12 Mitos e verdades da segurança na nuvem

A Check Point® Software Technologies Ltd . (NASDAQ: CHKP), uma fornecedora líder de soluções de cibersegurança global, acompanha o movimento de migração e implementação de nuvens públicas que prossegue de modo acelerado pelas empresas, uma vez que essa foi a opção escolhida por grande parte do mercado para enfrentar os desafios durante e rumo ao pós-pandemia. Em suas avaliações, os especialistas da Check Point depararam-se, a partir dessa expansão da adoção da tecnologia da nuvem e com a complexidade da ofertas, com alguns mitos que persistem entre as organizações.

Conheça os principais mitos e verdades sobre a segurança na nuvem!

1) Quanto mais ferramentas de segurança, melhor

Pelo contrário, mais ferramentas simplesmente não significam ter mais segurança. De acordo com o relatório “Oracle and KPMG Cloud Threat Report 2020 “, 70% dos entrevistados relataram que muitas ferramentas de segurança são necessárias para proteger ambientes de nuvem pública. Em média, cada um usa mais de 100 controles de segurança distintos. Entretanto, vários fornecedores de segurança, oferendo soluções distintas, bloqueando vetores de ataque diferentes, todos resultam em lacunas. E essas lacunas criam pontos de acesso para os atacantes. Ou seja:

• Muita complexidade de nuvem +
• Muitas soluções de segurança diferentes +
• Soluções que não se integram ou não se comunicam entre si =
• Sem inteligência ou arquitetura compartilhada, lacunas e riscos

Para superar essas lacunas, é fundamental implementar ferramentas e recursos para ajudar a simplificar o gerenciamento de segurança da nuvem e assumir o controle da proteção.

2) A segurança é responsabilidade do provedor de nuvem

Como cliente da nuvem, a organização tem a responsabilidade de proteger os dados que colocam na nuvem no conhecido “modelo de responsabilidade compartilhada”. Para proteger a infraestrutura nativa da nuvem é vital entender exatamente quais são as responsabilidades, considerando que elas variam dependendo dos serviços que a empresa está consumindo.

Existem muitas e diferentes formas de proteger seus dados na nuvem, e as organizações não estão conseguindo realizar a grande maioria delas.

3) Violações bem-sucedidas resultam de ataques sofisticados

Embora seja verdade que existem atacantes altamente sofisticados, a realidade é que essa sofisticação crescente não é a razão por trás da maioria dos ataques bem-sucedidos. Erros e configurações incorretas na nuvem por parte dos usuários finais são o que impulsionam a maior parte dos ataques.

O Gartner prevê que, até 2025, pelo menos 99% das falhas na nuvem serão culpa do cliente.

Na verdade, Sergio Loureiro, diretor de segurança em nuvem da Outpost24, disse : “Ainda estamos nos primeiros dias da segurança de infraestrutura em nuvem e o que estamos vendo é um predomínio de ataques oportunistas e não muito sofisticados, como a procura de depósitos de dados AWS S3 acessíveis ao público. ”

4) A visibilidade da nuvem é fácil

O usuário está pagando para usar recursos de nuvem, então, ele deve saber precisamente quais são esses recursos, bem como todas as informações relevantes, como:

• Quantas contas tenho?
• Os desenvolvedores adicionaram máquinas, novas funcionalidades ou se conectaram ao mundo externo?
• “Quem colocou isso aí?”
• Está configurado corretamente?
• Há vulnerabilidades?
• Posso pará-los antes de atingir o ambiente de execução?

Infelizmente, todas essas informações são muito mais difíceis de controlar do que muitos imaginam. Sem visibilidade de como os recursos devem se “comportar”, o usuário não pode observar quando esse comportamento se desvia. Sem painéis consolidados, é muito difícil identificar e agir sobre ameaças em tempo hábil.

E isso não quer dizer nada sobre a importância da visibilidade para garantir que o usuário cumpra as leis e os padrões relevantes do setor. Trata-se da questão de dinheiro: o usuário deve se certificar de que não está pagando mais do que está usando.

5) É melhor deixar a segurança aos profissionais da área

Ao contrário de isolar a segurança do alcance de profissionais dedicados, as melhores práticas incluem tornar a segurança uma preocupação de todos. Por exemplo, adicionar segurança no início do ciclo de vida de desenvolvimento de software (no teste de desempenho antecipado shift-left), implementando-a durante o desenvolvimento, em vez de esperar pela implementação, ou pior, após realizá-la. É preciso tornar os desenvolvedores parte do processo em vez de adotar uma abordagem adversária. Assim, é necessário oferecer aos desenvolvedores a funcionalidade de autoatendimento para avaliar a segurança de uma pilha (estrutura stack) que eles estão prestes a implementar e fornecer as ferramentas para corrigir problemas automaticamente antes de entrarem em produção.

6) A nuvem é inerentemente mais segura

Na verdade, este não é realmente um mito, mas sim um factoide: um pouco de verdade e um pouco de falsidade, todos juntos.

A verdade alimenta o mito:

Os provedores de nuvem, geralmente, são mais confiáveis em tarefas como aplicar patches a servidores. Deixar essa tarefa para eles faz sentido e a confiança nos provedores de serviços em nuvem é merecidamente alta. No relatório The Egregious 11 , da Cloud Security Alliance (CSA), estão descritas as principais ameaças à computação em nuvem. As respostas de uma pesquisa recente mostraram uma queda significativa na classificação dos problemas tradicionais de segurança na nuvem sob a responsabilidade dos provedores de serviços em nuvem. As preocupações caíram tanto que a CSA optou por excluí-los do último relatório.

Segurança na nuvem se preocupa em acabar com o mito:

Proteger tudo em várias nuvens envolve proteger o acesso, gerenciar identidades e auditoria constante, para citar apenas alguns pontos. O aumento da dispersão de cargas de trabalho em várias nuvens públicas e privadas resulta na dificuldade de obter visibilidade e na falta de contexto de ponta a ponta em torno do risco. Esses desafios são exacerbados pelas lacunas de segurança inevitáveis com soluções diferente.

Além disso, as tecnologias serverless fragmentam suas aplicações em componentes menores que podem ser “chamados” (objeto callable). Essa mudança, somado ao uso de gatilhos baseados em eventos de diversas fontes (como armazenamento, filas de mensagens e bancos de dados), significa que os atacantes têm mais alvos e mais vetores de ataque.