Obtén más información sobre cómo se producen las vulneraciones de datos y cómo los usuarios pueden protegerse mejor contra estas en el contexto de Elasticsearch.

Si estás en el área de la tecnología, seguramente la frase "vulneración del servidor" ha aparecido en el radar en algún momento. Si no estás en el mundo de la tecnología, es probable que igual estés al tanto de las vulneraciones del servidor o los datos y las fallas de seguridad por los que datos privados y personales han terminado en las manos equivocadas. Esto puede incluir información crediticia, números de seguridad social y otra información que preferirías conservar para ti y que no esté en la internet oscura.
Todos los softwares deben afrontar la posibilidad de una vulneración o un ataque. Esto incluye Elasticsearch, un proyecto de software open source de Elastic. Hubo casos en que datos que no estaban almacenados de manera segura en Elasticsearch se filtraron, se perdieron o fueron robados.
<h2>Cómo prevenir una vulneración del servidor de Elasticsearch</h2>Este artículo ayudará a comprender cómo se producen las vulneraciones de datos y cómo los usuarios pueden protegerse mejor contra estas en el contexto de Elasticsearch. Comenzaremos con algunas cuestiones básicas pero, si quieres, puedes ir directamente a la sección:&nbsp;<a href="#secure-elasticsearch">¿Cómo aseguro Elasticsearch?</a><h2>¿Qué es Elasticsearch?</h2>Elasticsearch es un motor de analítica y búsqueda open source y también un espacio de almacenamiento de datos. Y con cientos de millones de descargas, también es increíblemente popular. Promocionamos su velocidad, escala y relevancia de búsqueda, pero además su amplia adopción se ha debido en gran parte a su facilidad de uso, la capacidad de gestionar cualquier tipo de datos (texto, número, geoespacial, etcétera), el sólido conjunto de características y el hecho de que cualquier persona puede enviar la corrección de un error o sugerir una mejora (porque es <a href="/es/about/why-open-source">open source</a>).
En lenguaje no técnico, imagina que tienes una hoja de cálculo con miles de millones de columnas, pero aun así puedes encontrar o calcular cualquier cosa en una fracción de segundo. Elasticsearch es así y es realmente bueno en lo que hace, por eso <a href="/es/customers">muchas organizaciones usan Elasticsearch</a> para todo tipo de cuestiones, como <a href="/es/customers/netshoes">habilitar la búsqueda en sus sitios de comercio electrónico</a>, <a href="/es/elasticon/2015/sf/unlocking-interplanetary-datasets-with-real-time-search">analizar los datos enviados desde los exploradores de Marte</a> o<a href="/es/elasticon/conf/2018/sf/lyfts-wild-ride-from-amazon-es-to-self-managed-elasticsearch"> garantizar que los autos compartidos lleguen a tiempo</a>.
<h2>¿Quién es Elastic? Además, ¿tienen mis datos?</h2>Elastic es la empresa que desarrolla Elasticsearch, junto con los otros productos del Elastic Stack (Kibana, Beats, Logstash, etcétera). Elasticsearch es el pilar de una variedad de soluciones que incluyen <a href="/es/enterprise-search">búsqueda</a>, <a href="/es/observability">observabilidad</a>, <a href="/es/security">seguridad</a> y más.
Y la respuesta breve es no, no tenemos tus datos. Nosotros desarrollamos Elasticsearch y otras empresas luego lo ejecutan localmente o dentro de la infraestructura del cloud.&nbsp;
La respuesta un poco más extensa es: tal vez. Algunas empresas usan <a href="/es/cloud">Elastic Cloud</a>, nuestra oferta de Elasticsearch administrado. Somos responsables de conservar cualquier dato que los clientes pongan en Elastic Cloud, lo que incluye mantenerlos seguros. Es por esto por lo que todos nuestros <a href="/es/elasticsearch/service">despliegues de Elasticsearch Service</a> son <a href="/es/cloud/security">seguros de manera predeterminada</a>.
<h2>¿Dónde almacena Elasticsearch los datos?</h2>Dado que Elasticsearch es open source (es decir, que cualquier persona puede descargarlo e instalarlo sin cargo), se puede instalar en casi cualquier lugar. Algunas empresas lo descargan y lo instalan en sus propios servidores locales, mientras que otras lo descargan y lo instalan en el cloud (en cualquier proveedor que quieran). También hay algunas empresas de servicios en el cloud que ofrecen versiones gestionadas de Elasticsearch, lo que significa que hospedan y administran los clusters de Elasticsearch (así los llamamos) para los clientes.&nbsp;
De hecho, Elastic también ofrece nuestro propio <a href="/es/elasticsearch/service">Elasticsearch Service</a> administrado en Elastic Cloud. De esta manera, brindamos amplios servicios de administración (incluida la seguridad de forma predeterminada), y dejamos que elijas entre distintos proveedores de cloud para la infraestructura.
<h2>¿Cómo se vulneran los servidores de Elasticsearch?</h2>Hay distintas formas en que los almacenes de datos pueden vulnerarse, desde contraseñas robadas y hackers hasta empleados descontentos. En el caso de Elasticsearch, el tipo de vulneración más común se debe a un cluster en internet que no está asegurado, lo que significa que cualquiera puede conectarse sin necesidad de un nombre de usuario ni una contraseña y puede acceder a los datos. Investigadores de seguridad suelen detectar estos clusters abiertos y luego publican sus descubrimientos; de esta manera, el mundo conoce sobre los datos que se dejan en internet.
Cuando está bien asegurado, un cluster de Elasticsearch no sufre mayor riesgo de vulneración que cualquier otra base de datos. Y es por este motivo que brindamos las características (gratis y predeterminadas) necesarias para que cualquier persona que descargue y use el Elastic Stack <a href="/es/what-is/elastic-stack-security">asegure un cluster de Elasticsearch</a>. Para ello, analicemos algunas acciones que los usuarios de Elasticsearch pueden hacer para asegurarse de estar usando estas características y mantener los clusters seguros.
<h2 id="secure-elasticsearch">¿Cómo aseguro Elasticsearch?</h2>Incluimos las <a href="/es/blog/security-for-elasticsearch-is-now-free">características de seguridad de Elasticsearch</a> como parte de nuestra distribución gratis y predeterminada (nivel <a href="/es/subscriptions">Básico</a>), lo que significa que cualquier persona puede configurar la seguridad para su cluster de Elasticsearch y evitar fugas accidentales de datos. Antes de analizar el uso de esas características, primero veamos cómo determinar si tu cluster ya es seguro.
<h3>¿Cómo puedo saber si tengo un cluster de Elasticsearch no seguro?</h3>Si eres usuario o administrador de Elasticsearch, hay algunas acciones simples que puedes hacer para comprobar si ya tienes la seguridad activada y en funcionamiento.&nbsp;
La mejor forma de determinar si tienes la seguridad activada y en funcionamiento es buscar en la API de configuración. Si emites esta búsqueda:
<pre class="prettyprint">GET _xpack/usage?filter_path=security
</pre>Verás resultados que se parecen a esto si la seguridad está desactivada:
<pre class="prettyprint">{ 
 "security" : { 
 "available" : true, 
 "enabled" : false, // Cuando la seguridad está desactivada, esto está configurado como "false" 
 "ssl" : { 
 "http" : { 
 "enabled" : false 
 }, 
 "transport" : { 
 "enabled" : false 
 } 
 } 
 } 
}
</pre>O si la seguridad está funcionando como debe, verás esto
<pre class="prettyprint">{ 
 "security" : { 
 "available" : true, 
 "enabled" : true, // Cuando la seguridad está activada, esto está configurado como "true"
 "realms" : { ... }, 
 "roles" : { ... }, 
 "role_mapping" : { ... }, 
 "ssl" : { 
 "http" : { 
 "enabled" : true 
 }, 
 "transport" : { 
 "enabled" : true 
 } 
 }, 
 "token_service" : { ... }, 
 "api_key_service" : { ... }, 
 "audit" : { ... }, 
 "ipfilter" : { ... }, 
 "anonymous" : { ... } 
 } 
}
</pre>Puedes ver que los resultados son bastante diferentes. Según el tipo de versión y nivel de licencia que hayas desplegado, puedes esperar que los resultados sean ligeramente diferentes también.
<h3>¿Cómo me aseguro de que mi cluster de Elasticsearch sea seguro?</h3>Las dos acciones más fáciles que puedes hacer para asegurarte de que personas ajenas no tengan acceso a tus clusters de Elasticsearch son las siguientes:
<ol>
	<li>Habilitar la autenticación para que nadie tenga acceso sin iniciar sesión en Elasticsearch.</li>
	<li>Habilitar TLS para que nadie pueda interceptar los datos de Elasticsearch que viajan por la red.</li>
</ol>Tenemos muchos recursos excelentes disponibles (enumerados al final) que explican cómo asegurar Elasticsearch, entre ellos, cómo implementar fácilmente las dos recomendaciones anteriores. Sin embargo, la forma más rápida de asegurarse es ver nuestro blog <a href="/es/blog/getting-started-with-elasticsearch-security">Primeros pasos con la seguridad de Elasticsearch (TLS y BRBAC)</a> y el video que lo acompaña: Securing Elasticsearch in 7 minutes (Asegurar Elasticsearch en 7&nbsp;minutos).
<div class="video embed-container" style="height: 319.725px;">
	<img class="vidyard-player-embed" src="https://play.vidyard.com/aiXTSUt4aR3hfesxsFynaw.jpg" data-uuid="aiXTSUt4aR3hfesxsFynaw" data-v="4" data-type="inline" style="width: 100%; margin: auto; display: block;">
</div>También tenemos un método sencillo para todo esto en nuestro <a href="/es/elasticsearch/service">Elasticsearch Service</a> en Elastic Cloud. Cuando usas nuestro Elasticsearch Service, puedes tener la certeza de que incluye seguridad configurada automáticamente para cada cluster.
<h2>La seguridad requiere trabajo en equipo</h2>Si tienes preguntas, siempre puedes comunicarte con nosotros. Tenemos varias formas de ser parte de la <a href="/es/community/">comunidad Elastic</a>, como <a href="https://discuss.elastic.co">foros</a>, eventos locales y <a href="/guide">mucha documentación</a> (mucha más que los enlaces anteriores). Además, estamos continuamente trabajando para que asegurar Elasticsearch sea más fácil que nunca. Sigue con atención nuestros blogs para saber lo que está por llegar y qué haremos en este espacio en el futuro. Si eres fan del Hombre Araña, conoces la frase "Un gran poder conlleva una gran responsabilidad", y esto es cierto para Elastic y para todos los que usan Elasticsearch para almacenar datos.
<h2>Recursos adicionales para asegurar Elasticsearch</h2>Blogs
<ul>
	<li><a href="/es/blog/getting-started-with-elasticsearch-security">Primeros pasos con la seguridad de Elasticsearch (TLS y RBAC)</a></li>
	<li><a href="/es/blog/tips-to-secure-elasticsearch-clusters-for-free-with-encryption-users-and-more">Consejos para asegurar los clusters de Elasticsearch de forma gratuita con encriptación, usuarios y más</a></li>
	<li><a href="/es/blog/configuring-ssl-tls-and-https-to-secure-elasticsearch-kibana-beats-and-logstash">Configuración de SSL, TLS y HTTPS para asegurar Elasticsearch, Kibana, Beats y Logstash</a></li>
</ul>Videos
<ul>
	<li><a href="/es/webinars/elasticsearch-security-best-practices-to-keep-your-data-safe">Elasticsearch security: Best practices to keep your data safe</a> (Seguridad de Elasticseach: mejores prácticas para mantener los datos seguros)</li>
	<li><a href="/es/webinars/kibana-security-access-management-spaces-and-feature-controls">Kibana security: Access management, spaces, and feature controls</a> (Seguridad de Kibana: gestión de acceso, espacios y controles de características)</li>
</ul>Documentación
<ul>
	<li><a href="/guide/en/elasticsearch/reference/7.6/elasticsearch-security.html">Configuraciones de seguridad en Elasticsearch</a></li>
	<li><a href="/guide/en/elasticsearch/reference/7.6/configuring-security.html">Configurar la seguridad en Elasticsearch</a></li>
</ul>Capacitación
<ul>
	<li><a href="/es/training/specializations/elastic-stack-management/fundamentals-of-securing-elasticsearch">Fundamentals of Securing Elasticsearch</a> (Conceptos básicos sobre cómo asegurar Elasticsearch)</li>
	<li><a href="/es/training/specializations/elastic-stack-management/advanced-techniques-for-securing-elasticsearch">Advanced Techniques for Securing Elasticsearch</a> (Técnicas avanzadas para asegurar Elasticsearch)</li>
</ul>

Securing Elasticsearch: How to prevent an Elasticsearch server breach

Cómo prevenir una vulneración del servidor de Elasticsearch

Con el lanzamiento del Elastic Stack&nbsp;6.8 y 7.1, hemos ampliado a todos la disponibilidad de varias características de seguridad de Elasticsearch haciéndolas <a href="/es/blog/security-for-elasticsearch-is-now-free">gratuitas en la distribución predeterminada</a>. Estamos muy entusiasmados por compartir esto, pero uno de los desafíos nuevos ahora es actualizar toda la documentación y orientación sobre cómo asegurar el Elastic Stack. Quedaron atrás los días en que confiábamos solo en un servidor proxy adelante del Stack para asegurarlo.



Revisamos la mayoría de nuestros antiguos blogs populares enfocados en la seguridad y actualizaremos la orientación, disiparemos algunos mitos, plantearemos algunas ideas nuevas y garantizaremos que puedas asegurar tu Stack mejor que nunca.



No incluiremos enlaces a artículos antiguos; en algunos se brindan consejos que ahora consideramos peligrosos debido a los cambios que se han hecho en el Elastic Stack con los años. (Ten cuidado con los consejos de seguridad de blogs antiguos, los cambios suceden rápido). Reenviaremos todos esos enlaces a esta página, pero si encuentras otro sitio con versiones en memoria caché de esos artículos, reenvíale un enlace a este.



<h2>Encripción TLS
</h2>
La encripción TLS ahora es parte de nuestra seguridad gratuita de Elasticsearch y Kibana en la distribución predeterminada. La finalidad de TLS es encriptar las comunicaciones de red. Encriptamos la comunicación entre los nodos en tu cluster, entre los clientes y el cluster, y las conexiones de Kibana con los usuarios.



También usamos certificados TLS para asegurar que se permita a un nodo unirse a un cluster. Sin TLS, cualquiera puede agregar un nodo a un cluster. Aunque un atacante podría aprovecharse de esto para varios propósitos nefastos, el caso más habitual es cuando un nodo se une accidentalmente al cluster equivocado. TLS puede ayudar a evitar estos problemas porque, sin el certificado adecuado, un nodo no puede unirse al cluster.



Antes de las versiones 6.8 y 7.1, si necesitabas TLS para tu Elastic Stack con una licencia <a href="/es/subscriptions">Basic</a>, debías confiar en algún tipo de proxy, lo que agrega una cantidad importante de configuración. TLS ya es bastante difícil de configurar incluso sin tener que configurar un proxy entre los nodos y los clientes. Agregar un proxy habría complicado todavía más un problema difícil. Ahora podemos aprovechar el soporte de TLS directamente en el Elastic Stack.



Tenemos bastante <a href="/guide/en/elastic-stack-overview/7.1/ssl-tls.html">documentación sobre cómo configurar TLS</a>. Si trabajaste con TLS, sabes que nunca resulta sencillo configurar certificados, pero tenemos herramientas integradas que ayudan a generar <a href="/guide/en/elasticsearch/reference/7.1/configuring-tls.html#node-certificates">autoridades de certificados y certificados para todo el cluster</a> para facilitar las cosas. &nbsp;Mantente atento a este espacio, en los próximos blogs entraremos en detalles sobre la mejor manera de configurar TLS en todos los componentes del Elastic Stack. ¿Cuáles son las dos opciones más sencillas para dar los primeros pasos hoy? Echa un vistazo a este blog <a href="/es/blog/getting-started-with-elasticsearch-security">Primeros pasos con la seguridad de Elasticsearch</a> o a nuestro <a href="/es/blog/introducing-elastic-cloud-on-kubernetes-the-elasticsearch-operator-and-beyond">Kubernetes Operator</a> oficial.



<h2>Autenticación
</h2>
Con las versiones&nbsp;6.8 y&nbsp;7.1, la autenticación nativa está disponible para todos. La finalidad de la autenticación es permitir a los clientes identificarse en el Elastic Stack. Esto habitualmente se conoce como el nombre de usuario y la contraseña que usas para iniciar sesión en un sistema. Por lo general, es una mala idea dejar un cluster lleno de datos abierto a todo el mundo. Es particularmente peligroso si el cluster está conectado directamente a internet, donde cualquiera puede conectarse sin usar una contraseña.



Anteriormente, se aconsejaba usar un servidor Nginx con autorización básica habilitada entre el cliente y el cluster. Lograr la configuración correcta podría ser increíblemente difícil. Como todos los nodos pueden atender solicitudes externas, si olvidaste proteger con firewall un nodo, cualquiera podría conectarse al cluster sin autenticación.



Ahora permitimos la autenticación usando los realms <a href="/guide/en/elastic-stack-overview/7.1/native-realm.html">nativo</a> y <a href="/guide/en/elastic-stack-overview/7.1/file-realm.html">de archivo</a> de forma gratuita. El realm de archivo almacena información del usuario en un archivo en todos los nodos. Debes mantener los archivos sincronizados en todos los nodos. El realm nativo es una experiencia más optimizada y hace lo que uno esperaría: Los datos del usuario se almacenan en un índice en el cluster al que todos los nodos tienen acceso. Agregas nombres de usuario y contraseñas a través de una API REST, y luego esas cuentas pueden iniciar sesión. Consulta el blog <a href="/es/blog/getting-started-with-elasticsearch-security">Primeros pasos con la seguridad de Elasticsearch</a> para ver más detalles.



Si tienes necesidades de autenticación más complejas, como LDAP, Active&nbsp;Directory, SAML u otra, <a href="/es/cloud/">ofrecemos un servicio Cloud (SaaS)</a> con algunas de estas características comerciales y otras incorporadas, o puedes <a href="/es/subscriptions">ponerte en contacto</a> con nosotros para analizar posibles soluciones en las instalaciones. Para ver las distintas opciones de autenticación que ofrecemos, asegúrate de consultar los <a href="/guide/en/elastic-stack-overview/7.1/setting-up-authentication.html">documentos sobre autenticación</a>.



<h2>Autorización
</h2>
La autorización y la autenticación tienden a ir de la mano, el Elastic Stack no es la excepción. Tenemos un sistema muy flexible que puede definir reglas de autorización para el cluster y los índices, incluidos <a href="/guide/en/elastic-stack-overview/7.1/document-level-security.html">documentos</a> y <a href="/guide/en/elastic-stack-overview/7.1/field-level-security.html">campos</a>. Incluso contamos con un <a href="/guide/en/elastic-stack-overview/7.1/custom-roles-authorization.html">motor de autorización</a> en el que puedes crear tu propio plugin de autorización.



Históricamente, los consejos en este espacio han sido bastante imprecisos. Anteriormente, se han sugerido ciertas formas de escribir reglas de filtrado bastante complejas con un proxy como Nginx para luego intentar aprovechar los alias filtrados y lograr algo que casi se parezca a una autorización. Recomendamos a todos que eviten usar estos métodos para autorización. No son características de seguridad, probablemente no hagan lo que tú desees y su mantenimiento es increíblemente frágil. Estas soluciones ya no harán lo que realmente deseas porque, con el tiempo, la cantidad de API de Elasticsearch creció sustancialmente. Existen muchas maneras de acceder a los índices y los datos que contienen, y realizar búsquedas en ellos. No hay manera de asegurar que hayas bloqueado o restringido cada una de las solicitudes. La segunda razón está relacionada con la primera, porque hay tantos endpoints que proteger, y agregamos nuevos todo el tiempo. Mantener esos filtros actualizados requerirá una gran cantidad de trabajo.



Afortunadamente, ya no debes preocuparte por esto. En las versiones&nbsp;6.8 y&nbsp;7.1, tienes acceso a una gran cantidad de características de autorización. Son demasiadas para describirlas en este blog, pero encontrarás excelentes explicaciones de todos los privilegios existentes en los <a href="/guide/en/elastic-stack-overview/7.1/security-privileges.html">documentos de seguridad del Elastic Stack</a>. Dedicaremos tiempo en los futuros blogs a explicar algunas de las soluciones que pueden crearse con nuestro modelo de permisos.



Al igual que la autenticación, tenemos más características de autorización avanzadas que pueden aplicarse a documentos y campos individuales. Puedes crear tus propios plugins de autenticación y autorización, y hasta registrar los eventos de seguridad en el cluster. Puedes usarlos <a href="/es/cloud/elasticsearch-service/subscriptions">como parte de tu servicio Cloud</a> o <a href="/es/subscriptions">ponerte en contacto</a> con nosotros para analizar tus opciones en las instalaciones.



<h2>Coloca tu Stack detrás de un VPN o firewall
</h2>
Anteriormente se aconsejó bastante que coloques el Elastic Stack detrás de un firewall o VPN. Este consejo, en gran medida, se debía a que sin TLS y autenticación podía ser difícil proteger un cluster usando solo un proxy, por lo que simplemente bloquear el acceso a todos era más sencillo que intentar que todos los componentes involucrados estuvieran correctamente configurados.



Si aún deseas hacer esto, incluso con TLS y autenticación habilitados, puede ser una gran idea. La seguridad funciona mejor cuando hay varias capas. La parte buena de esto ahora es que el VPN y el firewall no son la única capa.



<h2>Scripts restringidos
</h2>
En una ocasión, hace tiempo, publicamos un blog sobre la restricción de scripting en Elasticsearch. Con la creación del lenguaje de scripting <a href="/guide/en/elasticsearch/reference/7.1/modules-scripting-painless.html">Painless</a>, es mucho más difícil derribar un cluster, incluso con scripts malintencionados. Sin embargo, no es imposible, y contamos con algunas mejores prácticas en los <a href="/guide/en/elasticsearch/reference/7.1/modules-scripting-security.html">documentos de seguridad de scripting</a> en los que se analiza nuestra posición actual sobre este tema. Nuevamente, siempre debes revisar tu entorno y tomar las medidas que tengan más sentido en tu caso. La seguridad funciona mejor en capas, por lo que no hay una sola mejor opción.



<h2>Aislamiento
</h2>
Se ha mencionado varias veces el aislamiento de tu cluster y tus nodos por seguridad. Esto incluye desde contenedores y firewalls hasta filtrado IP.

Sigue siendo un excelente consejo; aislar todo lo que puedas es un buen consejo de seguridad. En los últimos años, hemos hecho mucho para facilitar esto más que nunca. Puedes usar nuestras imágenes de <a href="https://www.docker.elastic.co/">contenedor</a> oficiales publicadas en Docker Hub. Puedes aprovechar <a href="/es/cloud/elasticsearch-service">Elasticsearch Service</a>, y nosotros nos encargaremos del trabajo pesado. Y acabamos de anunciar un <a href="/es/blog/introducing-elastic-cloud-on-kubernetes-the-elasticsearch-operator-and-beyond">Kubernetes Operator</a> oficial al que puedes darle una oportunidad.



<h2>Haz una copia de seguridad de tus índices (especialmente de .kibana, porque puede cambiarse con facilidad)
</h2>


Hacer una copia de seguridad de tus datos sigue siendo tan importante como siempre. La seguridad no cambia esto de ninguna manera, pero sí podemos hacer algunas otras modificaciones.



La principal ventaja es que podemos usar <a href="/guide/en/kibana/7.1/xpack-spaces.html">Kibana Spaces</a> para restringir quién puede modificar ciertos dashboards. Esta característica también se lanzó de forma gratuita como parte de las versiones&nbsp;6.8 y&nbsp;7.1. Anteriormente, si podías acceder a Kibana, probablemente podías cambiar todo lo que quisieras. No era poco habitual que alguien estropeara los dashboards o incluso que los borrara todos accidentalmente, en algunos casos. Se aconsejaba hacer una copia de seguridad de tus índices .kibana con frecuencia para poder recuperarte de errores con rapidez. Restaurar un índice es mucho más rápido que reconstruir todos tus dashboards. Hacer copias de seguridad de .kibana sigue siendo importante, pero no debería ser necesario restaurarlas con frecuencia gracias a los espacios y la autorización.



Otra gran ventaja de la seguridad es la capacidad de controlar quién puede tomar una snapshot, crear un índice y modificar los datos. Sin la seguridad, un usuario que solo debería ser capaz de leer podría hacer cambios catastróficos en los datos. Con la seguridad habilitada, podemos tomar algunas medidas para prevenir, con suerte, cambios accidentales en datos importantes.



<h2>¿Y ahora?
</h2>


La finalidad de este blog era repasar algunos de nuestros consejos anteriores sobre cómo asegurar tus despliegues del Elastic Stack. En el universo de la seguridad, lo único constante es el cambio. Incluso los consejos de este blog serán antiguos e incorrectos algún día. La seguridad en el Elastic Stack puede ser desalentadora debido a la cantidad de opciones posibles. (Es una característica, no un error). Asegúrate de <a href="https://discuss.elastic.co">hacer preguntas en los foros</a> y lee nuestros blogs y <a href="/guide">documentación</a>.



Si preferirías un método sencillo para asegurar tu Elastic Stack, tenemos algunas opciones. Nuestro <a href="/es/cloud/elasticsearch-service/subscriptions">Elasticsearch Service</a> incluye TLS configurado para todos los clusters, autenticación y autorización habilitadas, y nuestras características de seguridad de <a href="/es/subscriptions">Enterprise</a> habilitadas de forma predeterminada. Si la nube no es lo tuyo, puedes obtener muchas de las mismas características de Elasticsearch Service en tu propio datacenter con <a href="/es/ece">Elastic Cloud Enterprise (ECE)</a>. También contamos con un <a href="/es/blog/introducing-elastic-cloud-on-kubernetes-the-elasticsearch-operator-and-beyond">Kubernetes Operator</a> que puede ocuparse de algunas tareas pesadas, como habilitar TLS y configurar la autenticación por ti de manera predeterminada. Y, por supuesto, si eres un cliente <a href="/es/subscriptions">Enterprise</a> que ejecuta su propio Stack, puedes recurrir a nuestro fantástico equipo de soporte para que te ayuden a solucionar cualquier problema que pueda surgir.

Mantente atento a todo lo que tenemos para el futuro. Tenemos muchos instructivos planificados e incluso muchas características de seguridad nuevas que verás en el futuro. Es un momento muy emocionante para usar el Elastic Stack.

blog-banner-generic-teal.png

blog-thumb-generic-teal.png

Tips to secure Elasticsearch clusters for free with encryption, users, and more

Consejos para asegurar los clusters de Elasticsearch de forma gratuita con encripción, usuarios y más

<a href="/es/blog/security-for-elasticsearch-is-now-free" target="_self">A partir de las versiones 6.8 y 7.1 del Elastic Stack</a>, las características de seguridad como la comunicación encriptada con TLS, el control de acceso basado en roles (RBAC) y más se encuentran disponibles de forma gratuita en la distribución predeterminada. En este blog, veremos cómo dar los primeros pasos con estas características para asegurar tus clusters de Elasticsearch. A modo de ejemplo práctico de cómo asegurar una implementación del Elastic Stack, crearemos y aseguraremos un cluster de Elasticsearch de dos nodos en una máquina local. Para hacerlo, primero configuraremos la comunicación TLS entre los dos nodos. Después habilitaremos la seguridad de la instancia de Kibana que se usa para analizar y visualizar los datos en el cluster. A continuación, configuraremos el control de acceso basado en roles en Kibana para asegurarnos de que los usuarios solo puedan ver los datos que están autorizados a ver. Aunque el funcionamiento de la seguridad implica muchas otras cosas, por ahora solo abarcaremos lo necesario para que puedas comenzar. Una vez que hayas leído este blog, te recomendamos que consultes la <a href="/guide/en/elasticsearch/reference/7.1/configuring-security.html" target="_self">documentación sobre cómo asegurar el Elastic Stack</a>, que incluye <a href="/guide/en/elastic-stack-overview/7.1/security-getting-started.html" target="_self">ejemplos prácticos</a> útiles. Una breve aclaración: haremos todo esto en un cluster local porque, aunque estas características ahora están disponibles de forma predeterminada en las versiones 6.8 y 7.1, siempre han sido estándar en nuestro <a href="/es/cloud/elasticsearch-service/subscriptions" target="_self">Elasticsearch Service</a>. <h2>Instalación de Elasticsearch y Kibana</h2>Para este ejemplo, realizaremos la instalación en una laptop con Linux. Adapta los pasos a continuación a tu entorno específico. <h3>Paso&nbsp;1: Descargar Elasticsearch y Kibana</h3>Lo primero que debes hacer es <a href="/es/downloads?elektra=products&storm=main" target="_self">descargar</a>&nbsp;la distribución predeterminada de Elasticsearch y Kibana versión 6.8+ o 7.1+. La seguridad se agregó a la distribución predeterminada en las versiones 7.1 y 6.8, así que si tienes una versión anterior, deberás actualizarla. <h3>Paso&nbsp;2: Extraer Elasticsearch y Kibana</h3>Para este ejemplo, descargamos elasticsearch-7.1.0-linux-x86_64.tar.gz y kibana-7.1.0-linux-x86_64.tar.gz. Una vez descargados, será necesario extraer los contenidos. <h3>Paso&nbsp;3: Crear dos nodos de Elasticsearch</h3> Para crear un cluster de dos nodos, debes hacer dos copias del directorio de Elasticsearch: una denominada master (maestro) y otra, node (nodo). Una vez finalizado este paso, tendrás los archivos y carpetas siguientes: <pre class="prettyprint">elasticsearch-7.1.0 elasticsearch-7.1.0-node elasticsearch-7.1.0-linux-x86_64.tar.gz kibana-7.1.0-linux-x86_64 elasticsearch-7.1.0-master kibana-7.1.0-linux-x86_64.tar.gz </pre><h2>Configuración de TLS y autenticación</h2>Lo primero que debemos hacer es generar algunos certificados que permitan a los nodos comunicarse de forma segura. Puedes hacerlo con una CA empresarial, pero para esta demostración tenemos un comando denominado elasticsearch-certutil que puedes ejecutar para generarlos sin la confusión habitual que se crea con certificados. <h3>Paso&nbsp;1: TLS en el maestro de Elasticsearch</h3>Puedes ingresar con cd al directorio master y luego ejecutar este comando: <pre class="prettyprint">bin/elasticsearch-certutil cert -out config/elastic-certificates.p12 -pass "" </pre>A continuación, abre el archivo config/elasticsearch.yaml en tu editor de texto favorito. Pega las líneas siguientes al final del archivo. <pre class="prettyprint">xpack.security.enabled: true xpack.security.transport.ssl.enabled: true xpack.security.transport.ssl.verification_mode: certificate xpack.security.transport.ssl.keystore.path: elastic-certificates.p12 xpack.security.transport.ssl.truststore.path: elastic-certificates.p12 </pre>Guarda el archivo y estaremos listos para iniciar el nodo maestro. Ejecuta el comando bin/elasticsearch. Este ejecutable debe mantenerse en ejecución, deja esta terminal de lado por ahora. <h3>Paso&nbsp;2: Contraseñas del cluster de Elasticsearch</h3>Una vez que el nodo maestro está en ejecución, es momento de configurar las contraseñas del cluster. En una terminal nueva, debemos ingresar con cd a nuestro directorio del nodo maestro. Después ejecutamos el comando bin/elasticsearch-setup-passwords auto. Esto generará contraseñas al azar para los diversos usuarios internos del Elastic Stack. Como alternativa, puedes omitir el parámetro auto para definir manualmente las contraseñas con el parámetro interactive. Anota estas contraseñas, las volveremos a necesitar pronto. <h3>Paso&nbsp;3: TLS en el nodo de Elasticsearch</h3>Ahora abramos otra terminal nueva e ingresemos con cd a nuestro directorio del nodo. En nuestro caso, se denominó elasticsearch-7.1.0-node. Lo más sencillo que podemos hacer es copiar todo del directorio de configuración del maestro y pegarlo en el directorio de configuración del nodo. <pre class="prettyprint">cp ../elasticsearch-7.1.0-master/config/* config/ </pre>También debes agregar la opción de configuración node.master: false al archivo config/elasticsearch.yml. No profundizaremos detalles aquí, pero puedes encontrar más información en la <a href="/guide/en/elasticsearch/reference/7.1/modules-discovery-bootstrap-cluster.html" target="_self">documentación sobre clusters</a>. Como alternativa a solo copiar los archivos de configuración indiscriminadamente, simplemente puedes copiar los archivos del certificado y configurar las claves xpack.security.* al igual que con el nodo maestro. Luego iniciamos el nodo ejecutando bin/elasticsearch. Veremos que se une al cluster. Y si observamos la ventana de la terminal del nodo maestro, podremos ver un mensaje que indica que un nodo se unió al cluster. Ahora tenemos un cluster de dos nodos en ejecución. <h3>Paso&nbsp;4: Seguridad en Kibana</h3>Lo último que debemos hacer es configurar Kibana. Nuevamente, abre otra ventana de terminal (la última, lo prometemos). Tendremos que agregar la contraseña para el usuario de Kibana. Podemos encontrarla en los resultados anteriores del comando setup-passwords. Ingresemos con cd al directorio de Kibana y abramos el archivo config/kibana.yml con el editor de texto. Busca las líneas similares a las siguientes: <pre class="prettyprint">#elasticsearch.username: "user" #elasticsearch.password: "pass" </pre>Quita las marcas de comentario de los campos username y password eliminando el carácter&nbsp;# al comienzo de la línea. Cambia "user" a "kibana" y luego "pass" a lo que el comando setup-passwords indique como contraseña de Kibana. Guarda el archivo para que podamos iniciar Kibana ejecutando bin/kibana. <h2>Configuración del control de acceso basado en roles (RBAC) en Kibana</h2>Una vez que Kibana se esté ejecutando, podemos pasar al navegador web y abrir <a href="http://localhost:5601/login?next=%2F#?_g=()" target="_self">http://localhost:5601</a>. Nos solicitará las credenciales de inicio de sesión, usaremos el superusuario elastic con la contraseña de setup-passwords. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt33ef6ef8666f75bc/5ce2480b32fd88a3767ede65/elasticsearch-security-blog-1.jpg" data-sys-asset-uid="blt33ef6ef8666f75bc" alt="Iniciar sesión en Kibana"/>Kibana nos preguntará si deseamos cargar algunos datos de muestra cuando la instalación es nueva, como en este caso. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6617bf668ec635cd/5ce2483c7182ba9776722fee/elasticsearch-security-blog-2.jpg" data-sys-asset-uid="blt6617bf668ec635cd" alt="Cargar datos de muestra en Kibana"/>Carguemos los datos de muestra de vuelo y web para este ejemplo. Una vez cargados, haz clic en el icono de engranaje de configuración. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltae0b05ad48832121/5ce2486e2f06657f7b6c9907/elasticsearch-security-blog-3.jpg" data-sys-asset-uid="bltae0b05ad48832121" alt="Navegar a administración en Kibana"/>Ahora creemos nuestros roles. Busca la opción Roles y haz clic en ella. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt90c2f3cfca9d44fc/5ce2493908d3fd9e7671c281/elasticsearch-security-blog-4.jpg" data-sys-asset-uid="blt90c2f3cfca9d44fc" alt="Roles en Kibana"/>Haz clic en Create role (Crear rol). <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt3746b50792f5e2c0/5ce2497308d3fd9e7671c287/elasticsearch-security-blog-5.jpg" data-sys-asset-uid="blt3746b50792f5e2c0" alt="Crear un rol nuevo"/>Denominaremos read_logs al primer rol. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6fcd624d7201821d/5ce24a7632fd88a3767ede75/elasticsearch-security-blog-6.jpg" data-sys-asset-uid="blt6fcd624d7201821d" alt="Crear el rol read_logs"/>Desplázate hacia abajo hasta el campo de privilegios del índice y selecciona el índice del log. Luego le asignamos el privilegio read (lectura). <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc3c087f105d52fa6/5ce24a87ccfda8847b20bb43/elasticsearch-security-blog-7.jpg" data-sys-asset-uid="bltc3c087f105d52fa6" alt="Configurar privilegios del rol"/>Probablemente quieras investigar esta sección sobre espacios una vez que la seguridad esté en funcionamiento, pero la omitiremos en este blog. Para obtener más información acerca de los espacios —que son estupendos para organizar y asegurar los datos en Kibana—, consulta la <a href="/guide/en/kibana/7.1/xpack-spaces.html" target="_self">documentación sobre espacios de Kibana</a> o este <a href="/es/blog/introducing-kibana-spaces-for-organization-and-security" target="_self">blog de introducción a los espacios de Kibana</a>. Ahora, creemos otro rol denominado read_flight. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltf26a34f5ff885981/5ce24abc1df9c928761cd92d/elasticsearch-security-blog-8.jpg" data-sys-asset-uid="bltf26a34f5ff885981" alt="Crear rol read_flight"/>Le asignamos el privilegio read (lectura) al índice de vuelos. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt3e1d9d93aba1294c/5ce24acd2d8f163476ebd44b/elasticsearch-security-blog-9.jpg" data-sys-asset-uid="blt3e1d9d93aba1294c" alt="Configurar el rol"/>Ahora crearemos dos usuarios y les asignaremos estos roles. Selecciona el enlace Users (Usuarios) a la izquierda y haz clic en el botón Create new user (Crear usuario nuevo). <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc557d504a8ac1f95/5ce24aee7182ba9776722ff9/elasticsearch-security-blog-10.jpg" data-sys-asset-uid="bltc557d504a8ac1f95" alt="Crear un usuario nuevo"/>Denominaremos a este usuario flight_user y configuraremos la contraseña. No es necesario indicar el nombre completo y la dirección de correo electrónico. Debemos asignar nuestro rol read_flight y también el rol kibana_user, debido a que este usuario verá los datos en Kibana. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt7adcce531abcc45a/5ce24b00932da9737b2628c6/elasticsearch-security-blog-11.jpg" data-sys-asset-uid="blt7adcce531abcc45a" alt="Crear el usuario de vuelos"/>Presiona para crearlo, y repitamos los pasos para el log_user. Esta vez, agregaremos los roles read_logs y kibana_user. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt805d2eb40672403d/5ce24b13ccfda8847b20bb4b/elasticsearch-security-blog-12.jpg" data-sys-asset-uid="blt805d2eb40672403d" alt="Crear el usuario de logs"/>Bien, ya terminamos de crear dos usuarios nuevos. Ahora podemos cerrar sesión como el usuario elastic. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltb07056dabca17b82/5ce24ba52d8f163476ebd451/elasticsearch-security-blog-13.jpg" data-sys-asset-uid="bltb07056dabca17b82" alt="Cerrar sesión como elastic"/>Luego podemos iniciar sesión como log_user. Si hacemos clic en el icono dashboards, podemos ver que hay dos dashboards, uno para los vuelos y otro para los logs. 	<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltfb2217281f933c85/5ce24bc53d021e2d76457546/elasticsearch-security-blog-14.jpg" data-sys-asset-uid="bltfb2217281f933c85" alt="Consultar los dashboards"/>Si haces clic en el dashboard Logs, verás los datos de log de muestra. Si regresamos e intentamos ver el dashboard de vuelos, veremos el dashboard, pero no los datos. Este es un lugar en el que pueden usarse los espacios de Kibana por motivos de seguridad para permitir que solo ciertos usuarios vean determinados dashboards. Ahora podemos cerrar sesión como log_user y volver a iniciar sesión como flight_user. Si abrimos el dashboard de logs, esta vez no podremos ver ningún dato. Incluso veremos un error porque Kibana no puede acceder al índice de logs. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6f857fe2c548af9e/5ce24be67182ba9776722fff/elasticsearch-security-blog-15.jpg" data-sys-asset-uid="blt6f857fe2c548af9e" alt="Datos restringidos por RBAC"/>Pero cuando consultamos el dashboard de vuelos, podemos ver que esta vez tenemos acceso a los datos de vuelo. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt89b48cc8a9e81e31/5ce24bfb3d021e2d7645754e/elasticsearch-security-blog-16.jpg" data-sys-asset-uid="blt89b48cc8a9e81e31" alt="Acceso a los datos proporcionado por RBAC"/>¡Felicitaciones! Ahora tenemos configurado un cluster de dos nodos y dos usuarios con acceso restringido a los datos del índice. <h2>Resumen</h2>La seguridad en el Elastic Stack es extremadamente versátil, es posible hacer muchas otras cosas que no incluimos en este blog. La finalidad de este blog era ayudarte a dar los primeros pasos. Más adelante tendremos una gran cantidad contenido que abarcará muchas de las características de seguridad e información sobre su uso. Mientras tanto, contamos con más documentación y blogs sobre cómo funciona la seguridad del Elastic Stack y qué más puedes lograr. <ul><li><a href="https://www.elastic.co/guide/en/elasticsearch/reference/current/configuring-stack-security.html" target="_self">Capacitación Fundamentals of Securing Elasticsearch</a> (Conceptos básicos sobre cómo asegurar Elasticsearch)</li><li><a href="/guide/en/elasticsearch/reference/current/configuring-security.html" target="_self">Documentación sobre la seguridad de Elasticsearch</a></li><li><a href="/es/blog/elasticsearch-security-configure-tls-ssl-pki-authentication" target="_self">Blog sobre la configuración de TLS</a></li><li><a href="/es/blog/introducing-kibana-spaces-for-organization-and-security" target="_self">Blog sobre Kibana Spaces</a></li></ul>También puedes <a href="https://discuss.elastic.co/" target="_self">pedir ayuda en nuestro foro público</a>. ¡Feliz búsqueda!

blog-banner-release-elasticsearch.png

blog-thumb-release-elasticsearch.png

Getting started with Elasticsearch security

Primeros pasos con la seguridad de Elasticsearch

Obtén información acerca de cómo configurar Elasticsearch para admitir la autenticación de Kerberos para el tráfico HTTP mediante la funcionalidad de seguridad 

How to Secure your Elasticsearch Clusters using Kerberos

Cómo asegurar los clústeres de Elasticsearch a través de Kerberos

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

headshot-josh-bressers-300x300.png

Principal Product Security Engineer

Josh Bressers

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

Al enviar, confirma que ha leído y acepta nuestras <a href="/es/legal/elastic-cloud-account-terms" target="_self">Condiciones de servicio</a>, y que acepta recibir las <a href="/es/legal/privacy-statement#how-we-use-the-information" target="_self">comunicaciones seleccionadas</a> en los detalles de contacto que proporcionó anteriormente. Consulte la <a href="/es/legal/privacy-statement/" target="_self">Declaración de privacidad de Elastic</a> para obtener más información o para cancelar su suscripción en cualquier momento.

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

Al enviar, confirma que ha leído y acepta nuestras <a href="/es/legal/serverless-preview-terms" target="_self">Condiciones de servicio</a>, y que Elastic puede <a href="/es/legal/privacy-statement#how-we-use-the-information" target="_self">ponerse en contacto con usted</a> acerca de nuestros productos y servicios relacionados. Consulte la <a href="/es/legal/privacy-statement/" target="_self">Declaración de privacidad de Elastic</a> para obtener más información o para cancelar su suscripción en cualquier momento.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

Al enviar esta información, aceptas los <a href="/es/agreements/global/cloud-services-monthly" rel="nofollow">Términos de servicio de Elastic</a>. Los datos personales se procesarán de conformidad con la <a href="/es/legal/privacy-statement">declaración de privacidad de Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

Al enviar, confirma que ha leído y acepta nuestras <a href="/es/legal/terms-of-use" target="_self">Condiciones de servicio</a>, y que Elastic puede <a href="/es/legal/privacy-statement#how-we-use-the-information" target="_self">ponerse en contacto con usted</a> acerca de nuestros productos y servicios relacionados. Consulte la <a href="/es/legal/privacy-statement/" target="_self">Declaración de privacidad de Elastic</a> para obtener más información o para cancelar su suscripción en cualquier momento.

Hosted by

All Solutions

Follow us on Youtube

Watch now (no PT)

Articles by

Share by Email

Filters

All (no PT translation)

Contact information

See when this webinar starts in my time zone

Ver cuándo comienza este webinar en mi zona horaria

Thank you for your interest!

Register to Attend

Small image for

Register to Watch

Continue reading

Featured webinar

What to explore next...

Reset all

Load more press releases

Sign In to Attend

Share

Upcoming webinar

Learn more

Search Integrations

Share on Reddit

Share on Twitter

Share on Facebook

Load more news

View more posts

On-demand webinar

Follow us on Facebook

Author

Press Release

You'll also receive an email with related content.

You'll also receive an email with related content

Además, te enviaremos contenidos relevantes

Print

Contact Info

Overview

Video for

Read less

The content on this page is not available in the selected language.

El contenido de esta página no está disponible en el idioma seleccionado. Elastic está trabajando para garantizar que el contenido esté disponible en varios idiomas.Gracias por tu paciencia mientras trabajamos.

Register now

Share this story

See All Posts

See all top stories

View next

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

¿No puedes asistir? Regístrate y te enviaremos la grabación. También recibirás un correo electrónico con contenido relacionado.

Follow us on LinkedIn

Highlights

Explore similar demos

Follow us on Twitter

Share on LinkedIn

Load More

See more insights

Speakers

Close

Thank you for registering. We will send you a confirmation email soon.

Gracias por registrarte. Te enviaremos un correo electrónico de confirmación pronto.

Author

Articles by Josh Bressers

Principal Product Security Engineer, Elastic

Cómo prevenir una vulneración del servidor de Elasticsearch

Consejos para asegurar los clusters de Elasticsearch de forma gratuita con encripción, usuarios y más

Primeros pasos con la seguridad de Elasticsearch

Cómo asegurar los clústeres de Elasticsearch a través de Kerberos