As configurações incorretas da nuvem são de longe a maior ameaça à segurança da nuvem, Segundo a Agência de Segurança Nacional (NSA). o Relatório de cenário de ameaças do IBM Security X-Force Cloud 2022 descobriram que as vulnerabilidades na nuvem cresceram 28% desde o ano passado, com um aumento de 200% nas contas de nuvem oferecidas na dark web no mesmo período.
Com o aumento das vulnerabilidades, o impacto catastrófico das violações na nuvem deixou claro que a segurança adequada na nuvem é de extrema importância. E então surge a pergunta: os recursos de nuvem mal configurados da sua organização estão sendo anunciados para hackers mal-intencionados?
Erros de configuração na nuvem colocam os dados em risco
As configurações incorretas da nuvem são vulnerabilidades esperando para acontecer. Os invasores mal-intencionados estão sempre procurando ativos de nuvem mal configurados porque podem ser uma porta para o roubo de dados de localização, senhas, informações financeiras, números de telefone, registros de saúde e outros dados pessoais exploráveis. Os atores de ameaças podem aproveitar esses dados para phishing e outros ataques de engenharia social.
Essas configurações incorretas acontecem por todos os tipos de razões. Uma das causas é a falha em alterar as configurações padrão, que tendem a ser muito abertas.
Outro é o desvio de configuração, em que as alterações em vários componentes são feitas ad hoc, sem consistência entre os ativos da nuvem e auditoria para evitar disparidades.
A grande complexidade das plataformas nativas da nuvem torna as configurações incorretas mais comuns. Esses riscos são ainda mais complicados por equipes sobrecarregadas que não têm a amplitude de conhecimento para encontrar e corrigir as configurações incorretas.
Mas uma das raízes mais comuns da configuração incorreta da nuvem é um mal-entendido sobre quem é responsável por proteger os ativos da nuvem. É por isso que é vital para sua organização entender o Modelo de Responsabilidade Compartilhada.
Esse modelo significa que o provedor de nuvem — Amazon Web Service (AWS), Microsoft Azure, Google Cloud Platform (GCP) ou outros — é responsável apenas pela infraestrutura da nuvem. Seus clientes — você e sua organização — são totalmente responsáveis pela segurança de seus dados, cargas de trabalho, aplicativos e todos os outros ativos que pertencem à sua organização.
Como os ativos de nuvem podem ser configurados incorretamente? Vamos contar os caminhos.
Tipos comuns de configuração incorreta da nuvem
No sentido mais amplo, a maioria das configurações incorretas da nuvem são configurações deixadas em um estado favorável aos objetivos de invasores mal-intencionados. Aqui estão as categorias mais comuns:
- Acesso à nuvem excessivamente permissivo. O Threat Landscape Report da IBM descobriu que em 99% dos casos analisados, as identidades de nuvem eram excessivamente privilegiadas.
- Portas irrestritas, tanto de entrada quanto de saída.
- Falhas de gerenciamento de dados secretos, como senhas, chaves de criptografia, chaves de API e credenciais de administrador.
- Deixando aberto o ICMP (Internet Control Message Protocol).
- Registro e monitoramento desativados.
- Backups não seguros.
- Não validação dos controles de segurança na nuvem.
- Portas não HTTPS/HTTP desbloqueadas.
- Acesso potencial excessivo a contêineres, VMs e hosts.
- DNS pendentes. Isso resulta da alteração de um nome de subdomínio sem remover a entrada CNAME subjacente, o que pode permitir que um invasor o registre.
Como minimizar o risco de configurações incorretas na nuvem
Vulnerabilidades potenciais da configuração incorreta da nuvem nunca dormem. Os servidores em nuvem estão sempre disponíveis — para usuários legítimos e invasores mal-intencionados. Cada nova implantação na nuvem aumenta a superfície de ataque da organização.
As etapas a seguir podem ajudar sua organização a se defender ativamente contra invasores que buscam explorar a configuração incorreta da nuvem:
- Implemente seu programa de configuração de segurança no estágio de construção, unindo segurança e DevOps em uma única equipe.
- Certifique-se de contratar e/ou desenvolver a ampla gama de habilidades necessárias para configurar um ambiente de nuvem dinâmico. As habilidades de segurança na nuvem incluem experiência em DevOps, automação, conhecimento de protocolos de rede e internet, conhecimento de engenharia de segurança, conhecimento de protocolos de autenticação e segurança e outros.
- Aplicar o Princípio do Mínimo Privilégio (PoLP) para máquinas e humanos para acesso a todos os sistemas.
- Conceda as permissões mínimas para que os administradores executem suas tarefas específicas, por não mais do que o necessário.
- Faça auditorias regulares para a validação das permissões atuais.
- Mantenha a visibilidade por meio de monitoramento adequado. Por exemplo, certifique-se de que a equipe de DevOps possa acessar a pilha completa. Eles não precisam de privilégios de administrador, apenas privilégios de leitor ou visualizador para que possam ver o que está acontecendo.
- Não confie inteiramente na solução de monitoramento do seu provedor de nuvem. Adote o monitoramento que pode ser usado em todos os seus ambientes híbridos e multinuvem.
- Entenda o modelo de Responsabilidade de Segurança Compartilhada e configure-o de acordo. Não confie em seu provedor de nuvem para proteger seus dados, aplicativos e outros ativos.
Acima de tudo, lembre-se de que configurar corretamente as configurações presentes em ambientes de nuvem complexos e híbridos é uma jornada, não um destino. Continue auditando. Manter a visibilidade. E tenha a equipe e a experiência necessárias para gerenciar essa responsabilidade complexa e crucial.