Equivalencias CIS entre AWS y Azure

5 tareas · 40 min · Principiante

CIS publica una guía de configuración segura para AWS y otra para Azure, cada una con sus secciones y sus dos niveles. Quien trabaja con las dos nubes termina queriendo una sola lista: «esta recomendación de AWS equivale a esta de Azure». La equivalencia casi nunca es perfecta. Con un extracto de ejercicio de Ladera Pagos aprendes a decir cuándo dos recomendaciones son equivalentes del todo, cuándo solo en parte y cuándo una no tiene par.

0 de 5 · 0%

Objetivo de la sala

Las dos nubes resuelven necesidades parecidas con piezas distintas. Una recomendación de AWS sobre claves de acceso de larga duración puede tener su contraparte en Azure en una recomendación sobre secretos de aplicaciones, pero el problema cambia de forma: en Azure las aplicaciones pueden usar identidades administradas y no necesitan secreto.

Una equivalencia se declara con su grado. Total si el objetivo y el alcance coinciden, parcial si coincide el objetivo pero no el alcance o el mecanismo, y sin par si una de las nubes no tiene recomendación comparable.

Responde para continuar

¿Cuándo declaras una equivalencia como parcial?

Cuando coincide el objetivo y difiere el alcance o el mecanismo Cuando una de las dos guías no tiene la recomendación Cuando las dos recomendaciones son idénticas pero una es de Nivel 2

Ver pista de ayuda

Parcial significa que algo coincide y algo no.

Hay recomendaciones que existen en una nube porque el servicio existe solo allí. Intentar forzar un par genera una equivalencia falsa que luego se cita en un informe. Es mejor escribir «sin par» y dejar constancia de por qué.

Abre el extracto de recomendaciones y la tabla de equivalencias de Ladera. Busca el tema de AWS que no tiene recomendación equivalente en Azure y quédate con su identificador de ejercicio.

Responde para continuar

¿Qué recomendación de AWS no tiene par en Azure? Escribe su identificador.

Ver pista de ayuda

Consulta `SELECT * FROM equivalencias` y mira la columna `id_azure`.

Contar los grados de equivalencia sirve para dimensionar el trabajo. Las totales se pueden gestionar con una sola evidencia que cubra las dos nubes; las parciales necesitan una nota que explique la diferencia; las que no tienen par necesitan su propia evidencia en la nube donde existen.

Cuenta los temas de la tabla con equivalencia parcial.

Responde para continuar

¿Cuántos temas de la tabla tienen equivalencia parcial? Escribe solo el número.

Ver pista de ayuda

Consulta `SELECT * FROM equivalencias` y cuenta la columna `equivalencia`.

Los benchmarks de CIS distinguen dos niveles. El primero reúne ajustes que se pueden adoptar con poco costo operativo; el segundo, ajustes más estrictos que pueden limitar funciones o exigir más trabajo. Una empresa decide qué nivel adopta, y esa decisión se documenta.

Esto importa al cruzar nubes: una recomendación del nivel básico en una puede estar en el nivel estricto de la otra, y entonces la comparación es de contenido y también de ambición. Revisa en el extracto el nivel de la recomendación sobre bóvedas de llaves.

Responde para continuar

¿De qué nivel es la recomendación de Azure sobre protección contra purga en las bóvedas de llaves? Escribe el nivel tal como aparece.

Ver pista de ayuda

Consulta `SELECT * FROM recomendaciones` y busca la fila de la bóveda.

Una equivalencia parcial que no explica su diferencia termina siendo leída como total por el siguiente que la cite. La nota debe decir qué parte del objetivo cubre la otra nube y qué parte queda sin cubrir, y qué se hace para esa parte.

Ladera tiene el caso de la rotación de credenciales: en AWS son claves de acceso y en Azure son secretos de aplicaciones.

Responde para continuar

¿Cómo debe quedar anotada la equivalencia parcial de rotación de credenciales?

Como parcial, con una nota de qué cubre cada nube y qué queda fuera Se omite del informe para no mostrar diferencias entre las dos nubes Como total, porque las dos rotan algo y el auditor no necesita más detalle

Ver pista de ayuda

Quien lea la nota debe saber qué queda sin cubrir.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Equivalente no es idéntico Lab

2 La recomendación sin par Lab

3 Cuántas son parciales Lab

4 El nivel de una recomendación Lab

5 Documentar una equivalencia parcial Lab

Whoami-Labs Pro utiliza cookies