Bienvenida al curso · Seguridad en la nube: fundamentos

Esta es la política del bucket donde Tienda Volcán S.A., la empresa ficticia del curso, guarda las facturas de sus clientes:

{
  "Effect": "Allow",
  "Principal": "*",
  "Action": "s3:GetObject",
  "Resource": "arn:aws:s3:::tienda-volcan-facturas/*"
}

"Principal": "*" quiere decir "cualquiera, en internet, sin iniciar sesión". Alguien la dejó así un viernes para mandarle un enlace al contador externo y nunca la quitó. Como el bucket es reciente, además tuvo que desactivar el bloqueo de acceso público que AWS activa por defecto desde abril de 2023; la consola le advirtió, y aceptó. En la nube, muchos sustos empiezan así.

Bienvenido a Seguridad en la nube: fundamentos. Aprenderá a mirar una cuenta de AWS, Azure o Google Cloud como quien la audita: qué se configura, qué suele quedar mal y dónde se nota a tiempo.

Qué va a lograr

Explicar IaaS, PaaS y SaaS y ubicar un recurso en cuentas, suscripciones y proyectos de los tres grandes proveedores.
Aplicar el modelo de responsabilidad compartida para saber qué le toca proteger a usted.
Leer y corregir políticas de permisos para dejarlas en mínimo privilegio.
Detectar buckets públicos, datos sin cifrar y puertos abiertos al mundo.
Vigilar una cuenta con registros de auditoría, alertas de presupuesto, CSPM y la CLI aws.

Para quién es y qué necesita

Es para quien empieza en ciberseguridad, sistemas o desarrollo y nunca ha administrado una cuenta en la nube. Conviene, sin ser obligatorio, haber hecho La nube desde cero o Introducción a la ciberseguridad.

Tres de los cuatro laboratorios solo piden un navegador y un editor de texto. El último se hace con una cuenta de AWS propia o con las salidas simuladas que trae la lección; cuenta igual. Si abre una cuenta, configure una alerta de presupuesto el mismo día, antes de crear cualquier recurso.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Conceptos de la nube	Qué es la nube, su historia, IaaS, PaaS y SaaS, regiones y zonas, cuentas, suscripciones y proyectos	Inventario multinube de una empresa ficticia
2. Responsabilidad compartida e identidades	Qué protege el proveedor y qué usted, usuarios, grupos, roles, políticas, mínimo privilegio y MFA	Corregir una política JSON demasiado amplia
3. Almacenamiento y red	Buckets públicos por error, cifrado en reposo y en tránsito, grupos de seguridad y puertos	Revisar una configuración y listar hallazgos
4. Registro y monitoreo	CloudTrail y sus equivalentes, la CLI `aws`, alertas de facturación, CSPM, benchmarks CIS y la conclusión	Mini auditoría con la línea de comandos
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Cada tema se explica con AWS, Azure y GCP lado a lado. No memorice los tres nombres de cada servicio; quédese con la idea y use la tabla de equivalencias cuando la necesite.

Lea los JSON de los laboratorios línea por línea. Los hallazgos graves están en un asterisco o en un 0.0.0.0/0, no en el párrafo largo. El laboratorio del módulo 2 es el que más cuesta: pide recortar una política demasiado amplia sin romper lo que la aplicación sí necesita. Escriba su solución antes de mirar la del final.

Al aprobar la evaluación final recibe el certificado y la insignia.

Tiempo estimado

Casi 5 horas, hora y media en laboratorios. Con cuenta propia, lea el módulo 4 con la consola abierta: ver su CloudTrail registrando lo que acaba de hacer aclara más que cualquier tabla.