Estas semanas en Cloudflare en Español

Hola, ¿qué tal? Buenos días, buenas tardes, buenas noches. Bienvenidos a esta edición de Estas Semanas en Cloudflare en Español.

Hoy es 27 de mayo del 2022. Mi nombre es Alex Mayorga Adame y soy un ingeniero de soluciones de Cloudflare en nuestra oficina de Austin, Texas.

Para los que nos sintonizan por primera ocasión, les voy a contar un poco.

Vemos las novedades de Cloudflare que tenemos en estas semanas y revisamos un poco varios recursos de información que pueden estar consultando todo el tiempo.

Tenemos en la parte baja de la transmisión un correo electrónico en donde pueden enviar cualquier pregunta que tengan e intentaremos estárselas recibiendo durante la transmisión.

Bueno, para comenzar el día de hoy, gran novedad para toda nuestra audiencia que se encuentra en la región de Inglaterra o Europa.

Tenemos Cloudflare Connect edición 2022 que está por llegar este 16 de junio.

Entonces, invitarles a que por favor se registren si desean asistir.

Excelente evento donde pueden ver todas las novedades de Cloudflare y lo que estamos haciendo para ayudar a mejorar Internet.

Siguiendo, bueno, vamos a Cloudflare.com diagonal whats.new en donde podemos ver algunas de las novedades más recientes en los productos de Cloudflare.

Tenemos, por ejemplo, el anuncio de que podemos hacer capturas completas de Magic Firewall, nuestro sistema de protección para capa 3, donde podemos configurar lo que se conoce como nuestro servicio de Log Push para recibir capturas bajo demanda de paquetes en la red de Cloudflare, lo que nos permite tener una visibilidad completa del tráfico de la red y obviamente ayudar a resolver problemas o revisar cuando estamos teniendo algún ataque.

La función, como mencioné aquí, está disponible para todos los clientes que tengan las funciones avanzadas de nuestro servicio de Magic Firewall.

Siguiendo con los anuncios, tenemos en el Firewall de aplicaciones web una novedad que es que se ha extendido el tiempo en el que podemos hacer búsquedas dentro de los eventos.

Nuestros clientes Enterprise pueden revisar estos sets de datos desde 3 días y hasta 30 días hacia atrás, lo cual obviamente puede ayudarnos a resolver problemas rápidamente y también si hay alguna incidencia directamente resolverla en el dashboard de Cloudflare.

Tenemos también el siguiente anuncio relativo al Firewall de aplicaciones web en donde tenemos la introducción de detecciones con aprendizaje de máquina.

Nos comentan aquí que se ha introducido la detección con aprendizaje de máquina en algunas reglas del WAF y obviamente esta inteligencia se está entrenando con los grandes sets de datos que Cloudflare tiene al estar observando gran cantidad del tráfico en Internet.

Y se le asigna a cada solicitud una calificación de 1 a 99, como indica ahí, para indicarnos qué tan probable es que se trate de un ataque, lo cual permite que nuestro WAF sea más efectivo al detener ataques de tipo inyección de SQL o cross site scripting.

Tenemos también la introducción del gateway de APIs de Cloudflare.

Nos comentan acá que construyendo sobre el producto de API Shield que ya tenía, se pueden crear una funcionalidad robusta de gateway de APIs.

También tenemos que podemos crear y administrar APIs directamente con Cloudflare Workers para detectar las direcciones de API que no están autenticadas o autorizadas y detener cualquier tipo de abuso que pudieran estar tratando de hacer contra nuestros APIs.

También tenemos que se pueden hacer mediciones y enrutamiento y logueo de las solicitudes de API.

Dentro de las funciones de seguridad de API Shield tenemos lo que se conoce como API Discovery para hacer una monitorización del tráfico y detectar los endpoints.

También tenemos la validación de esquema, la detección de abusos y la aplicación de reglas de TLS.

Bueno, eso es lo que tenemos en novedades. Ahora vamos a Cloudflare.com diagonal webinars, en donde también podemos ver los futuros webinars que van a estar disponibles.

Los próximos eventos que tenemos en vivo, tenemos un chat de producto en mandarín sobre browser isolation y gateway.

También tenemos otro webinar en donde el equipo de seguridad de Cloudflare nos va a estar contando cómo trabajan ellos para detener los ataques de phishing.

Tenemos uno más el 15 de junio, en donde vamos a revisar cómo detener los riesgos de seguridad de terceros para evitar ataques de tipo Magecard, por ejemplo, en donde se comprometen las dependencias de terceros que podamos tener en nuestros sitios.

Después tenemos un par de eventos en portugués y en español para acelerar nuestro recorrido hacia Zero Trust, utilizando las soluciones de Cloudflare como Cloudflare One.

Y también tenemos novedades de producto en Payshield y las sistemas de seguridad en aplicaciones.

Este lo tenemos para el día 22 de junio. Entonces, invitarlos a registrarse a los webinars que puedes encontrar en Cloudflare.com barra webinars.

Finalmente, y bueno, los que ya nos hayan sincronizado antes, lo que hacemos es revisar el blog de Cloudflare en blog.Cloudflare.com y ver un poco las novedades que se han publicado en el blog.

Tenemos para iniciar aquí un blog de nuestros colegas Christian y Luke, que nos cuentan un poco cómo se hizo la reconstrucción de la documentación para desarrolladores de Cloudflare y los aprendizajes que se tuvieron durante esta transición.

Nos cuentan acá que se hizo una renovación de la documentación que pueden encontrar en developers.Cloudflare.com y se actualizó también el motor que genera esta documentación.

Básicamente se trata de una migración de Gatsby a Hugo y también se hizo convergir los sitios que antes estaban separados en worker sites a una instancia única de Cloudflare Pages.

Y bueno, nos cuentan que esto tuvo grandes beneficios en la experiencia para los desarrolladores, el desempeño y la calidad de vida de los ingenieros, los escritores y los administradores de producto que trabajan con esta documentación.

Nos cuentan que esto es parte de una tradición que tenemos en Cloudflare de siempre estar utilizando nuestros propios productos.

Un concepto que en inglés se le conoce como downfooding.

Básicamente consumir tu propio producto para encontrar posibilidades de mejora.

Nos cuentan un poco lo que es Cloudflare Developer Docs. Es básicamente un código abierto en GitHub que incluye la documentación para todos los productos de Cloudflare.

Esta documentación es escrita, como ya hablábamos, por escritores técnicos, administradores del producto y en general todos los ingenieros e incluso el público en general.

Nos comentan acá que a lo largo del proyecto se han recibido más de 1.600 cambios en más de 4.000 pull requests.

Tanto de contribuidores internos como externos de la comunidad. Y nos cuentan que la documentación o el motor que genera esta documentación ha tenido varios cambios.

Primero se utilizaba un generador de sitios estáticos.

Y hay miles de páginas con Markdown que se generan en HTML, CSS y JavaScript.

Y acá tenemos un poco cómo luce la documentación.

Una captura de pantalla. Y bueno, se movió todo este motor a un motor único.

Nos cuentan en este caso que se utilizaba en aquel tiempo Worker Sites.

Que nos dicen acá fue un precursor de Cloudflare Pages.

Lo que permitía que se pudieran desarrollar rápidamente esta documentación.

Pero nos cuentan que la herramienta que se utilizaba anteriormente, Gatsby, pues si bien tiene características completas, no era necesariamente la herramienta correcta para poder hacer el desarrollo de un sitio que tuviera tanta documentación como tenemos en Cloudflare Pages.

Nos comentan acá que en los peores de los casos se llegaba a tardar hasta una hora en la compilación del código Markdown hacia HTML.

Lo cual lamentablemente impactaba negativamente la habilidad de los contribuidores de mejorar la documentación de forma rápida y eficiente.

Así que bueno, se decidió probar algo nuevo.

Y en este caso se eligió la herramienta Hugo, que básicamente permite que la construcción de los sitios sea mucho más rápida.

Y bueno, esto fue un factor importante, ya que se redujo grandemente el tiempo que tardaba la compilación.

Después nos cuentan un poco cómo fueron migrando. Utilizaron un lenguaje llamado MDX para hacer esta transición.

Y bueno, uno de los retos principales era construir esas 1600 páginas de Markdown para convertirlas a la variante que utiliza esta nueva herramienta llamada Hugo.

Nos cuentan aquí un poco de las utilidades que utilizaron para hacer esta conversión.

Y vemos aquí un poco de cómo se convierte este código.

Nos dejan aquí también enlaces al GitHub. Si quizá ustedes tengan que hacer una transición similar de alguna documentación que tengan, lo pueden hacer.

También nos cuentan que utilizan esta herramienta conocida como Pretier para hacer la validación de los ejemplos de código que aparecen en la documentación.

Nos dice que esto permite que todo el JavaScript, TypeScript, Rust, JSON y el C++ que hay en la documentación sea válido sintácticamente y obviamente que luzca mejor.

También tenemos la habilidad ahora de utilizando Cloudflare Pages, podemos hacer una previsualización de los deployments directamente en el dashboard de Cloudflare y nos dejan ahí un enlace a la documentación relevante.

Y bueno, algunas de las razones por las que ellos están contentos con esta migración básicamente se redujeron la cantidad de piezas móviles en esta solución.

Todo el flujo de desarrollo es mucho más rápido y lo cual hace que la documentación pueda ser iterada mucho más rápidamente.

También nos cuenta que ahora utiliza menos bytes el JavaScript lo cual permite que la carga de la documentación sea mucho más rápida en todos los dispositivos.

Y bueno, acá nos dejan algunas capturas de pantalla de las mejoras que se hicieron en el desempeño, por ejemplo.

En el desempeño del sitio. Vemos ahí una gran mejora, una reducción importantísima en el tiempo total de bloqueo que básicamente es una inexistente ahora.

Y también nos cuentan algunas conclusiones de este desarrollo.

La gran importancia que tiene la documentación para desarrolladores en Cloudflare y que siempre se está trabajando para hacerla mejor y más útil para todos nuestros usuarios.

Y también el hecho de que sea más fácil para los escritores de la documentación poder contribuir y hacer mejoras.

Y bueno, obviamente tienen ahora la posibilidad de validar casi instantáneamente con los builds locales que ahora toman mucho menos tiempo.

Y también poder previsualizar, como ya decíamos, en Cloudflare Pages.

Nos cuentan acá que obviamente van a seguir trabajando en mejorar esto.

Algunas de las herramientas que se van a agregar, por ejemplo, es la revisión de ortografía, validación de links, tener diferencias visuales, son algunas cosas de las que van a trabajar enseguida.

Y bueno, también importante que la documentación continúe siendo 100% open source y se puede encontrar en este GitHub donde nos dejan el enlace.

Tenemos después un blog de nuestros colegas Derek y Rebeca que nos cuentan un poco el enfoque que tomó Cloudflare para manejar algunas vulnerabilidades en VMC.

VMC es el Baseboard Management Controller.

Y bueno, nos cuentan que lamentablemente ha sido víctima o el objetivo de algunos ataques incluyendo ransomware, implantación y operaciones disruptivas.

Nos mencionan ahí algunas de las vulnerabilidades recientes como Pants Down y USB Anywhere.

Que bueno, lamentablemente dejan los servidores vulnerables.

Y nos cuentan que se han detectado algunas nuevas vulnerabilidades críticas y nos dejan los enlaces a las mismas.

Nos dan un poco de background de cómo funciona o qué es un VMC.

Y son, bueno, procesadores especializados para el monitoreo remoto de algún sistema de servidores.

Y nos cuentan aquí que las diferentes conexiones que tienen para monitorear el hardware, poder actualizar el BIOS, poder hacer la energización del dispositivo y muchas más otras cosas.

Y también nos cuenta que el acceso al VMC puede ser tanto local y en algunos casos remoto.

Y bueno, obviamente estos accesos remotos pues dan la posibilidad de que pueda instalarse malware y también obtener control persistente en el servidor.

Vemos acá un pequeño diagrama de cómo esto pudiese ocurrir.

Y bueno, también tenemos enlaces a la base de datos de vulnerabilidades nacional en los Estados Unidos.

Donde nos dejan, para que podamos ver más información sobre el CVE específico que está afectando estos dos chips.

Y bueno, nos menciona que esto podría exponer los servidores a que pudieran ejecutar algún tipo de malware.

Después tenemos acá un listado específico de el hardware que está afectado o las interfaces en este caso.

Y nos dejan ahí el enlace al CVE, que es el 2019-62-60.

Y con esto, pues básicamente un atacante podría actualizar directamente el VMC y esto podría causar corrupción del dispositivo.

Algunas de las mitigaciones y respuestas que se utilizaron en este caso. Bueno, se trabajó con los proveedores para confirmar si existen estas vulnerabilidades en las versiones.

Y bueno, dado que algunas fueron, se liberó un parche que fue obviamente probado y liberado en los dispositivos de la flota.

Después tenemos que también se trabajó con otros proveedores para validar que no existiera la vulnerabilidad en sus firmwares.

También se hizo una reducción de la exposición de las interfaces remotas.

Tenemos acá que la red fuera de banda no está expuesta al mundo exterior y solo está accesible directamente desde los centros de datos.

Y bueno, se utiliza una defensa en profundidad para restringir el acceso y la conectividad de los jump hosts.

Y todo está autenticado con nuestra solución de Zero Trust Cloud Federal.

También se redujo la exposición a las interfaces locales para evitar que se puedan hacer actualizaciones.

Y también se tiene un logueo completo de todas las actualizaciones y del monitoreo del espacio del usuario.

También tenemos que no se utilizan passwords por default y básicamente todas las cuentas estáticas tienen los passwords rotándose continuamente.

Y también se deshabilitan todas las cuentas default que puedan existir.

Finalmente tenemos ahí que se captura obviamente todos los logs para auditoría y nos listan ahí los eventos que es los que están monitoreando.

Los pasos siguientes o lo que se va a trabajar hacia el futuro.

Bueno, se trabaja con los fabricantes para desarrollar los servidores y obviamente también se está trabajando en migrar a OpenBMC.

Bueno, nos comentan acá es un proyecto basado en Yocto, que es una caja de herramientas para sistemas embebidos en Linux.

Y bueno, algunos de los beneficios que se obtendrían de trabajar con OpenBMC es tener el último kernel estable y con todos los parches, poder manejar internamente los certificados TLS para asegurar la comunicación en la red, un control más granular de la administración de credenciales y también una respuesta más rápida al poder liberar los parches de las vulnerabilidades críticas.

Ya que, bueno, nos dicen que aunque se trate de proyectos comunitarios, generalmente las soluciones a vulnerabilidades, unstounds, se liberan rápidamente.

Y bueno, como conclusión, nos comentan que en este caso, esta vulnerabilidad fue rápidamente resuelta con nuevo firmware del proveedor y también la validación y el deployment rápido que se hizo en la flota de Cloudflare para que esto no afectara a ninguno de nuestros servicios.

Bueno, y también nos comentan el agradecimiento que tienen por la rápida acción de los proveedores y también recordarnos que siempre estamos trabajando muy seriamente para mantener la seguridad de todos los servicios que ofrecemos a nuestros clientes.

Seguimos con otro blog de nuestra colega Kim, que nos cuenta un poco cómo en Cloudflare se trata el contenido como producto.

Y bueno, nos cuenta que, bueno, quizás ya sepan, en Cloudflare siempre estamos intentando ayudar a construir un mejor Internet y cómo su equipo, que es el equipo de experiencia de contenido en el producto, ayuda a avanzar esta misión.

Nos cuenta que la visión de este equipo es básicamente crear contenido de la mejor calidad para anticipar las necesidades de los usuarios y hacer que los productos de Cloudflare sean más accesibles en general para todos.

Esto obviamente va a impactar positivamente en la experiencia en el producto y también nos cuenta que esto lo hacen posible por un desarrollo intencional, el empacar y el probar siempre los contenidos.

Nos cuenta aquí Kim un poco lo que ella describe en tratar el contenido como un producto.

Básicamente, cuando ella dice acá que se acerca a un proyecto, le gusta tener una idea clara para saber exactamente cuándo termina con su proyecto.

Nos cuenta que ella también en su trabajo voluntario, trabaja editando papers académicos sobre tecnología y bueno, tiene un punto claro en donde estas contribuciones terminan.

Y bueno, nos dice que acá el tratar el contenido como un producto es cuando se cambia esta mentalidad de completar proyectos a mantener un producto.

Y también teniendo en cuenta la respuesta de los usuarios.

Por lo tanto, el contenido se vuelve un proceso iterativo y vivo que se tiene que estar trabajando continuamente.

Y bueno, nos cuenta aquí un poco cómo también se adoptan las metodologías ágiles para utilizarlo dentro de estos productos.

Y también hacer que estos desarrollos puedan ser más rápidos y más alineados con la liberación de los productos mismos que tenemos.

Y bueno, nos cuenta cómo se adoptaron algunas metodologías ágiles que ya decíamos.

Y bueno, porque ágil nos cuenta que anteriormente pues ella trabajaba como dueña de un producto también.

Y bueno, que básicamente ella le gusta aplicar pues el planeo de los sprints, las retrospectivas y los stand-ups diarios en este caso.

Y bueno, obviamente todos los beneficios que conocemos de utilizar una metodología ágil para tener un mejor enfoque y lograr resultados más rápido.

Nos cuenta que esto también le ayudó a tener mayor flexibilidad en el desarrollo de este producto.

Y bueno, que todo esto le facilita que sea predictivo y consistente.

Por ejemplo, algunos de los logros de esto, bueno, es la inclusión de terminología inclusiva en toda la documentación.

Y también el seguimiento de mejores prácticas.

Nos deja también ahí un enlace a la documentación directamente en developers.cloudframe.com Y bueno, nos cuenta que uno de los retos es que dada la velocidad a la que se desarrollan nuevos productos y tecnologías en Cloudflare, esto tendría que hacerse de manera muy rápida.

Y bueno, nos deja ahí algunos enlaces a las ligas de las Innovation Weeks y Beard Day Week.

Nos cuenta que ella se unió al equipo en el Beard Day Week de 2020, me parece.

Y obviamente tuvo que generar mucho contenido para sustentar estos releases.

Y bueno, como conclusión, nos cuenta que adoptar esta metodología del contenido como producto requiere que tanto los expos de ingeniería como de producto, obviamente, estén de acuerdo en adoptarlos.

Y también permite que lo mismo, una vez adoptado, permite crear mejor contenido para los usuarios.

Y también tener una estrategia más clara de contenido para crear una excelente experiencia de los usuarios.

Y bueno, nos cuenta que como ya veíamos en los blogs anteriores, se van a estar publicando más blogs sobre esta transición al contenido como producto, como ya veíamos en el blog anterior de la migración.

Y bueno, nos cuenta que Kim se siente muy afortunada de estar trabajando con este equipo.

Y obviamente, si es de su interés unirse al equipo, siempre pueden visitar careers.Cloudflare.com.

Vamos a revisar si hay alguna pregunta. No veo que haya ninguna.

Entonces, simplemente despedirnos y agradecerles por haberse sintonizado o estar viendo esta grabación de estas semanas en Cloudflare en español.

Se despide de ustedes su amigo Alex Mayorga.

Que tengan un excelente día. Subtítulos por la comunidad de Amara.org Traducido por Marie Arias