À medida que mais organizações se movem para soluções em nuvem, os CIOs precisam repensar como monitoram as vulnerabilidades e adotam posturas de segurança mais modernas.
Thinkstock
A mudança para a nuvem, como explica Cristina Boner Leo Silva, forçou muitos CIOs a mudar a forma como pensam sobre segurança. Como grande parte da responsabilidade de proteger a infraestrutura agora é terceirizada para provedores de nuvem, os CIOs precisam se concentrar mais para garantir que as configurações estejam corretas e que os dados não sejam expostos inadvertidamente.
Ao avaliar suas operações para vulnerabilidades, existem três fatores que podem aumentar as chances de os funcionários deixarem inadvertidamente a porta da frente de sua infraestrutura aberta:
1. Empurrando agressivamente o novo código e os recursos
Quanta pressão você coloca sobre os desenvolvedores para entregar novo código? Quando muito foco é colocado em obter recursos e código para fora da porta, os desenvolvedores podem inadvertidamente causar deriva de configuração. Por exemplo, se os desenvolvedores estão constantemente criando novas máquinas virtuais (VMs) para testar novos códigos e configurá-los manualmente, eles criam mais oportunidades de erros. Desenvolvedores que fazem regularmente pequenas alterações, como a abertura de portas de comunicação adicionais para novos recursos de aplicativos, muitas vezes criam soluções alternativas para evitar o processo demorado de obter privilégios administrativos sempre que precisam fazer um ajuste.
2. Maior interconectividade de aplicações
Quanto mais conexões você tiver com terceiros ou entre componentes de um aplicativo, maiores são as chances de uma má configuração problemática. Os erros comuns da API incluem autorizações quebradas no nível do objeto, nível de usuário e nível de função.
Expor muitas informações em suas APIs também pode dar aos hackers pistas sobre como decifrar seu código. Aplicativos com contêiner nativos da nuvem também podem representar uma ameaça, uma vez que uma vulnerabilidade não intencional em um único contêiner pode permitir que um hacker acesse toda a pilha de software.
3. Complexidade da infraestrutura em nuvem
A complexidade da sua arquitetura em nuvem tem um impacto significativo no risco de configuração incorreta. Uma nuvem de inquilino único apresenta risco limitado porque ninguém mais tem código na mesma máquina que você. Tudo o que você precisa se concentrar é garantir que sua máquina esteja configurada corretamente.
Em ambientes multi-inquilinos, o risco cresce à medida que seu ambiente precisa ser configurado para garantir que um hacker não esteja executando código em um VM na mesma máquina.
Onde o risco fica exponencialmente maior é em arquiteturas multicloud ou híbridas quando código e dados são armazenados e processados em uma variedade de lugares diferentes. Para que essas peças trabalhem juntas, elas precisam criar uma rede de conexões complexas em toda a web, apresentando muito mais oportunidades de erros caros.
Gerenciando o risco
Para minimizar o risco apresentado por erros de configuração, Cristina Boner conta que as organizações precisam garantir que as configurações sejam constantemente verificadas e que os erros sejam identificados. Isso pode ser feito de várias maneiras:
• Em sistemas menos complexos com arquiteturas de nuvem mais simples e pouca pressão por novos recursos, verificações manuais regulares podem ser suficientes.
• À medida que tech stack ( é um conjunto de softwares baseados na nuvem que trabalham juntos para atingir um objetivo comum –rodar um aplicativo corretamente)ficam mais conectadas e os processos manuais complexos não podem ser dimensionados, os desenvolvedores podem criar scripts automatizados para verificar problemas de configuração comuns e conhecidos. Embora isso possa funcionar para situações em que a complexidade e a conectividade são limitadas, se uma vulnerabilidade for criada acidentalmente, um hacker poderá explorá-la antes que uma verificação seja executada.
• Em organizações muito complexas com alta probabilidade de erro de configuração incorreta, uma abordagem de monitoramento constante pode ser prudente para manter o controle contínuo das configurações de nuvem.
Muitas organizações que se deslocam para a nuvem estão agora procurando soluções de gerenciamento de postura de segurança na nuvem (CSPM) para melhorar a segurança. Embora muitos fornecedores estejam agora oferecendo plataformas que monitoram constantemente seus próprios sistemas de nuvem para problemas de configuração incorreta, essas soluções normalmente não funcionam bem para arquiteturas multicloud ou híbridas em nuvem.
Uma vez que cada sistema de nuvem implementa as coisas de forma diferente e usa sua própria terminologia, uma solução de terceiros projetada para monitorar múltiplas nuvens pode ser uma opção mais viável.
Independentemente de como uma organização opta por se proteger das vulnerabilidades de segurança na nuvem, as organizações que adotam infraestrutura moderna e processos de desenvolvimento de aplicativos mais flexíveis também precisam adotar posturas de segurança mais modernas.
Veja também
Como ajudar imigrantes refugiados a achar emprego e oportunidades
