Embora, inicialmente, possa parecer que os conceitos de segurança cibernética aplicáveis a ambientes físicos podem ser completamente transpostos para a nuvem, aprendi que a nuvem apresenta desafios que exigem abordagens específicas. Essa distinção começa pelos princípios fundamentais associados à natureza nativa da nuvem, também denominada cloud native, em inglês.
Esse termo descreve uma metodologia de desenvolvimento, construção e operação de aplicativos otimizados para ambientes de computação em nuvem. Esses programas são projetados para serem resilientes, altamente escaláveis e facilmente implantados e gerenciados em ambientes de nuvem pública por meio de automação. As organizações adotam cada vez mais essas abordagens nativas da nuvem para impulsionar a agilidade dos negócios, aumentar a eficiência e reduzir os prazos de desenvolvimento e entrega de aplicativos. Essa transição para o modelo nativo da nuvem é alimentada pela necessidade de se manterem competitivas em um ambiente de mercado dinâmico e exigente.
A segurança representa uma preocupação crucial e um requisito de extrema importância para qualquer implantação de recurso ou aplicativo, seja em um data center privado ou na nuvem pública. No entanto, implementar e gerenciar a segurança em ambientes nativos da nuvem pode apresentar desafios consideráveis, dado o vasto leque de tecnologias, equipes e processos envolvidos. Os desenvolvedores operam em um ritmo acelerado, muitas vezes pressionados por demandas do setor de negócios. Os fluxos de trabalho de aplicativos e as implantações de recursos podem ser completamente automatizados, o que pode levar a uma segregação entre as equipes de desenvolvimento e as responsáveis pela segurança.
Como consequência, muitas organizações acabam criando e implantando aplicativos em recursos provisionados na nuvem sem submetê-los aos devidos controles de segurança, muitas vezes introduzindo vulnerabilidades que resultam em ataques bem-sucedidos. Esse cenário ressalta a necessidade urgente de integração eficaz entre as equipes, garantindo que a segurança seja incorporada desde as fases iniciais do ciclo de vida de desenvolvimento de aplicativos.
Para garantir que a segurança não seja inadvertidamente negligenciada ou ignorada, as organizações devem adotar e implementar uma estratégia de segurança abrangente, que precisa cobrir todos os recursos implantados na nuvem e se estender para incluir o gerenciamento de acessos dos usuários em diferentes funções, além de integração de verificações automatizadas em todo o ciclo de vida do aplicativo. Assim, os desenvolvedores mantêm sua eficiência sem comprometer a segurança. Essa abordagem se revela crucial, já que aborda a questão da segurança sem prejudicar a produtividade.
Essa mesma abordagem ampla de segurança é aplicável a organizações que optam por implantações em uma única nuvem, assim como para aquelas que realizam implantações de aplicativos englobando vários provedores de serviços em nuvem.
Então, qual jornada de segurança na nuvem adotar?
Como primeiro passo, é importante que as organizações iniciem uma jornada para fortalecer sua postura de segurança de forma abrangente. Isso inclui a identificação de recursos implantados na nuvem, a proteção de aplicativos em todas as fases, desde o desenvolvimento até a execução, e a integração da segurança nos fluxos de trabalho de desenvolvimento e automação. Para alcançar esse objetivo, é fundamental direcionar a atenção e o foco para 4 áreas principais:
Visibilidade e conformidade
É de extrema importância garantir uma visibilidade contextual completa sobre todos os ativos e infraestrutura no ambiente em nuvem da organização, abrangendo configurações e status de conformidade. Os frameworks, que funcionam como estruturas ou plataformas oferecendo uma base para o desenvolvimento de software, juntamente com políticas personalizadas, desempenham um papel crucial ao detectar configurações incorretas e avaliar continuamente a postura de segurança, bem como a adesão aos requisitos de conformidade e políticas de segurança específicas.
Por meio desses mecanismos, as organizações obtêm informações operacionais valiosas sobre classificações de ativos e tendências de conformidade em sua infraestrutura de nuvem, seja em uma única nuvem ou em um ambiente multinuvem.
Proteção de tempo de execução abrangente
É fundamental implementar uma segurança abrangente em tempo de execução que englobe o controle de aplicativos e uma lista de permissões bem definida. Isso deve incluir o monitoramento constante de atividades suspeitas nos sistemas de arquivos e a proteção eficaz contra malwares para hosts e contêineres em seu ambiente de produção. O objetivo primordial é minimizar a carga de trabalho das equipes de segurança ao gerenciar a defesa durante a execução, garantindo notificações e informações detalhadas de análise de riscos. Esses dados são cruciais para identificar e avaliar os possíveis impactos no ambiente, possibilitando uma resposta ágil e eficaz diante de potenciais ameaças.
Protegendo a implantação
De acordo com estudo do Gartner, proteger o pipeline de entrega de software é tão importante quanto proteger o software em si. Isso envolve garantir que todos os sistemas operacionais de host, imagens de contêineres e funções sem servidores estejam livres de configurações inadequadas, violações de conformidade e quaisquer novas vulnerabilidades descobertas após o aplicativo já estar em execução produtiva.
Realizando verificações em registros de contêineres ou repositórios sem servidor, e ao aplicar fontes de código confiáveis, as equipes de segurança podem garantir que até mesmo o código que passou pela verificação de qualidade durante a construção atenda aos requisitos da organização, incluindo os padrões de conformidade, deixando-os isentos de problemas de segurança na fase de implantação. Ao impedir que código vulnerável alcance o ambiente de produção, a superfície de ataque é significativamente reduzida, resultando na minimização dos riscos. Portanto, a proteção do pipeline de entrega de software se torna essencial para manter a integridade e a segurança de todo o ecossistema de desenvolvimento e implantação de software.
Deslocamento de Segurança para a Esquerda (o famoso Shift Left)
“Deslocar para a esquerda” envolve mover a segurança para a fase mais inicial do processo de desenvolvimento, visando identificar e corrigir falhas logo no início do ciclo de vida do aplicativo. Essa estratégia permite que os desenvolvedores examinem o código diretamente no ambiente de desenvolvimento integrado e nos repositórios, facilitando a detecção precoce de problemas de segurança e a sua resolução eficaz.
E o futuro?
Olhando para o futuro da segurança de aplicativos em nuvem, os invasores estão cientes de que as estações de trabalho de engenharia representam uma porta de entrada fácil para acessar os segredos e joias da coroa de uma organização. Isso é particularmente relevante em um contexto em que o Brasil é considerado um local estratégico para o uso da tecnologia de nuvem, como aponta o recente relatório ISG Provider Lens. O mercado de TI no país também está em ascensão, com um crescimento de 22,9%, segundo a pesquisa iMonitor IT, e 11% das empresas do segmento registraram um crescimento acima de 50% ao longo do ano.
À medida que a engenharia se torna cada vez mais rápida, dinâmica e influente nas organizações, metodologias de desenvolvimento ágil, como pipelines de integração contínua e desenvolvimento contínuo, se tornam comuns no cenário moderno de desenvolvimento nativo da nuvem. No entanto, essas tecnologias estão fora do alcance dos programas tradicionais e os invasores estão plenamente conscientes disso. Os pipelines de CI/CD — Continuous Integration/Continuous Delivery ou integração e entrega contínuas, em português — são agora considerados alvos relativamente fáceis para os atores de ameaças na nuvem.
Por essas razões, os ataques direcionados a ambientes de engenharia na nuvem têm crescido rapidamente, tanto em escala quanto em gravidade. À medida que avançamos para 2024, é crucial que os líderes de segurança e risco priorizem o fortalecimento dos sistemas e processos de CI/CD, começando a reestruturar seus programas de desenvolvimento para lidar com o cenário de ameaças em constante evolução. Além disso, alcançar a observabilidade do código até a nuvem no ecossistema completo será fundamental. Isso permitirá que as equipes de segurança detectem, investiguem e respondam aos riscos antes que se transformem em incidentes significativos.
Marcos Nehme
