Seguridad y endurecimiento de plataformas

Este artículo describe las políticas y procedimientos que sigue Equinix para proteger sus equipos y datos.

Los siguientes equipos y programas revisan, evalúan y mejoran las prácticas de seguridad de Equinix:

1. Auditorías y cumplimiento: Cumplimos formalmente con varios estándares de la industria, como ISO 27001, SSAE16 y PCI DSS. Los certificados y certificados de auditoría son proporcionados por auditores calificados de terceros. Estos auditores coordinan actividades con varios equipos de negocios y tecnología como Business Assurance Services, Auditoría Interna y Operaciones.
2. Equipo de Seguridad de la Información – Trabajando estrechamente con la organización legal, este equipo está encargado de seguir las directrices globales y de las unidades de negocios para ayudar a garantizar el cumplimiento de las leyes y regulaciones locales y federales.
3. Políticas de seguridad de la información: El equipo de seguridad de la información administra y hace cumplir un conjunto completo de información interna confidencial que es revisada y respaldada por la alta dirección. Este equipo se asegura de que las políticas internas sean de alcance global, con un enfoque especial en las leyes, regulaciones y requisitos comerciales específicos de cada país y región.

Las áreas cubiertas por estas políticas internas de seguridad incluyen:

* Uso aceptable de la tecnología
* Antivirus y malware
* Copia de seguridad y conservación de datos
* Clasificación, etiquetado y manejo de datos
* Acceso lógico
* Contraseñas
* Gestión de parches
* Dispositivos móviles
* Ordenadores personales
* Acceso remoto y VPN
* Redes sociales

nota

Estas políticas internas se aplican rigurosamente. Se revisan anualmente para determinar su pertinencia y exactitud. Se introducen nuevas políticas según sea necesario.

Seguridad del servicio Equinix Fabric

Separación del tráfico

Fabric utiliza tecnología probada para garantizar la separación del tráfico entre los clientes. MPLS L3VPNs (VRF) e instancias EVPN L2 por cliente o conexión de cliente. Todo esto se aprovisiona mediante configuración automatizada y sin ningún cambio de configuración no hay datos disponibles fuera de las conexiones de Fabric del cliente. Todos los cambios de configuración (tanto automáticos como manuales en caso de diagnóstico de fallos) se registran y supervisan para detectar anomalías. La configuración activa en todos los dispositivos de red se compara constantemente con la configuración registrada y se informa y corrige cualquier anomalía.

Propiedad del tráfico y encriptación

Todos los datos transmitidos a través de la plataforma Fabric son propiedad del cliente y, como Equinix no tiene forma de saber qué datos se transportan y a qué marcos regulatorios, Equinix no proporciona asesoramiento sobre cómo cifrar los datos transportados. Es responsabilidad del cliente tratar los datos en tránsito de conformidad con sus exigencias reglamentarias. Equinix no tiene mecanismos desplegados para monitorear o intervenir con el tráfico transportado a través de Conexiones de Tejido

Interfaces de gestión

Todas las interfaces de gestión de los dispositivos de red que forman parte de la plataforma Fabric están conectadas a nuestra infraestructura de gestión interna y ninguna interfaz de gestión está expuesta o conectada a Internet.

Seguridad informática empresarial

• Firewalls de Internet: Equinix implementa firewalls de próxima generación que proporcionan antivirus, detección y prevención de intrusiones, filtrado de URL y control de aplicaciones. Los eventos detectados por los cortafuegos se alimentan a un sistema global de Gestión de Incidentes y Eventos de Seguridad (SIEM).
• Correo electrónico - Una pasarela antivirus y antispam defiende contra las amenazas que se originan a través del correo electrónico.

Personal de Equinix Ordenadores de sobremesa y portátiles

• Endurecimiento – Las computadoras de escritorio y portátiles Equinix están endurecidas. Las directrices y estándares de endurecimiento de Equinix se documentan y se llevan a cabo durante la construcción del sistema.
• Antivirus y malware: Se requieren computadoras de escritorio y portátiles Windows y Mac para ejecutar software antivirus y antimalware que ofrezca protección de escaneo en tiempo real para archivos y aplicaciones. Los archivos infectados se ponen en cuarentena.
• Control remoto - La tecnología de control remoto seguro se utiliza para ayudar al personal con problemas técnicos.
• VPN de acceso remoto: Los miembros del personal que acceden de forma remota a las redes o sistemas corporativos de Equinix deben usar soluciones de acceso remoto y VPN suministradas por la empresa mediante autenticación de dos factores. Los sistemas cliente que se conectan a servidores de escritorio remotos deben ser asignados y controlados por TI corporativa.
• WiFi: Las redes WiFi están separadas de las redes empresariales de Equinix. Un usuario conectado a WiFi puede acceder a la red empresarial a través de una VPN de acceso remoto.

Servidores de empresa Equinix

• Endurecimiento: las directrices y normas de endurecimiento de Equinix están documentadas y se aplican durante la construcción del sistema.
• Antivirus y malware: Se requieren servidores Windows para ejecutar software antivirus y antimalware con protección de escaneo en tiempo real para archivos y aplicaciones. Los archivos infectados se ponen en cuarentena.
• Escaneos – Los escaneos de vulnerabilidades se realizan internamente semanalmente y bajo demanda. Las aplicaciones deben pasar análisis completos de vulnerabilidad y seguridad de aplicaciones antes de ser lanzadas al público.
• Registro: El acceso exitoso y fallido a los sistemas se registra para su análisis. La utilidad estándar de la industria SUDO se utiliza en sistemas UNIX. Los registros se introducen en un SIEM y se conservan durante al menos 90 días.

Seguridad física del centro de datos de IBX

La seguridad física de todos los centros de datos IBX es una prioridad operativa alta. Cada centro de datos utiliza una serie de equipos, técnicas y procedimientos de seguridad para monitorear la instalación y para controlar y registrar el acceso.

• Acceso – El subsistema de control de acceso permite a los usuarios autorizados dentro del edificio y dentro de la instalación. Los lectores biométricos de geometría manual o de huellas dactilares, las tarjetas de proximidad y otras tecnologías permiten a los usuarios identificarse con el sistema y, tras la autenticación, obtener acceso a áreas específicas dentro de las instalaciones.

• Monitorización de alarmas y detección de intrusiones: El subsistema de monitorización de alarmas y detección de intrusiones supervisa el estado de varios dispositivos asociados con el sistema de seguridad. Estos incluyen contactos de alarma, detectores de rotura de vidrio, detectores de movimiento e interruptores de manipulación. Si el estado de cualquiera de estos dispositivos cambia de su estado seguro, se activa una alarma, se registra el evento y se toman las medidas adecuadas.

• CCTV: El subsistema de televisión de circuito cerrado proporciona la visualización, el control, la grabación y la reproducción de vídeo en vivo desde las cámaras en toda la instalación, así como fuera de la instalación donde la ley lo permita. Este sistema está integrado con el subsistema de monitorización de alarmas y detección de intrusos, por lo que en caso de alarma, se pueden activar cámaras para grabar el evento.

  nota

  La vídeovigilancia funciona las 24 horas del día, todos los días.

• Intercomunicador de audio y subsistema de radio bidireccional: El subsistema de intercomunicador de audio proporciona comunicaciones bidireccionales entre los visitantes de la instalación y el oficial de seguridad. El subsistema de radio de dos vías también proporciona comunicaciones entre el guardia del lobby delantero y el guardia de patrulla.

• Pruebas de intrusión - Las pruebas de intrusión se realizan periódicamente sin previo aviso al personal del centro.

• Personal de seguridad: Contratación y capacitación: Equinix aprovecha a los proveedores y socios líderes en la industria para ayudar a administrar la infraestructura física en cada centro de datos de IBX. El personal de seguridad se somete a controles de antecedentes y penales, y se le exige que tome capacitación en materia de seguridad cuando se le contrata y periódicamente después.

• Protocolos de emergencia para clientes y visitantes: En caso de emergencia, el personal del centro de datos de IBX proporciona dirección. Los clientes y otros visitantes en las instalaciones están obligados a seguir las instrucciones dadas.

• Grabación de vídeo y fotografía: Para salvaguardar la instalación y preservar el anonimato de todos los clientes del centro de datos de IBX, no se permite ninguna fotografía o videografía dentro del centro de datos de IBX. Los clientes en jaulas autorizadas pueden solicitar fotografías de sus jaulas y su equipo cuando programen una visita.

  nota

  Cualquier fotografía requiere la presencia de un técnico de Equinix.

• Seguimiento de activos: Los clientes y sus proveedores, contratistas y subcontratistas a menudo entregan y retiran equipos de un centro de datos de IBX a través del lobby. Las siguientes reglas se aplican para el seguimiento de activos:

  • Los bolsos y objetos que se lleven en la mano están sujetos a registro según lo permita la ley.
  • El equipo retirado de un centro de datos de IBX que no se traiga ese día debe figurar en el ticket de servicio como equipo que se puede quitar. La descripción de los artículos debe ser clara para la identificación exacta del equipo.
  • El equipo enviado hacia y desde la instalación es manejado por el departamento de envío y recepción que está separado del área de co-ubicación. Los clientes deben abrir un ticket de solicitud de servicio de envío para recibir el equipo.

• Señalización de jaula – La política de Equinix es no divulgar la ubicación física de ninguna jaula de clientes. Sin embargo, los clientes pueden publicar señalización de jaula con la aprobación de Equinix.

  nota

  Los carteles de jaula se limitan a jaulas privadas y no pueden utilizarse en jaulas compartidas o espacios para revendedores.

Operaciones

Equipo de gobernanza de la seguridad del centro de datos de IBX

El equipo de Cloud Exchange Security Governance es responsable de promover el conocimiento y el cumplimiento de las políticas, procedimientos y normas de seguridad interna aplicables a las implementaciones de Equinix Fabric, como Network Edge.

Mantenimiento controlado

Los cambios rutinarios, de emergencia y de configuración en la infraestructura de red de servicios de Equinix se autorizan, registran, prueban, aprueban y documentan.

Solicitudes de cambio

Las solicitudes de cambio son documentos formales archivados que describen las modificaciones de cualquier aspecto de Equinix Fabric o Network Edge que afecten a los clientes.

Junta de Revisión de Cambios

La junta de revisión de cambios convoca una revisión semanal de los documentos de solicitud de cambio. La junta está integrada por las partes interesadas apropiadas, incluidos expertos de los equipos técnicos, de lanzamiento y de gestión de proyectos. El tablero prioriza las solicitudes de cambio y asigna ventanas de tiempo específicas para los cambios.

Reversión de cambios

Las solicitudes de cambio deben incluir planes de reversión, en caso de que el cambio tenga un impacto negativo en el entorno de producción.

Gestión de problemas

Los problemas se gestionan formalmente y se hace un seguimiento desde su detección hasta su resolución con la ayuda de un sistema de tickets.

Escalaciones

Existen políticas y procesos operativos publicados para los procedimientos de escalamiento de cara al cliente.

Equinix Fabric y Network Edge Servicio de seguridad de red

Network Edge utiliza la red y plataforma Equinix Fabric para su interconexión. A menos que se indique a continuación, las mismas reglas se aplican a ambas líneas de productos.

Bastión

El acceso administrativo a la red de servicios Equinix Fabric sólo está disponible a través de un host bastión.

Autenticación, autorización y contabilidad (AAA)

Los dispositivos de la red de servicios Equinix Fabric utilizan TACACS+ para los servicios AAA. Los miembros del personal que participan en la administración de la red de servicios de Equinix Fabric tienen acceso basado en el modelo de "privilegios mínimos", con sus derechos de acceso proporcionales a su función laboral. Los intentos exitosos y fallidos de acceder a los dispositivos de red se registran con fines de análisis y alarmantes.

Este mismo modelo se sigue para la infraestructura de Network Edge, incluidos los recursos de cómputo e hipervisor.  El acceso a TACACS y LDAP está restringido hasta el nivel de comandos en toda la infraestructura y dispositivos virtuales en los que el acceso a la orquestación administrativa es necesario.

Herramientas de gestión

Las herramientas de gestión de servicios están sujetas a controles AAA. Las configuraciones que gobiernan son controladas por revisión, con sello de tiempo y registradas.

Solo las sesiones que se originen desde el dispositivo virtual podrán acceder a herramientas externas; y solo se permitirá regresar el tráfico de retorno para la misma sesión.  Con las herramientas de orquestación y gestión internas, solo las sesiones que se originen desde Equinix OSS podrán acceder al dispositivo virtual.  La red de administración de servicios Equinix utiliza solo espacio de direcciones RFC 1918 privado.

Para validar las licencias, es posible que el dispositivo virtual deba llamar fuera de la red privada.  Solo las sesiones originadas por egreso con estado desde el dispositivo se permitirán a direcciones permitidas específicas que sean sancionadas por el proveedor de ese dispositivo.

Plano de gestión de dispositivos de red

Los controles del plano de gestión incluyen el uso de servicios AAA. Las sesiones de administración remota se cifran (es decir, usando SSH) y se cronometran después de un período apropiado de inactividad. El acceso del administrador y los cambios de configuración se registran. Las Listas de Control de Acceso (ACL) limitan el tráfico hacia/desde solo las direcciones IP de origen y destino requeridas. Las configuraciones predeterminadas de los proveedores se modifican de acuerdo con las recomendaciones de seguridad del fabricante.

El acceso a la raíz no está permitido.

Accesibilidad del dispositivo virtual Network Edge

El acceso de usuario o cliente a los dispositivos se realiza a través de SSH o software autenticado por proveedores (como un portal SaaS para SD-WAN), y se administra hasta el nivel de comando para todos los dispositivos.  El acceso al dispositivo y las credenciales son a la sola discreción del usuario / propietario de ese dispositivo.  Las credenciales SSH son gestionadas por el usuario desde el portal o API.  En ningún momento el personal de Equinix tiene autoridad o capacidad para agregar, eliminar o cambiar las credenciales establecidas por el propietario del dispositivo virtual.

El acceso al dispositivo a través de SSH debe realizarse a través de la interfaz de Internet pública proporcionada por Equinix o la interfaz de red proporcionada por el cliente.  Los usuarios deben permitir la lista de cualquier dirección IP y subred que requerirá acceso, o la plataforma Network Edge rechazará la solicitud de conexión.

El número de sesiones SSH está limitado a 5 y se aplica un tiempo de espera de 5 minutos.

Plano de control del dispositivo de red

Los controles del plano de control incluyen la limitación de la velocidad en el tráfico destinado al propio dispositivo (ICMP, ARP, BGP, SSH, SNMP) y protocolos de aplicación centrales como DNS para defenderse contra ataques de denegación de servicio. El tráfico hacia y desde redes no autorizadas e inválidas está bloqueado. La autenticación MD5 se utiliza para intercambios y actualizaciones de mensajes de protocolo (IGP/ LDP/ BGP).

Dispositivo de red Plano de reenvío

Los aviones de reenvío de clientes están aislados en sus propias tablas de enrutamiento y reenvío virtuales (VRF) y VPN de capa 2 y/o capa 3. Los límites máximos de prefijo de BGP, así como los límites en el número máximo de direcciones físicas (MAC), se utilizan para proteger los recursos y defenderse contra ataques de denegación de servicio.

Equinix no realiza ninguna compresión o desduplicación de paquetes de datos.  Equinix no emplea FEC en el Equinix Fabric y solo utiliza balanceo de carga de flujo, de modo que nunca hay ningún repedido de paquetes que requiera inspección de paquetes.

Infraestructura Network Edge

Todos los servicios relacionados con el servicio Network Edge tienen puertos abiertos limitados, y el hipervisor y la orquestación se basan en contenedores.

Network Edge Internet Access

Todo el tráfico de Internet pasa a través de la puerta de enlace de Internet y la infraestructura del servicio Equinix Internet Access. Este servicio incluye protección DDoS avanzada y protecciones de agujeros negros de disparo remoto.

Sólo el dispositivo virtual puede originar una sesión con el mundo exterior a través de la interfaz de Internet proporcionada, incluidos los túneles VPN entre el dispositivo virtual y cualquier otra ubicación.

Portal del cliente e interfaces de programación de aplicaciones (API)

Gestión de Identidad y Acceso

Equinix ofrece a los clientes capacidades de administración de identidades limitadas al alcance del ECP y el portal de intercambio en la nube. Como parte del proceso de aprovisionamiento, Equinix crea una cuenta de administrador principal para el cliente. El administrador principal puede crear, modificar, deshabilitar y eliminar cuentas de usuario de clientes según sea necesario, incluidos otros administradores principales. Los administradores principales asignan roles y privilegios a las cuentas de usuario del cliente de acuerdo con las necesidades del cliente. Aunque los proveedores de servicios en la nube pueden proporcionar sus propios sistemas de gestión de identidad y acceso, son independientes de los ofrecidos por ECP.

Interfaces de programación de aplicaciones (API)

Equinix ofrece un Network Edge API cuya funcionalidad incluye recuperar información sobre puertos Equinix Fabric y conexiones virtuales y realizar operaciones en ellos. La autenticación y autorización se realizan utilizando el estándar OAuth 2,0. Aunque los proveedores de servicios en la nube pueden proporcionar sus propias API, son independientes de las que ofrece Equinix.

Acceso a los datos de los clientes

Equinix no accede ni deberá acceder a ningún dato de tránsito de clientes de Network Edge o Equinix Fabric, ya sea en movimiento o en reposo. Como se describe a lo largo de este documento, los controles físicos y lógicos están en su lugar para prevenir, monitorear y detectar cualquier parte no autorizada que acceda o intente acceder a los datos de tránsito del cliente.

Seguridad de los datos, ciclo de vida de la información, cifrado y gestión de claves

Equinix Fabric y Network Edge proporcionan conectividad de red directa entre clientes en la nube y proveedores de servicios en la nube sin acceder, inspeccionar, manipular o copiar los datos. Los clientes son responsables de asegurar todos los aspectos de los datos que transitan Equinix Fabric de acuerdo con sus necesidades de seguridad, políticas y cualquier requisito legal o reglamentario aplicable.

Red EdgeDatos de configuración

Equinix mantiene una compilación actual y un registro histórico de toda la configuración de cada dispositivo virtual puesto en servicio. Esto incluye el sistema operativo y la configuración del dispositivo, el direccionamiento de la interfaz y otros detalles.

Datos de eventos de Network Edge

Equinix mantiene un registro continuo de todos los eventos administrativos y de gestión de cambios que se registran con cada dispositivo. Esto incluye los éxitos de inicio de sesión y cierre de sesión y fallas en el dispositivo, el portal y las API, cambios en la configuración realizados por los usuarios o administrativamente por la orquestación de Equinix, cambios en el estado de las interfaces y otros eventos comunes. Los usuarios pueden acceder a esto directamente desde el dispositivo o solicitarlo al personal de Equinix. En ningún momento estos datos están asociados con datos de privilegios de acceso del usuario (como un nombre de usuario completo y una contraseña).