Cloud Hardening Guide: Aprimore sua Cyber Security na nuvem!
Com o aumento da adoção de soluções em nuvem por empresas, organizações e usuários individuais, a segurança em nuvem tornou-se um tema crítico. Embora a computação em nuvem ofereça muitos benefícios – como já foi mostrado em diversos outros artigos aqui no CyberØ – ela também apresenta novos riscos de segurança.
Hoje quero abordar uma das principais estratégias para mitigar esses riscos
Como podemos definir Segurança em nuvem?
Segurança em nuvem refere-se aos processos, mecanismos e
serviços utilizados para controlar a segurança, conformidade e outros riscos de
uso da computação em nuvem. Embora todas as formas de computação em nuvem
tenham necessidades únicas de segurança, este termo se refere principalmente à
computação em nuvem pública.
Ele aborda especificamente a segurança do serviço de nuvem e a segurança dentro
do serviço de nuvem, mas o termo não abrange os serviços de segurança
fornecidos a partir da nuvem (segurança como um serviço) que se destinam a ser
utilizados fora da nuvem.
Por que Cloud Hardening é importante?
A segurança em nuvem é crítica para garantir a continuidade dos negócios e proteger os dados confidenciais dos clientes. Sem a devida proteção, as organizações estão sujeitas a violações de dados, interrupções de serviço, perda de reputação e multas regulatórias.
O Cloud Hardening é importante porque ajuda a reduzir esses riscos, protegendo a infraestrutura em nuvem contra ameaças cibernéticas, como malware, ransomware, phishing e ataques de negação de serviço.
Quais são os objetivos de segurança na nuvem que são adotadas por empresas líderes em Cloud Hardening como Microsoft, por exemplo?
- Construir seu tecido de confiança com acesso flexível e seguro
Construir aplicações seguras é apenas o começo. Afinal, agora mais pessoas trabalham fora do escritório por pelo menos uma parte de cada semana.
Algumas nunca vão ao escritório. Isto – juntamente com a infra-estrutura como código e o aumento de aplicativos e nuvens – tornou as organizações cada vez mais dinâmicas, de modo que elas precisam construir um tecido de confiança em suas organizações que inclua uma governança flexível sem sacrificar a proteção.
Com Microsoft Entra Identity Governance, você pode automatizar o acesso de funcionários, fornecedores e parceiros de negócios a aplicativos e serviços – na nuvem e no local – em escala corporativa.
- Diminuir o risco interno e evitar que dados sensíveis sejam compartilhado
Proteger pessoas e dispositivos não se trata apenas de ameaças vindas do exterior. As organizações também precisam de proteção de dentro para fora. Um estudo da Microsoft sobre riscos internos descobriu que as empresas relataram uma média de 20 incidentes de segurança de dados por ano, com 40% dessas empresas relatando um impacto financeiro de US$500.000 ou mais por incidente.
O Microsoft Purview, por exemplo, ajuda a proteger dados sensíveis ao longo de sua jornada, desde a fonte de dados até o ponto de consumo.
- Gerenciar com segurança através de plataformas e nuvens
Para ajudar a proteger dados sensíveis, uma forte segurança contra ameaças externas e riscos internos depende de pontos finais bem administrados.
Em abril de 2022, a Microsoft anunciou um plano para lançar uma série de soluções de gerenciamento de terminais premium para ajudar a reforçar a segurança dos terminais, melhorar as experiências dos usuários e reduzir o custo total de propriedade.
Essa suíte reunirá ferramentas de gerenciamento de endpoints de missão crítica e segurança no Microsoft Intune.
- Proteger na velocidade da máquina
A Microsoft está introduzindo a previsão de interrupção automática de ataque no Microsoft 365 Defender, o que ajuda a proteger as organizações na velocidade da máquina onde tudo se reúne – no centro de operações de segurança (SOC).
Além da interrupção do ataque, a Micrososft simplificou as experiências de investigação tanto no Microsoft 365 Defender como no Microsoft Sentinel para agilizar a resposta aos incidentes e ajudar os defensores a deter as violações mais rapidamente.
Qual o padrão Cloud Hardening recomendado?
Na verdade, não há um padrão único e oficial para Cloud Hardening recomendado para todos os ambientes em nuvem, pois cada organização possui necessidades e requisitos de segurança específicos.
No entanto, existem padrões e frameworks de segurança que podem ser utilizados como referência para ajudar a implementar as melhores práticas de Cloud Hardening.
Um exemplo é o CIS (Center for Internet Security), que fornece uma série de benchmarks de segurança para ambientes em nuvem, incluindo Linux.
O que são as CIS Benchmarks?
As CIS Benchmarks do Center of Internet Security (CIS) são um conjunto de práticas recomendadas reconhecidas globalmente e orientadas por consenso para ajudar os profissionais de segurança a implementar e gerenciar defesas de segurança cibernética.
Desenvolvidas por uma comunidade global de especialistas em segurança, as diretrizes ajudam organizações a se protegerem proativamente contra riscos potenciais. As empresas implementam diretrizes de CIS Benchmark para limitar vulnerabilidades de segurança baseadas em configuração em seus ativos digitais.
Outro exemplo é o NIST (National Institute of Standards and Technology), que publicou o Framework de Gerenciamento de Risco Cibernético (CSF) para ajudar as organizações a gerenciar e reduzir o risco cibernético.
O CSF oferece orientação sobre os principais aspectos da segurança cibernética, incluindo identificação, proteção, detecção, resposta e recuperação.
A adoção de um padrão ou framework de segurança é uma boa prática para ajudar a garantir que os servidores em nuvem estejam configurados adequadamente e protegidos contra ameaças cibernéticas.
No entanto, é importante lembrar que esses padrões devem ser adaptados às necessidades específicas de cada organização e ambiente em nuvem.
A implementação de uma política de segurança forte e a conscientização de todos os usuários também são essenciais para o sucesso do Cloud Hardening.
Fontes:
O que são CIS Benchmarks? (2023) – AWS
Capacidades do Microsoft Ignite (2022) – Microsoft
Segurança na nuvem (2023) – AWS
Definição de Cloud Security (2023) – Gartner
Douglas Bernardini
Cybersecurity Specialist & Cloud Computing Expert with +10 years experience in IT infrastructure.
Specialist delivering assets for development teams in Google Cloud Platform (GCP) and Amazon web services (AWS)
Hands-on cloud security enterprise architect, with experience in SIEM/SOC, IAM, cryptography, pentest, network topologies, operating systems, databases, and applications.
Experience in DevSecOps analysis to discover vulnerabilities in software, identifying CI/CD risks gaps and recommending secure-coding process (S-SDLC).