Infraestructura y seguridad de red
Midaz y todos los plugins de Lerian son cloud-native. Se ejecutan en entornos distribuidos y en contenedores. Para fortalecer la seguridad de tu infraestructura y red:
- Establece un proceso de gestión de parches que actualice el sistema operativo y los servicios con parches de seguridad de forma periódica.
- Aplica procedimientos de hardening a las imágenes de tu sistema operativo antes de desplegarlas.
- Usa las imágenes Docker de Midaz y los plugins, que siguen el principio de privilegio mínimo. Refuerza esto en el nivel del clúster con los controles adecuados.
- En Kubernetes, aplica líneas base de seguridad con herramientas de policy-as-code como Kyverno u OPA Gatekeeper.
- Ejecuta análisis de vulnerabilidades rutinarios en todas las capas de tu infraestructura, incluidas las capas que alojan los plugins.
- Usa segmentación de red para restringir el acceso a los componentes de Midaz y a los plugins solo a los sistemas que lo necesitan.
- Configura firewalls para gestionar el flujo de tráfico y prevenir el acceso no autorizado.
- Cuando sea posible, implementa sistemas de detección de intrusiones (IDS) y sistemas de prevención de intrusiones (IPS) para analizar el comportamiento de la red y bloquear anomalías.
- Adopta una arquitectura Zero Trust para sistemas sensibles y flujos de datos.
- Aplica TLS 1.2 o superior para toda la comunicación entre Midaz y los servicios de los plugins.
Configuraciones generales de seguridad
Debes proteger los secretos, el almacenamiento y los datos en todos los componentes de Lerian, incluidos Midaz y sus plugins. Sigue estas prácticas:
- Usa soluciones confiables como AWS Secrets Manager, Azure Key Vault, Google Secret Manager o HashiCorp Vault para almacenar de forma segura los secretos y los datos de configuración.
- Rota las credenciales y los secretos de forma periódica. Sigue el principio de privilegio mínimo al otorgar acceso.
- Habilita el registro de auditoría. Configura copias de seguridad automatizadas para todas las bases de datos que usan Midaz y los plugins.
- Aplica cifrado en reposo a todos los datos persistentes, incluidos los datos que procesan plugins como Access Manager.
- Aplica restricciones de acceso a los datos sensibles. Usa tokenización, cifrado o anonimización cuando corresponda.
- Actualiza Midaz y todos los plugins de Lerian a las últimas versiones, incluidos los parches y las mejoras de seguridad.
Gestión de identidad y acceso (IAM)
Aplica un enfoque unificado de IAM en dos capas: el entorno donde despliegas Midaz y los plugins, y los servicios en sí. Sigue estas prácticas:
- Implementa un proceso centralizado de IAM para gestionar el acceso a la infraestructura que aloja los productos de Lerian.
- Aplica autenticación multifactor (MFA) en todas las cuentas de usuario y administrador.
- Supervisa y audita el acceso a las cuentas de servicio de forma periódica, en especial las cuentas que usan los plugins.
- Define modelos de control de acceso que sigan el principio de privilegio mínimo con RBAC, ABAC o estrategias personalizadas.
- Usa credenciales temporales y acceso por tiempo limitado para operaciones de alta sensibilidad.
- Revisa todos los privilegios de acceso de forma periódica, incluido el acceso a Midaz, Access Manager, Reporter y otros productos.
Monitoreo y respuesta a incidentes
Para incorporar observabilidad y preparación ante incidentes en cómo despliegas Midaz y los plugins:
- Despliega herramientas de monitoreo de seguridad para rastrear el comportamiento de todos los servicios de Lerian, incluida la actividad de los plugins.
- Habilita registros y trazas en toda tu infraestructura y en cada componente de Midaz y sus plugins.
- Integra los registros de Midaz y de los servicios de los plugins con herramientas de detección de fraude o monitoreo de anomalías.
- Centraliza los registros en una plataforma SIEM para una detección de amenazas más eficiente.
- Mantén actualizado un plan de respuesta a incidentes, con playbooks específicos para servicios como Access Manager.
Capas de protección adicionales
Para entornos críticos en producción o de alto cumplimiento normativo, agrega estas capas de protección:
- Aplica procedimientos de hardening del sistema operativo y de los servicios en toda tu pila tecnológica.
- Mantén ciclos regulares de parches para todos los entornos de ejecución, incluidos los servicios y las dependencias de terceros.
- Haz pruebas de penetración manuales para validar tus defensas, incluidas las defensas en torno a los plugins y las integraciones.
- Despliega firewalls de aplicaciones web (WAF) para proteger las API de los plugins y los endpoints de Midaz frente a ataques de capa 7.
- Usa servicios anti-DDoS y herramientas de mitigación de bots para bloquear ataques automatizados o a gran escala sobre los componentes expuestos.
Configuraciones de seguridad de Midaz
Revisa y ajusta todas las credenciales y certificados antes de salir a producción, ya sea que ejecutes Midaz localmente o lo despliegues en un clúster administrado.
Credenciales y secretos
Midaz se ejecuta como un servicio de ledger consolidado. En un despliegue, proporciona la configuración de producción mediante tu orquestador y mantén los secretos en tu bóveda de secretos.Nunca despliegues Midaz con credenciales predeterminadas. Actualiza todos los valores secretos en tu entorno antes de lanzarlo.
LCRYPTO_HASH_SECRET_KEY y LCRYPTO_ENCRYPT_SECRET_KEY. Midaz no puede leer los datos de holders e instrumentos que cifró con los valores anteriores.