Para organizações que buscam priorizar a transformação digital, todos os caminhos levam à adoção da nuvem. E, embora os CSPs geralmente façam um bom trabalho na proteção da infraestrutura dos serviços em nuvem que oferecem, os usuários precisam entender que está em suas mãos introduzir ou ignorar configurações incorretas que podem ser prejudiciais para suas organizações. Erros de configuração aparentemente simples, que infelizmente não são uma raridade, podem levar a eventos devastadores, como violações de dados ou ataques de ransomware.

É importante entender que a nuvem não é uma solução de segurança pronta para uso. Portanto, é urgente que as organizações saibam o papel importante que devem desempenhar para manter seus ambientes de nuvem seguros.

Aqui estão algumas recomendações de segurança para manter as configurações incorretas e ameaças afastadas:

• Conceda acesso de privilégio mínimo. No que diz respeito ao acesso, os usuários devem receber apenas o acesso ou permissão necessários para operar. Isso é conhecido como o princípio do privilégio mínimo. Privilégios de administrador ou root devem ser concedidos apenas para aqueles que precisam deles. Se um usuário com acesso de administrador for comprometido, um agente mal-intencionado poderá ser habilitado para comprometer toda a rede. Ao limitar o número de pessoas com privilégios de administrador e root, o risco de comprometimento torna-se efetivamente menor.
• Adote o modelo de responsabilidade compartilhada. O modelo de responsabilidade compartilhada destaca a delegação de responsabilidade entre o CSP e o usuário. Quando os usuários entendem as tarefas operacionais pelas quais são responsáveis, o risco de ocorrência de configurações incorretas é minimizado. Por exemplo, algumas VMs ou instâncias têm serviços de implantação pré-configurados fornecidos pelos CSPs. Uma vez que os usuários os usam, eles devem entender que são responsáveis pelo monitoramento, manutenção e correção da configuração para segurança e conformidade. Tanto a AWS quanto o Microsoft Azure fornecem orientações explicando o modelo de responsabilidade compartilhada para seus usuários. 

Leia também nosso blog  “Compreendendo configurações incorretas da nuvem com pizza e Lego”.

• Eduque e treine os membros da equipe. É vital que os membros da equipe entendam suas responsabilidades em relação à segurança. Desde a identificação de práticas inseguras até a notificação imediata de problemas de segurança, todos devem ser instruídos e treinados sobre quais ameaças e configurações incorretas precisam ser  observadas. Os usuários da AWS preocupados com configurações incorretas de segurança também podem ingressar na AWS Partner Network, onde podem obter suporte de segurança por meio de ferramentas, consultoria, treinamento e serviços gerenciados. 
• Crie e implemente políticas, padrões e procedimentos de segurança. Políticas, padrões e procedimentos de segurança eficazes e detalhados devem ser definidos e implementados para minimizar o risco de configurações incorretas. Políticas relacionadas ao uso de componentes de código-aberto, acesso remoto, criação e gerenciamento de senhas, criptografia e descriptografia e gerenciamento de banco de dados devem ser criadas e rigorosamente aplicadas.

Soluções Trend Micro

A solução Trend Micro Cloud One – Conformity oferece segurança, conformidade e governança contínuas em uma plataforma de software-as-a-service (SaaS) projetada para ajudar as organizações a gerenciar configurações incorretas de recursos de nuvem em um ambiente multi-cloud — auxiliando os desenvolvedores de nuvem a ter a confiança de que sua infraestrutura em cloud está configurada e em conformidade para crescer e dimensionar seus negócios. O Conformity faz parte da Trend Micro Cloud One™, uma plataforma de serviços de segurança para organizações que desenvolvem em nuvem. Ela oferece segurança unificada, flexível e escalável que ajuda DevOps e engenheiros de segurança a trabalhar da melhor forma, à medida que migram e criam na nuvem.

Quer conhecer um pouco mais nossa plataforma? Inscreva-se para uma avaliação gratuita de 30 dias da Cloud One hoje.