Na última década, as organizações têm planeado – ou já têm – migraram todos os seus dados para a nuvem.À primeira vista, a computação em nuvem parece ótima: custos operacionais mais baixos, implantações geográficas ilimitadas e poder computacional (e armazenamento de dados) exponencial... mas e os riscos associados a ela? Como proteger os dados no seu ambiente de nuvem?
Vamos analisar alguns dos riscos potenciais de enviar todos os seus dados para a nuvem sem a devida visibilidade, conhecimento, estratégia de segurança (ou barreiras de proteção) ou um ambiente adequado. plano de remediação de riscos.
Implantação com um clique (ou implantações de Infraestrutura como Código)
A computação em nuvem permitiu a implantação de infraestrutura de forma integrada (incluindo armazenamento de dados). Sistemas baseados em modelos são facilmente implantados e, em grande escala, facilitam muito o trabalho das equipes de engenharia na construção de sistemas complexos. ambientes de nuvemCom toda essa facilidade de implantação, vem o risco de uma simples configuração incorreta deixar o acesso a bancos de dados/armazenamentos de dados vulnerável. (AWS s3) totalmente vulnerável ou permitindo que um invasor acesse seus pipelines de compilação e injete código malicioso.
Nos últimos meses, observamos um aumento no número de agentes maliciosos, como o TeamTNT, que comprometem modelos de AMI (Amazon Machine Image) em empresas e os infectam com mineradores de criptomoedas. Quando as equipes de engenharia extraem automaticamente os modelos em seus pipelines de compilação, muitas vezes acabam implantando modelos comprometidos. Embora este seja apenas um exemplo de minerador de criptomoedas, poderia facilmente ter sido um malware de acesso remoto ou uma rota direta para o IP do atacante.
Lacuna de conhecimento
Com qualquer nova tecnologia ou plataforma, inevitavelmente haverá dificuldades iniciais. A computação em nuvem não é diferente. Cada provedor de nuvem tem um nome diferente para computação (EC2 vs. VM), armazenamento (S3 vs. Blob) e rede (Route 53 vs. DNS), o que pode dificultar a busca por engenheiros com conhecimento profundo na configuração de ambos. Já existe uma escassez de profissionais altamente qualificados, o que obriga as empresas a treinar recursos (ou a operar com equipes reduzidas) às pressas. Enquanto isso, elas continuam suas atividades normalmente, armazenando terabytes ou petabytes de dados em nuvem sem a devida configuração de segurança.
Veja o Violação de dados da Optus Isso foi noticiado há poucos dias… “Um funcionário tentou acessar o banco de dados de identidade de clientes da Optus por meio de uma API, mas não exigiu autenticação e o deixou acessível através de uma rede de testes”. Isso resultou em um hacker comprometendo aproximadamente 11 milhões de registros de clientes e ameaçando divulgar os dados caso a Optus não pague 1 milhão de dólares.
O que você pode fazer para combater os riscos da nuvem?
Então, embora tudo isso pareça que você está condenado… não precisa estar. Se você colocar seus dados na nuvem, não precisa ser só desgraça, risco e vulnerabilidade. Os provedores de nuvem aprimoraram seus recursos de segurança e existem vários recursos de segurança que devem ser requisitos básicos em sua infraestrutura. conjunto de segurança em nuvemAcredite ou não, no fim das contas, tudo o que os atacantes (pelo menos o grupo 99%) querem são seus dados ou seus recursos computacionais. O objetivo final dos atacantes se traduz em ganho financeiro.
1. Visibilidade dos dados –
- Se você não sabe onde seus dados estão armazenados, como pode protegê-los? Não é mais aceitável presumir que seus dados estejam apenas no bucket S3 em que você pensava que estivessem ou armazenados naquele banco de dados.
- Você precisa Visibilidade completa dos dados em seu ambiente de nuvem e a capacidade de corrigir problemas quando você encontrar dados não criptografados, expostos externamente ou desatualizados.
2. Gestão da postura de segurança na nuvem (CSPM) –
- Você sequer sabe o que está sendo implantado?
- …e quando você sabe o que está sendo implantado, você está ciente de vulnerabilidades ou configurações incorretas?
- É aqui que um CSPM se torna crucial. Ser capaz de analisar sistemas em tempo real e determinar vulnerabilidades/configurações incorretas é absolutamente essencial para garantir a segurança do seu ambiente em nuvem.
3. Acesso controlado –
- Quem na sua organização tem a capacidade de acesso seu ambiente de nuvem?
- Quem tem a capacidade de implantar sistemas/cargas de trabalho?
- O controle de acesso pode ser feito usando seu provedor de identidade e implementando [a implementação do seu provedor de identidade]. Controle de acesso baseado em funções (RBAC)É extremamente importante limitar o acesso ao seu ambiente de nuvem e controlar quem pode implantar sistemas. É fundamental garantir a aprovação adequada para a implantação de cargas de trabalho. Gerenciar sistemas em nuvem torna-se muito difícil se todos tiverem acesso ao ambiente e puderem executar qualquer carga de trabalho.
- Se você é uma empresa SaaS que hospeda um ou mais produtos para clientes, recomendo fortemente soluções de autoatendimento/acesso sob demanda que permitam acesso específico com base em funções (por exemplo, suporte) e garantam que o acesso seja revogado após um período definido.
4. Análise de Infraestrutura como Código (IaC) –
- Com a crescente padronização das implantações em nuvem, é fundamental que os modelos, arquivos, módulos e variáveis sejam verificados por um scanner de IaC (Infraestrutura como Código) em seus pipelines de compilação, buscando configurações incorretas e vulnerabilidades antes de serem enviados para produção.
A nuvem é maravilhosa. Aproveite-a. Mas use-a com inteligência: certifique-se de que todas as suas bases estejam cobertas – desde os dados que você está armazenando até a segurança que você está utilizando. armazenamento na nuvem, desde a configuração até os controles que você implementará para gerenciar o risco.
Solicite uma demonstração personalizada Fale com nossos especialistas em segurança hoje mesmo!
Autor
