Por Luis Firmino*
Alcançar a segurança ideal em um ambiente de nuvem pode parecer um alvo móvel. Novas ameaças de segurança estão constantemente surgindo, com implementações de segurança destinadas a combatê-las. Para obter a segurança ideal nesse ambiente, decidir destacar as 10 principais práticas recomendadas para a nuvem:
- Aproveite a autenticação multifator
Pense no excesso de dados sensíveis e críticos para os negócios que estão sendo armazenados na nuvem. Usar um combo padrão de nome de usuário e senha como único guardião entre seus dados e hackers não é mais a aposta mais segura. Como vimos com muitos hacks altamente divulgados nos últimos anos, as credenciais de login não são tão difíceis de obter para os hackers.
Ao implementar a autenticação multifator (MFA), você coloca esse obstáculo extra na frente de seus dados críticos. O MFA exige que os usuários tomem uma etapa extra, como receber um código de acesso em seu telefone ou senhas de uso único para concluir o processo de login, de modo que, mesmo que um hacker obtenha credenciais de login, eles não consigam fazer login.
- Usar o Gerenciamento de Identidade e Acesso (IAM)
Os usuários esperam duas coisas do seu site ou aplicativo: eles querem que o acesso seja rápido com o menor número possível de obstáculos e querem que você mantenha seus dados seguros. Por mais que os usuários esperem que seus dados pessoais estejam seguros, eles simplesmente não podem ser confiáveis para criar e proteger senhas fortes e exclusivas.
Como organização, você deve encontrar o equilíbrio entre acesso simplificado e dados seguros. O gerenciamento de identidade e acesso (IAM) combina os três elementos necessários para conseguir isso: identificação, autenticação e autorização.
- Mantenha uma forte visibilidade do seu ambiente de nuvem
Os pontos cegos são inimigos de qualquer postura de segurança. Você precisa ser capaz de ver o estado do seu ambiente em todos os momentos. Isso inclui o que está acontecendo com sua infraestrutura, aplicativos, dados e usuários. Ao saber exatamente como tudo está operando, você minimiza a chance de um ataque passar despercebido.
Ter visibilidade profunda do seu ambiente de nuvem em todos os momentos é essencial para manter as operações, identificar problemas e aderir aos padrões de conformidade.
- Implemente criptografia de ponta a ponta
A segurança na nuvem deve ser mais proativa do que reativa. Criptografar dados de ponta a ponta é um movimento proativo que garante que, mesmo que o pior aconteça – seus dados em trânsito caindo nas mãos erradas – eles ainda estarão seguros e ilegíveis. Isso é conseguido transformando seu texto simples em um código ilegível. Ele só é convertido de volta para texto sem formatação com uma chave de criptografia cuidadosamente protegida. A criptografia de ponta a ponta mantém seus dados protegidos em todos os pontos da cadeia de comunicação.
- Monitore a integridade do arquivo
Estabelecer uma linha de base conhecida e monitorar regularmente a integridade do arquivo ajuda a alertá-lo sobre alterações indesejadas ou maliciosas em seus arquivos. Enquadrando-se na menção anterior da importância da visibilidade, o monitoramento de integridade de arquivos (FIM) é crucial para manter o controle da atividade que acontece em seu ambiente de nuvem e alertá-lo sobre ataques o mais cedo possível.
O monitoramento de integridade de arquivos notifica você sobre três tipos de eventos:
- Quando os arquivos são adicionados ou excluídos de um diretório
- Quando os arquivos são modificados
- Quando os arquivos são abertos
O objetivo do monitoramento de integridade de arquivos é alertá-lo sobre ataques o mais cedo possível.
- Implementar certificados SSL
Os certificados SSL (Secure Sockets Layer) permitem comunicações criptografadas entre um servidor Web e um navegador. Isso protege dados confidenciais, como informações de cartão de crédito, de serem roubados ou adulterados.
Os certificados SSL são emitidos por Autoridades de Certificação (CAs), que são organizações confiáveis para verificar a identidade e a legitimidade das entidades que solicitam o certificado. Parte da importância dos certificados SSL é produzir uma camada de confiança do usuário em seu site. Quando os usuários entram em um site com um certificado SSL expirado ou sem um, seu navegador pode alertá-los de que o site pode não ser seguro.
- Gerenciamento de configuração de reforço
O gerenciamento de configuração (CM) é uma parte importante do conceito de DevOps de tratar a infraestrutura como código. Como o CM executa código arbitrário em sua infraestrutura, você precisa proteger os sistemas para proteger dados confidenciais. Há várias maneiras de conseguir isso: você pode aproveitar ferramentas como o chef-vault para criptografar dados confidenciais usando chaves públicas ou implementar o monitoramento de integridade de arquivos, conforme sugerido acima.
- Garantir o acesso seguro à produção
Se sua organização estiver praticando a entrega contínua, você provavelmente dará aos desenvolvedores acesso à produção para fins de eficiência. Proteger e monitorar a atividade nos servidores de produção é fundamental. Garantir o acesso à produção pode ser feito de várias maneiras. Você deve monitorar eventos que possam ser suspeitos, como instalações e atualizações de pacotes, para garantir que seu sistema CM seja a única entidade que gerencia seus hosts. Você também deve rastrear e monitorar o código que configura os sistemas para saber se os usuários estão instalando pacotes manualmente em hosts, o que apresenta riscos de segurança desconhecidos.
- Configurar alertas de segurança
Você não deve ter que ir à procura de algo errado. Configurar o alerta de segurança garante que, no momento em que um comportamento anômalo for detectado, você esteja ciente disso. Às vezes, os alertas de segurança podem parecer pesados e barulhentos como resultado de falsos positivos e ajustes finos necessários.
A chave para alertas de segurança úteis é a personalização. Ao atribuir diferentes níveis de severidade a diferentes tipos de alertas, você pode limpar a desordem e aprimorar atividades anômalas e possivelmente maliciosas.
- Engajar os Colaboradores
Os protocolos de segurança só são úteis quando seus funcionários entendem como e por que usá-los. Os funcionários devem conhecer os riscos de segurança associados ao negócio que fazem. Ao executar uma nova prática de segurança, como a autenticação multifator, você deve educar seus funcionários sobre por que ela é tão importante e como usá-la. Além disso, beneficia a empresa todo quando você tenta fazer novas medidas de segurança para os funcionários usarem no dia a dia.
*Luiz Firmino é Transversal CISO, Information Security Director da Digital@FEMSA
