie se habla a menos que yo lo permita. Es decir, si hay varios sistemas en un EPG se van a poder hablar, pero si quieren comunicarse con otro EPG no será permitido a menos que se genera un contrato. Aunque dentro de un EPG aun puedes hacer segmentación.

Como bien mencionas para comunicar un EPG a otro debes poner un contrato, pero para poner dispositivos como NGFW o Balanceadores hay algo que se llama Service Graph que es como si fuera un contrato, pero para poder integrar servicios. Estos pueden ser manage o unmanage es decir que el APIC puede configurar estos dispositivos(manage) o la administración y configuración de reglas se hace en el NGFW o balanceador, pero si se inserta dentro de la fábrica (unmanage).

Recuerda que en ACI lo que hacemos es crear perfiles de aplicación, entonces ya no importa donde se conecten físicamente los equipos, mientras a nivel lógico los configures la fábrica pondrá la política de la aplicación en la red.

Espero haber aclarado tu duda

Saludos

Roxana