Se usar um servidor em nuvem é bom, então usar vários servidores em nuvem não seria ainda melhor?
Esse parece ser o pensamento de muitas organizações de grande porte, que estão se voltando cada vez mais para a infraestrutura multinuvem como uma prática recomendada: em um recente Pesquisa da Harvard Business Review, De acordo com a pesquisa, 85% dos entrevistados disseram que "suas organizações usam pelo menos duas nuvens - e um quarto desses entrevistados está usando cinco ou mais". A pesquisa da Flexera Relatório State of the Cloud de 2022 observa que "a multinuvem é a infraestrutura de nuvem mais popular, com 89% das empresas contando com ela".
Há benefícios reais em usar uma combinação de várias infraestruturas de nuvem - incluindo AWS, Azure e Google Cloud Platform - para ajudar as organizações a otimizar o desempenho, garantir a resiliência e evitar depender muito de um único fornecedor.
No entanto, embora a infraestrutura multinuvem possa ajudar as empresas a atingir seus principais objetivos, ela também apresenta novos desafios para os administradores.
Na melhor das hipóteses, esses desafios podem resultar em ineficiências e desperdício de esforços. Na pior das hipóteses, o gerenciamento de usuários, direitos, acesso, autenticação e revogação de acesso em vários ambientes de nuvem pode expor as empresas a riscos desnecessários e introduzir grandes vulnerabilidades de segurança.
Em muitos casos, os recursos de segurança dos provedores de nuvem são insuficientes para resolver esses problemas. Depois de estudar várias falhas na governança da nuvem e aconselhar as organizações que priorizam a segurança sobre as melhores maneiras de resolvê-las, reunimos as seguintes práticas recomendadas de governança de identidade para ajudar as empresas a proteger a nuvem e migrar para a confiança zero.
O crescimento de ambientes com várias nuvens e os desafios correspondentes no gerenciamento de direitos de nuvem em expansão estão levando a riscos cada vez maiores.
Os administradores precisam perceber que esses desafios podem surgir desde o início. As equipes de TI provavelmente descobrirão que os ambientes complexos de gerenciamento de identidade e acesso (IAM) de seus provedores de nuvem não estão alinhados com o histórico de uso e os privilégios de acesso no local. E é aí que o problema começa: VentureBeat informou recentemente sobre a previsão da Gartner de que "99% de falhas de segurança na nuvem" resultarão de configurações incorretas de controle.
"Quanto mais complexa a configuração de várias nuvens, mais ela se torna um campo minado para a implementação de confiança zero."
Esse problema de buraco quadrado e buraco redondo é um problema que os administradores precisarão resolver imediatamente, aprendendo primeiro os vários recursos de IAM predeterminados dos provedores de nuvem e, em seguida, entendendo como configurá-los e gerenciá-los.
De modo geral, vemos três grandes desafios de governança de identidade se expandindo à medida que as organizações migram para ambientes multinuvem. Esses desafios podem resultar das políticas de governança originais da organização, do provedor de nuvem ou de alguma combinação de ambos:
- Exposição acidental de dados: Muitas vezes resultante da configuração incorreta de direitos e ativos, em que um recurso é deixado como público quando deveria ser privado. O Gartner também previu que, neste ano, metade das empresas "exporá, sem saber e por engano, alguns aplicativos, segmentos de rede, armazenamento e APIs diretamente ao público, em comparação com um quarto em 2018".
- Direitos excessivos: Se um perfil de usuário for provisionado em excesso em um ambiente e esse mesmo perfil for migrado para outro ambiente, você estará lidando com um raio de explosão ainda maior. O problema cresce exponencialmente à medida que as organizações adotam ainda mais ambientes de nuvem. Embora seja uma ideia antiga, as organizações devem adotar o privilégio mínimo necessário - cada usuário deve ter o mínimo necessário para desempenhar sua função. O privilégio mínimo é mais do que apenas uma boa segurança cibernética, é também um componente essencial da mudança para uma postura de confiança zero.
- Senhas fracas e recicladas: Da mesma forma que os usuários com excesso de provisionamento mudam de um ambiente para outro, os usuários frequentemente reciclam as mesmas senhas de um locatário de nuvem para outro. Uma senha fraca é ruim - usá-la para acessar vários ambientes de nuvem é ainda pior. As empresas devem se esforçar para usar a autenticação sem senha sempre que possível; nesse ínterim, elas devem pelo menos exigir a rotação de senhas e adicionar processos de autenticação multifator (MFA).
Uma das maneiras pelas quais o setor está respondendo a esses novos desafios é o Cloud Infrastructure Entitlement Management (CIEM), um novo processo para gerenciar problemas de direitos de identidade como serviço na nuvem. O CIEM considera as maneiras específicas pelas quais os locatários da nuvem estão aumentando a frequência e o impacto dos problemas de direitos na nuvem.
O CIEM se junta a programas de governança relacionados, como o CIAM (Customer Identity and Access Management), o XIAM (External Identity and Access Management) e o EIAM (Enterprise Identity and Access Management), que tentam levar em conta os tipos crescentes de usuários e os direitos distintos de que cada um precisa.
Mas, ao contrário do CIAM, XIAM e EIAM, o CIEM tenta fazer mais do que gerenciar direitos e garantir revogações eficazes. As soluções CIEM também visualizam os direitos atuais, garantem revisões de acesso eficazes, verificam se todos os tipos de direitos de diferentes usuários estão alinhados com o uso pretendido e impedem que quaisquer direitos exponham dados, informações ou sistemas da empresa.
As equipes de segurança e TI estão recorrendo ao CIEM porque os riscos de qualquer ambiente de nuvem pública são maiores do que os ambientes locais, já que os ambientes de nuvem podem ser acessados 24 horas por dia. Esses riscos aumentam exponencialmente à medida que as organizações integram vários ambientes de nuvem.
Outra necessidade atendida pelo CIEM é o controle dos custos dos ambientes de nuvem pública. Considere o que poderia acontecer se um funcionário que gerenciava recursos de nuvem pública deixasse sua empresa. Sem os controles e as redundâncias corretos, um recurso que deveria ser executado apenas por um período fixo poderia continuar consumindo recursos sem um proprietário para gerenciá-lo.
As empresas podem incorrer em mais custos se esquecerem um recurso de nuvem. Elas também podem se expor a mais vulnerabilidades: ex-administradores podem criar hosts sob o domínio de sua antiga empresa, fazer phishing com clientes e exfiltrar suas informações. É ruim quando um golpista se faz passar por sua marca e rouba uma senha; é muito pior quando o abuso da marca vem de dentro da empresa.
Por fim, os agentes de ameaças poderiam violar o próprio provedor de nuvem e usar esse acesso para atacar seus clientes. Em dezembro de 2021, Ministério da Saúde do Brasil divulgou que os invasores haviam roubado credenciais de usuário do ambiente de infraestrutura de um provedor de nuvem. Esse acesso permitiu que os invasores destruíssem os ativos que o ministério havia hospedado no provedor, travassem o ConecteSUS e, por fim, impedir que os brasileiros recebam vacinas durante a pandemia.
A boa notícia é que existem práticas recomendadas de governança que as organizações podem implementar para proteger ambientes multinuvem.
A violação do Ministério da Saúde do Brasil demonstrou que as organizações devem manter um ambiente IGA distinto para gerenciar os direitos dos provedores de nuvem, separado de seus ambientes CIEM e EIAM.
Um ambiente IGA separado pode gerenciar melhor o volume e a complexidade dos dados necessários para controlar os direitos dos usuários. Além disso, dado o risco de uma violação, manter um sistema de governança separado dificulta a movimentação lateral dos hackers e o acesso a informações críticas.
Seja configurando um ambiente totalmente separado ou combinando um ambiente de governança com outros dados, as equipes de segurança devem considerar todos os usuários que podem acessá-lo como contas privilegiadas, pois esses usuários podem acessar ferramentas e recursos de infraestrutura de alto risco.
Da mesma forma, as equipes de segurança devem garantir que o sistema usado para gerenciar a instância do CIEM receba um grau adequado de proteção em camadas. No mínimo, isso deve incluir a autenticação multifator (MFA). Normalmente, os provedores de nuvem facilitam a inclusão da MFA, o que pode ajudar a proteger tanto um ambiente específico quanto o provedor de nuvem em geral.
E, embora a MFA seja uma primeira etapa importante na proteção do CIEM, ela é apenas a primeira etapa: as organizações também devem considerar a inclusão de funcionalidades que as aproximem da confiança zero, incluindo a capacidade de alterar dinamicamente os requisitos de autenticação.
As organizações podem obter esse recurso usando a autenticação contextual para avaliar dinamicamente o risco: os sistemas de segurança inteligentes podem avaliar o local, o dispositivo, a rede e outros sinais do usuário para examinar o risco em tempo real e restringir o acesso, se necessário. Medidas adicionais - incluindo rotação de senhas, ativação temporária de direitos, gerenciamento de sessões e auditoria - podem agregar segurança adicional aos ambientes de governança.
As equipes de segurança podem usar esses sinais para alimentar e treinar ferramentas de monitoramento de eventos de segurança: com visibilidade das ações dos usuários, os sistemas inteligentes de IAM podem aprender a entender quais eventos são esperados e quais indicam risco.
Se o sistema detectar um problema, a equipe de resposta a incidentes da organização deverá ser capaz de usar qualquer ferramenta que gerencie o acesso para bloquear as contas exploradas.
Como o uso de ambientes multinuvem é tão predominante, as organizações precisam garantir que qualquer segurança que estejam desenvolvendo para um determinado ambiente possa se estender a outros também.
Qualquer que seja a solução usada por uma organização para gerenciar um único ambiente de nuvem, ela deve ser capaz de exportar políticas de acesso semelhantes para diferentes provedores. Os direitos atribuídos a um administrador de banco de dados no Azure devem refletir os direitos atribuídos à mesma pessoa quando ela estiver administrando um ambiente AWS. Isso permite que as organizações dimensionem suas configurações de segurança à medida que integram mais ambientes de nuvem.
Muitas ferramentas de mercado do CIEM fornecem esse mapeamento para perfis padrão; no entanto, nem sempre é possível estender os perfis personalizados em ambientes com várias nuvens. Esses perfis personalizados podem não rastrear perfis personalizados, administradores ou outros usuários de alto risco, portanto, as organizações devem se certificar de que entendem como as funções de mapeamento funcionam para diferentes tipos de usuários de um ambiente de nuvem para outro.
