Sophos Central

Plataforma Sophos Central

Sophos Central es una aplicación nativa en la nube con una alta disponibilidad. Se aloja en plataformas en la nube pública, como Amazon Web Services (AWS) y Microsoft Azure, que se amplían de forma dinámica para adaptarse a cargas de trabajo en constante cambio.

Cada cuenta de Sophos Central se aloja en una región determinada: los usuarios eligen su región preferida al crear su cuenta. Todos los datos de los clientes están vinculados a la región seleccionada y no se pueden transferir entre regiones. Se replican en varios centros de datos (zonas de disponibilidad) de cada región, para proporcionar una conmutación por error fluida en caso de fallo de la infraestructura.

Sophos Central utiliza bibliotecas de software conocidas, ampliamente utilizadas y estándar en la industria para mitigar las vulnerabilidades más comunes (p. ej. las incluidas en el Top Ten de OWASP). Esto nos permite beneficiarnos de su elevado nivel de escrutinio en lo que respecta a la seguridad y la estabilidad.

Arquitectura de Sophos Central

Sophos Central utiliza un conjunto de servicios globales para la administración de identidades y sesiones, junto con servicios de API y productos regionales completamente escalables. Todos los productos next-gen de Sophos comparten información sobre amenazas, estados y seguridad a través de Sophos Central, elevando la protección. Todo se controla a través de una sencilla interfaz web para facilitar la gestión diaria.

Seguridad física

Operamos un modelo de responsabilidad compartida con los proveedores de la nube pública que proporcionan la infraestructura física para Sophos Central. Ellos son responsables de la seguridad de la nube y Sophos es responsable de la seguridad en la nube.

Más información sobre el modelo de responsabilidad compartida de AWS

Consulte el monográfico de seguridad de Amazon para detalles sobre las medidas que adopta para proteger la infraestructura y los servicios que ofrece.

Monográfico de seguridad de AWS

Seguridad de la red

Redes virtuales de escalado automático

Sophos Central está segmentado en varias redes virtuales lógicamente independientes en función de las distintas cargas de trabajo que realizan (como la autenticación o la gestión de endpoints). Todas las cargas de trabajo se ubican en grupos de escalado automático, detrás de un equilibrador de carga, de modo que cuando una carga de trabajo en particular detecta un aumento de la carga o el tráfico, es posible asignar recursos temporales adicionales para darle al grupo la capacidad necesaria para manejar la carga.

Listas de control de acceso a la red

Hay implementados grupos de seguridad y listas de control de acceso a la red utilizando el principio del mínimo privilegio. Por defecto, cualquier servicio creado para usarse en Sophos Central se coloca en una subred privada no expuesta al exterior de la red virtual. Los servicios no tienen permiso para comunicarse con otros servicios, a menos que sea explícitamente necesario y el equipo de Sophos Central Infrastructure Services (CIS) haya concedido el acceso. Solo a los servicios que deben exponer una interfaz externa se les da una interfaz pública.

Acceso a bases de datos

Las bases de datos no están expuestas a Internet y solo se puede acceder a ellas dentro de la red virtual. Se mantienen en subredes privadas separadas de la infraestructura restante de Sophos Central. Los servicios que desean interactuar con una base de datos deben hacerlo a través de la capa de acceso a datos (DAL). Consulte la sección Seguridad de datos en este documento para obtener más información sobre la capa de acceso a datos.

Acceso de mantenimiento

El acceso de mantenimiento a Sophos Central solo está disponible a través de un túnel VPN que se origina en una red específica dentro de la infraestructura de TI de Sophos. El túnel no puede establecerse fuera de la red de Sophos, ni siquiera con credenciales, claves y certificados.

Protecciones DDoS

La mitigación de los ataques de denegación de servicio distribuidos (DDoS) utiliza tecnologías de protección contra DDoS específicas, escalado automático, monitorización del sistema y descarga de tráfico.
 

Seguridad de los datos

Integridad

Disponibilidad

Todos los datos se guardan en clústeres de bases de datos que, como mínimo, están triplicados. La replicación en clúster basada en eventos, con un factor de replicación de por lo menos tres, garantiza que aunque fallen dos instancias de la base de datos en nuestro clúster, los datos siguen estando disponibles. Al estar basada en eventos, cualquier cambio en la base de datos se impone inmediatamente a las demás instancias en el clúster, en lugar de que los cambios se repliquen de forma programada, lo que garantiza que, en caso de fallo de una instancia, el conjunto completo de datos siga disponible en las instancias de recuperación de errores.

Durabilidad

Cada instancia de una base de datos es respaldada con un volumen de almacenamiento propio del que se toma una instantánea cada hora. Estas instancias son transitorias, siendo persistentes solo los volúmenes de almacenamiento. Esto nos permite destruir instancias de la base de datos sin miedo a perder datos gracias a los factores de replicación de los clústeres. Las vulnerabilidades en aplicaciones de bases de datos, sistemas operativos, etc., pueden resolverse rápidamente sin pérdida de datos.

Cifrado

Todos los datos en reposo se cifran utilizando un cifrado a nivel de volumen: volúmenes de almacenamiento, almacenamiento de objetos y unidades virtuales de equipos virtuales.

Para los datos sensibles de los clientes, utilizamos un cifrado a nivel de campo dentro de los volúmenes de almacenamiento utilizando una clave de varias partes por campo. Estas partes se forman desde distintas ubicaciones, incluyendo un sistema de gestión de claves. Cada clave es exclusiva a cada cliente y a cada campo.

El cifrado a nivel de transporte se utiliza para proteger la comunicación de gestión entre el software cliente y la plataforma Sophos Central mediante certificados y validación de servidor.

Sophos nunca almacena ni envía las contraseñas de las cuentas de Central en texto plano. Cuando un usuario nuevo se registra para crear una cuenta, debe configurar una contraseña como parte del proceso de activación.
 

Protección contra amenazas

Antimalware

La arquitectura de Sophos Central está diseñada de forma que todos los equipos sean autónomos, sin requerir ningún tipo de intervención, y con la posibilidad de bloquearlos y reforzarlos. Los equipos se crean a partir de fuentes en perfecto estado, en parte gracias a nuestro proceso seguro de firma de código digital, y solo ejecutan el software prescrito por nuestro equipo de desarrollo como parte de la creación de la imagen maestra de la máquina.

Al igual que ocurre con las instancias de servidor de base de datos, los equipos que componen Sophos Central pueden destruirse y volver a crearse en cualquier momento sin pérdida de datos.

Aplicación de parches

Las imágenes maestras de los equipos virtuales se actualizan con las bibliotecas de software y las aplicaciones más recientes cada tres semanas. Ninguna instancia de equipo virtual existe más de tres semanas, destruyéndose las instancias antiguas y desplegándose instancias nuevas basadas en las nuevas imágenes maestras.

En caso de detectarse una vulnerabilidad a través del marco de dependencia de vulnerabilidades, pruebas internas o externas, programas de recompensas por la detección de errores u otros medios, el parcheado y el redespliegue tienen lugar como parte del programa de respuesta a vulnerabilidades.

Monitorización de la seguridad y respuesta

El centro de operaciones de seguridad global de Sophos monitoriza todos los datos de registro de Sophos Central y sus servicios relacionados. Sophos Central tiene capacidades de análisis forense en caso de filtraciones de datos para una respuesta ante incidentes rápida.
 

Controles de los clientes

Autenticación multifactor (MFA)

La autenticación multifactor es necesaria para todos los administradores de cuenta de Sophos Central en nuestros paneles de control de Enterprise y Partner de múltiples inquilinos, y actualmente estamos inmersos en el proceso de inscribir a todos los administradores de Central en paneles de control de un solo inquilino. La inscripción con MFA está activada por defecto para todas las cuentas nuevas de Central. Las opciones integradas actualmente incluyen la OTP enviada por correo electrónico o SMS, así como la OTP basada en tiempo (TOTP) a través de cualquier aplicación compatible.

Administración delegada

Es posible asignar a los administradores varios roles administrativos predefinidos que restringen el acceso a los datos de registro confidenciales, además de impedirles realizar cambios en los ajustes y configuraciones.
 

Telemetría y recopilación de datos

Todos los datos que recopilamos y almacenamos se detallan en las siguientes páginas de nuestro sitio web:

Política de privacidad de Sophos GroupPolítica de seguridad de la información de SophosLabs