Desvio na infraestrutura de nuvem: o bom, o ruim e o horrível

A configuração incorreta da infraestrutura é a principal causa de violações de dados na nuvem, e um dos principais motivos para isso é o desvio na configuração da infraestrutura, ou seja, mudanças que ocorrem em um ambiente de nuvem após o provisionamento. Se você é responsável pela segurança e conformidade de ambientes de nuvem, provavelmente passa muito tempo analisando eventos de desvio na infraestrutura e corrigindo-os.

É fácil pensar que todo desvio é ruim ou indesejável. E não tenha dúvida: alguns são realmente ruins. Horríveis, até! Mas há desvios bons e desejáveis. Entender as diferenças entre o bom, o ruim e o horrível — e saber como reconhecê-los — pode poupar você e sua equipe de muita frustração e perda de tempo.

Desvio bom: por que usamos a nuvem

A infraestrutura de nuvem é elástica e escalável. Queremos que nossos ambientes de nuvem mudem dinamicamente para atender às necessidades dos aplicativos a cada segundo — sem intervenção humana. Já ficaram para trás os dias de planejamento de capacidade e provisionamento prévio no datacenter.

Há muitas mudanças desejáveis na infraestrutura de nuvem que queremos ver após o provisionamento. Recursos de nuvem como AWS Autoscaling Groups e DynamoDB podem responder ao uso e à taxa de transferência para escalar a infraestrutura dinamicamente e atender a novas demandas. Durante sua operação, os aplicativos podem criar novos recursos, como filas do SQS, tópicos do SNS ou buckets do S3. Os ALBs conectados a um Elastic Container Service ou ao AWS Fargate realizam ações que alteram as configurações da infraestrutura.

Qualquer abordagem de segurança e conformidade na nuvem precisa levar em conta essas mudanças “boas”, especialmente se você pretende corrigir eventos de desvio automaticamente. Você não quer que sua ferramenta de segurança entre em conflito com a automação do aplicativo. É claro que você precisará garantir que essas mudanças “boas” sejam realmente boas, mas esse é assunto para outra publicação.

Desvio ruim: nosso aplicativo está fora do ar!

O desvio de configuração há muito tempo causa problemas para as equipes de operações e infraestrutura, levando à indisponibilidade de aplicativos e a falhas de implantação. Ele ocorre quando o ambiente de produção muda de alguma forma sem que a equipe de operações saiba. Talvez uma regra de grupo de segurança seja excluída ou uma política do IAM seja removida. Um simples erro de digitação no console da AWS pode derrubar um aplicativo inteiro. Começa então uma operação de emergência para identificar a causa. A análise pós-incidente é desconfortável.

Se você tiver sorte, estará lidando apenas com uma implantação malsucedida, e não com um incidente grave de indisponibilidade. De qualquer forma, esse tipo de desvio ruim consome recursos de engenharia. E, quando os aplicativos são essenciais para a operação, ele pode resultar em perda de receita ou na erosão da confiança dos clientes.

É aí que abordagens eficazes de segurança na nuvem podem trazer benefícios para as equipes de aplicativos e operações. Elas não gostam que alguém mude as regras do jogo — e com razão. Corrigir eventos de desvio ruim ajuda a manter seu ambiente seguro e em conformidade com as políticas, além de evitar períodos de indisponibilidade não planejados. Todos se beneficiam quando há uma única fonte confiável sobre o que está em execução nos ambientes de nuvem.

Desvio horrível: violação de dados!

A última categoria de desvio na infraestrutura de nuvem é aquela que deixa dados críticos expostos a uma exploração ou vazamento. São esses eventos que levam organizações às manchetes. E a culpa é sempre do cliente da nuvem, não do provedor.

O caso mais comum de desvio “horrível” é um recurso crítico de armazenamento de objetos configurado para acesso público — muitas vezes, o AWS S3, nem que seja apenas pela enorme popularidade do serviço. A configuração padrão do S3 é privada, mas não é raro que usuários da nuvem a alterem inadvertidamente para pública, expondo potencialmente dados críticos ou privados. As manchetes sobre violações na nuvem causadas por configurações incorretas do S3 mostram o perigo.

Além do S3, também é preciso detectar e corrigir rapidamente desvios de configuração em regras de grupos de segurança, VPCs (incluindo sub-redes e ACLs), políticas do IAM e políticas de acesso a bancos de dados. Assim, você evita ver sua organização nas manchetes — sem falar em multas pesadas por descumprimento e na perda da confiança dos clientes.

Elaborando um plano de ação

Corrigir e prevenir configurações incorretas na nuvem deve ser prioridade para qualquer equipe de segurança ou operações de nuvem corporativa. E entender o desvio é essencial para isso. Saber categorizar os eventos de desvio ajuda você a concentrar recursos limitados no que realmente importa e a escolher a melhor forma de corrigi-los (ou seja, manual ou automatizada).

• Desvio bom: Ignore! Mas, em algum momento, você vai querer aplicar validações de segurança a todas as opções de configuração que um aplicativo pode adotar. Vamos abordar esse assunto em uma publicação futura.

• Desvio ruim: Monitore! Monitore continuamente essa categoria de desvio e esteja preparado para corrigi-la rapidamente. Para recursos específicos que costumam apresentar desvios frequentes, como grupos de segurança, considere implementar uma solução de correção automatizada para evitar períodos de indisponibilidade do sistema.

• Desvio horrível: Previna! Para evitar uma violação de dados causada por desvio na infraestrutura, é indispensável contar com uma solução que detecte e corrija automaticamente eventos de desvio em recursos críticos. Você não pode deixar seus dados críticos expostos por horas, dias ou mais.