Gestión de infraestructura Proxmox con LoboGuard-DC

Alejandro Pasquín · Director Consultoría y Gestión Sociolaboral

En Consultoría y Gestión Sociolaboral trabajamos con una infraestructura basada en Proxmox que actualmente está formada por cuatro clústeres, dos de ellos on-premise y otros dos alojados en OVH.

Estos clústeres alojan las máquinas de nuestros clientes. Normalmente, cada cliente dispone de su propia máquina y accede a ella a través de una VPN para utilizar el software que necesita.

Hasta ahora, la infraestructura ha funcionado correctamente, pero a medida que ha ido creciendo también nos hemos encontrado con la necesidad de gestionar muchas cosas de forma independiente. Como no disponíamos de una herramienta que nos permitiera tener una visión más global, para determinadas tareas teníamos que entrar en los diferentes clústeres y comprobarlo todo por separado.

Uno de los mejores ejemplos era la comprobación de los backups. Para nosotros siempre ha sido importante no limitarnos a saber que un backup se ha completado correctamente, sino asegurarnos de que, cuando llegue el momento, realmente podamos recuperar la máquina. El problema es que hacer esta comprobación correctamente requiere tiempo. Nuestras máquinas tienen una media de aproximadamente 500 GB de datos, y una recuperación completa, junto con las comprobaciones posteriores y la documentación de las evidencias, requiere bastante tiempo por máquina.

Anteriormente, como mucho, podíamos realizar estas comprobaciones aproximadamente una vez cada tres meses, porque era difícil encontrar las horas necesarias para repetir el proceso con todos nuestros clientes. Al ser algo que considero especialmente importante, tener tanto tiempo entre una comprobación y otra siempre me generaba cierta inquietud.

Ahora ya no dependemos de encontrar el momento adecuado para hacerlo. Lo programamos, se ejecuta y, cuando termina, recibimos directamente el resultado por correo electrónico.

Incluso el propio asunto del correo resulta muy práctico, porque nos indica qué acción se ha realizado, sobre qué máquina y si el resultado ha sido satisfactorio o ha habido algún fallo. Si todo está correcto, basta con verlo para saber que la tarea se ha completado correctamente. Y si existe algún problema, entramos y comprobamos qué ha ocurrido.

El informe también nos proporciona mucha más información que un simple «todo está OK», que es precisamente lo que necesitamos. Podemos consultar las evidencias de la recuperación, los servicios que estaban en ejecución en la máquina recuperada e incluso una captura de pantalla de la consola. Estas evidencias, además, están firmadas mediante una autoridad de sellado de tiempo de confianza, algo que nos pareció una funcionalidad realmente interesante. Si en algún momento necesitamos presentar esta información ante un auditor, disponemos de la documentación correspondiente sin tener que dedicar las horas de trabajo que anteriormente nos llevaba todo este proceso.

Otra funcionalidad que hemos incorporado es el escáner de vulnerabilidades, aprovechando que este módulo está incluido en la licencia que hemos adquirido. En este caso, el análisis se realiza a nivel de clúster, lo que nos permite tener una visión global del entorno. Podemos establecer diferentes programaciones en función de la criticidad y el nivel de exposición de cada entorno.

También estamos utilizando la protección anti-ransomware, que es otro de los puntos que consideramos interesantes, aunque ya disponemos de otras herramientas de seguridad, como Bitdefender GravityZone. No se basa en una única capa de protección, sino que cuenta con diferentes mecanismos que trabajan en paralelo. Por un lado, está la protección a nivel de máquina virtual, si decidimos activarla, con aislamiento automático y snapshots forenses; y, por otro, contamos con el bloqueo del tráfico Tor saliente y el bloqueo de amenazas a nivel de clúster mediante la lista de reputación FireHOL Level 1.

Contar con estas capas de protección trabajando conjuntamente nos proporciona una protección adicional que consideramos muy útil. Cuanta más protección, mejor.

En definitiva, lo que más hemos notado con LoboGuard-DC es un cambio en nuestra forma de trabajar. Antes, muchas de estas tareas dependían directamente de nosotros y de encontrar el momento adecuado para realizarlas. Ahora podemos establecer cómo queremos que se ejecuten y con qué frecuencia, dejarlas programadas y recibir posteriormente el resultado.