Seis políticas simples de segurança de nuvem que você deve conhecer

Para muitas brechas de segurança na nuvem, o problema não está nos provedores de nuvem conhecidos, mas em você, o gerente de operações.

As equipes de operações de TI muitas vezes passam por cima das políticas de segurança na nuvem e melhores práticas quando implementam cargas de trabalho em provedores de nuvem pública de primeiro nível. O exemplo mais comum é a incapacidade de proteger os buckets do Amazon Simple Storage Service. O custo de reparar uma violação e o dano causado a uma marca de alto perfil devido à violação, supera com folga o tempo que teria sido gasto para implementar as precauções apropriadas.

Atos simples aumentam a proteção dos usuários: Controle de acesso com base em funções e entrada baseada em chaves no lugar de senhas. Outras políticas criam um campo de força de operações para proteger as cargas de trabalho: Implementação de firewall, ancoragem geográfica e monitoramento em profundidade. E quem não gosta de atualizações gratuitas?

Não existe uma fórmula mágica para que o administrador reforce as defesas fora do centro de dados corporativos, mas esta lista de verificação de segurança na nuvem admite uma abordagem por camadas. Como benefício adicional, a maioria dos elementos na lista de verificação são ofertas padrão dos principais provedores de nuvem.

1. Proteja contas na nuvem e crie grupos

Certifique-se de que a conta raiz esteja segura. Para facilitar a administração diária e seguir cumprindo com as políticas de segurança na nuvem, crie um grupo administrativo e atribua direitos a este grupo, ao invés do indivíduo.

Crie grupos adicionais para uma segurança detalhada que se ajuste a sua organização. Alguns usuários necessitam de acesso somente leitura, como pessoas ou serviços que executam relatórios. Outros usuários devem ser capazes de realizar algumas tarefas operacionais, como reiniciar máquinas virtuais, mas não devem ser capazes de modificar as máquinas virtuais ou seus recursos. Os provedores de nuvem colocam as funções à disposição dos usuários e o administrador da nuvem deve investigar quando e onde usá-las. Não modifique os papéis existentes, já que esta é uma receita para o desastre: ao invés disso, copie-os.

Para desativar uma conta temporariamente, crie uma política de não-acesso. Aplique essa política ao administrador ou outra conta, em seguida, simplesmente elimine-a para habilitar a conta como ela estava, sem risco de mudanças involuntárias.

2. Verifique se há atualizações de segurança gratuitas

Todos os principais provedores de nuvem permitem e incentivam o uso de autenticação de dois fatores (2FA). Não há motivo para não ter 2FA em sua lista de verificação de segurança na nuvem para novas implementações, já que aumenta a proteção contra tentativas de início de sessão maliciosas.

3. Restrinja o acesso à infraestrutura por meio de firewalls

Muitas empresas usam infraestrutura externa de escala web quando adotam a nuvem. Assim podem proteger rapidamente os servidores privados do acesso externo.

Verifique as políticas de firewall. Se o provedor da nuvem o colocar à disposição, use um software de firewall para restringir o acesso à infraestrutura. Apenas abra as portas quando houver uma razão válida para fazê-lo e faça com que as portas fechadas façam parte de sua política de segurança na nuvem de forma padrão.

4. Amarre a nuvem

Algumas cargas de trabalho baseadas na nuvem só atendem aos clientes ou clientes em uma região geográfica. Para estes trabalhos, adicione uma restrição de acesso à lista de verificação de segurança na nuvem: Mantenha o acesso somente dentro desta região ou, até melhor, limitado a endereços IP específicos. Esta decisão simples do administrador reduz a exposição a hackers oportunistas, vermes e outras ameaças externas.

5. Substitua a senha por chaves

As senhas são um risco: complicadas, inseguras e fáceis de esquecer. Todo administrador experiente conhece este cenário da manhã de segunda-feira em que o usuário esqueceu a senha.

Faça com que a infraestrutura de chave pública (PKI) faça parte de sua política de segurança na nuvem. A PKI se baseia em uma chave pública e privada para verificar a identidade de um usuário antes de trocar dados. Mude o ambiente da nuvem para PKI, e o roubo de senhas deixa de ser um problema. PKI também evita ataques de início de sessão de força bruta. Sem a chave privada, ninguém terá acesso, salvo uma falha catastrófica do código PKI.

Embora tudo isso possa parecer óbvio, inclua uma nota na lista de verificação de segurança de nuvem que indique que a chave privada não deve ser armazenada no computador ou dispositivo portátil em uso. Investigue fornecedores, como YubiKey, que fornecem uma gestão segura de chaves. Para alguns programas, o utilizador tem de tocar no dispositivo. A administração de chaves na nuvem para múltiplos usuários é mais fácil com estas ferramentas.

Todos os principais provedores de nuvem pública oferecem uma PKI. Se você preferir usar suas próprias chaves, certifique-se de mantê-las seguras com uma senha válida e segura. Isso significa que se você perder a chave USB/meio de armazenamento que contém a chave, terá um certo nível de segurança que lhe dará tempo para substituir a chave perdida.

6. Ative a auditoria e monitoramento do sistema

Muitos administradores não pensam em monitorar até que seja tarde demais. Os sistemas criam registros em grandes quantidades. Use ferramentas que capturem, vasculhem e processem esses registros em algo útil para o planejamento da capacidade da nuvem, auditorias, resolução de problemas e outras operações.

As ferramentas de análise e monitoramento de registros resumem todos esses avisos, alertas e mensagens de informação em algo útil. Uma vez mais, muitos provedores de nuvem oferecem ferramentas para auditoria, e há ótimas ferramentas que você pode experimentar sem compromisso, como Splunk e suas ferramentas visuais.

O administrador pode ver e identificar de imediato as tendências e anomalias e tomar medidas para remediá-las de forma rápida e eficiente. Levando para o próximo nível, um sistema SIEM também ajuda a identificar qualquer problema ou ameaça que precise de atenção.

Em resumo, existem muitas maneiras de ajudar a proteger o ambiente. Os fornecedores têm feito todo o possível para fornecer ferramentas que ajudem a proteger o ambiente. Por que não usá-las?