As tecnologias de computação em nuvem já estão bem estabelecidas em praticamente todos os setores, mesmo aqueles com informações altamente sensíveis e restritas, graças às já bem conhecidas facilidades de escalabilidade, armazenamento e desenvolvimento. Como derivação direta destas e outras características da modalidade, serviços de infraestrutura passaram a se tornar cada vez mais populares e sofisticados; atualmente, é comum encontrar empresas oferecendo serviços de infraestrutura e plataformas como serviço (IaaS e PaaS, nas siglas mais comuns).
Paralelamente, serviços de estruturas serverless e de fornecimento de funções e backend como serviços (FaaS e BaaS, respectivamente) vêm ganhando espaço, apoiando-se na força da nuvem para trazer um serviço confiável e angariar clientes e usuários. Infelizmente, a exemplo de todos os grandes saltos evolutivos em tecnologia, a popularização destas soluções atraiu o interesse dos cibercriminosos. Novas técnicas e recursos foram desenvolvidas especificamente para afetar este tipo de tecnologia, e isso já vem preocupando as equipes de TI e segurança de organizações em todo o mundo.
Os riscos da nuvem
Afim de estabelecer uma defesa efetiva para sua organização contra a nova gama de ameaças digitais, é fundamental compreender que tipos de perigos estão associados à nuvem e os serviços que derivam dela. Dentre os diversos problemas de segurança que a nuvem oferece, três principais riscos de segurança neste meio são:
A preferência por ambientes de nuvem híbrida traz diversas vantagens em termos de flexibilidade no uso de aplicações e sistemas, por isso é o preferido de muitas organizações. Contudo, quando esta modalidade combina ambientes on premises com nuvens públicas e privadas, a superfície de ataque pode aumentar, criando brechas sobretudo quando as ferramentas de segurança não são atualizadas e otimizadas para as características de cada ambiente.
Similarmente, a IoT, que cresceu, em grande parte graças à nuvem, também ajuda na ampliação desta superfície, com malwares desenvolvidos especificamente para estes dispositivos.
A nuvem implica em mais trânsito de dados externo às redes locais da empresa; este tráfego adicional, ainda que conte com proteção e criptografia de ponta a ponta na maioria dos casos, pode atrair o interesse de criminosos, que buscam atacar endpoints para obter acesso à remessa de dados aos servidores em nuvem.
Vulnerabilidades em contêineres, por exemplo, podem expor aplicações à abusos por agentes maliciosos, permitindo que acessem redes e ambientes de forma ilegal. Com o aumento dos usos da nuvem e de tecnologias como estas, a tendência de aumento dos exploits voltados para elas é inevitável.
Mais performance, menos riscos
Diante das claras vantagens do uso de nuvem para os negócios, a solução é investir em estratégia e ferramentas para manter seus ambientes seguros. A prevenção, mais do que a remediação, deve ser o foco de quem quer usar estas tecnologias minimizando o risco e a exposição; os pontos a seguir devem oferecer um bom ponto de partida para uma estratégia sólida:
Como mencionado, os cibercriminosos olham para endpoints e dispositivos IoT com interesse, em sua busca por novos alvos. Isso torna fundamental o uso de tecnologias de defesa que consigam proteger todo o ambiente, dos endpoints aos servidores (sejam locais, híbridos, virtuais ou nuvem) com igual eficiência e capacidade de integração entre ferramentas. Adicionalmente, a segurança deve ser automatizada e inteligente, priorizando alertas e potenciais problemas, informando a equipe de segurança de forma adequada e eficiente.
Regras de acesso a áreas com dados sensíveis é fundamental para evitar a ação de agentes maliciosos internos, assim como para mitigar o efeito de ações de phishing bem-sucedidas. Da mesma forma, treinar a equipe para que todos tenham um pensamento voltado para segurança, sobretudo em ambientes com práticas como BYOD ou com muitas conexões de dispositivos móveis na rede, ajuda a prevenir incidentes.
Nada substitui a experiência e a qualificação de profissionais treinados para identificar e solucionar incidentes de segurança, mas nem sempre a equipe interna de TI pode suprir as necessidades geradas pelo cenário atual de ameaças. Neste caso, investir em outsourcing deste tipo de serviço pode representar não só mais efetividade na segurança, mas melhor custo-benefício nesta área. O recomendado é contar com um fornecedor que faça um estudo de suas necessidades e que consiga trazer soluções voltadas para realidade de seu negócio, minimizando riscos.
Estas práticas não são as únicas a serem consideradas, mas são essenciais para a criação de um ambiente seguro. Quando se pensa em uso de nuvem e de serviços relacionados como FaaS, PaaS, BaaS e outros, estas ações ganham ainda maior importância; o uso de segurança automatizada juntamente com serviços de MSS, por exemplo, ajuda a reduzir eventuais vulnerabilidades nos sistemas e aplicações, ao mesmo tempo em que responde mais rápido a ações de exploit e outras violações e abusos de estruturas serverless. Analogamente, o investimento em conscientização e treinamento reduz o impacto de ações de engenharia social, phishing e outros. Isso permite um uso mais completo da nuvem, com menos riscos e melhor aproveitamento dos recursos e benefícios desta tecnologia.