Muitas organizações estão automatizando a implantação de infraestrutura de nuvem por meio de código. Isso permite que estabeleçam uma linha mestra de configuração segura no início do ciclo de vida do DevOps — engenharia de software que unifica o desenvolvimento e a operação de software. Mas, muitas vezes, os recursos da nuvem mudam posteriormente devido a alterações não documentadas — e geralmente não são detectadas —, o que abre brechas na segurança.
Um novo estudo da empresa de segurança em nuvem Accurics descobriu que, em até 90% dos casos, a configuração dos recursos da nuvem foi modificada após a implantação por usuários com privilégios de acesso à infraestrutura. Embora muitas dessas mudanças possam ter razões comerciais legítimas, outras podem ser resultado de atividades maliciosas após o comprometimento da nuvem.
Configurações inseguras são a principal causa de violações de dados que envolvem recursos de nuvem e dados hospedados na nuvem. Se não forem detectados — e adotadas providências —, esses “desvios” de configuração podem ser um ponto de entrada fácil para invasores.
De acordo com a Accurics, quase um quarto de todas as alterações de configuração nos ambientes em nuvem agora são feitas via código. Isso faz parte de um processo de DevOps conhecido como infraestrutura como código (IaC) ou automação de configuração contínua (CCA), que teve adoção crescente nos últimos anos.
Veja isso
Ataques a serviços de nuvem mais que dobraram em 2019
Quase a metade das ameaças estão na nuvem, indica estudo
A maioria dos provedores de serviços de nuvem permite que os clientes provisionem novos recursos ou instâncias na nuvem por meio de arquivos ou modelos de definição legíveis por máquina e estão disponíveis em ferramentas de terceiros que funcionam com várias nuvens.
Os dados do relatório são provenientes de pesquisas com clientes da Accurics, CISOs e parceiros de design combinados com pesquisas de código aberto e a própria telemetria da empresa, que analisa centenas de milhares de recursos de nuvem implantados em ambientes reais.
Quando implementados corretamente, os modelos de IaC podem fortalecer a segurança, porque reduzem a possibilidade de erros humanos que geralmente ocorrem com implantações manuais, especialmente quando há muitas configurações envolvidas. Eles podem fazer parte do processo de mudar a segurança e integrá-la anteriormente ao pipeline do DevOps.
No entanto, para obter esses benefícios, as organizações devem garantir que seus modelos de IaC resultem em configurações de recursos de nuvem que sigam as melhores práticas e cumpram vários padrões. Infelizmente, esse nem sempre é o caso. Uma análise feita pela empresa de segurança Palo Alto Networks dos modelos IaC coletados nos repositórios do GitHub e em outros locais identificou quase 200 mil desses arquivos que continham opções de configuração inseguras. Alguns dos problemas comuns identificados incluíam:
∎ A ausência de criptografia e log para armazenamento de dados;
∎ Serviços como SSH (Secure Socket Shell) e RDP (Remote Desktop Protocol) diretamente expostos à internet;
∎ Credenciais que não atendiam aos padrões mínimos do setor;
∎ Contêineres sem limitação de CPU ou recursos de memória;
∎ Armazenamento na nuvem sem armazenamento seguro ativado.
A Accurics descobriu que 67% dos erros de configuração detectados em ambientes de nuvem apresentavam riscos de alta gravidade e incluíam coisas como grupos de segurança abertos, funções excessivamente permissivas de identidade e gerenciamento de acesso (IAM) e serviços de armazenamento em nuvem expostos.
Mais de 40% dos recursos não atendiam a todos os controles de segurança críticos do Center for Internet Security (CIS), 18% não atendiam aos requisitos do PCI-DSS (Payment Card Industry Data Security Standards), 19% violavam os padrões SOC 2 (Service and Organization Controls 2) e 10% não atendiam aos requisitos HIPAA (Health Insurance Portability and Accountability Act).
Desvio de configuração da nuvem
Garantir que os modelos de IaC contenham opções de configuração seguras é apenas o primeiro passo para uma boa política de segurança na nuvem. O monitoramento contínuo dos recursos e instâncias da nuvem implantados para quaisquer alterações na configuração pós-implantação que possam afetar sua segurança também é muito importante.
De acordo com a Accurics, a mudança de configuração é um fenômeno comum observado em mais de 90% das implantações de nuvem que foram provisionadas por meio de código. O motivo de alguns desses desvios é cultural e resultado de hábitos de trabalho de administradores e engenheiros de infraestrutura.
Assim como o próprio DevOps envolve uma mudança cultural, a prática de alterar manualmente as configurações sem documentá-las pode diminuir com o passar do tempo como resultado de novas políticas. No entanto, também existem outros motivos para alterações manuais, incluindo um invasor tentando obter privilégios, portanto, o monitoramento de instâncias em nuvem em execução e recursos para alterações na configuração permanecerão importantes.
Quanto mais tempo leva para detectar uma alteração de configuração insegura e não documentada, feita diretamente em um ambiente em execução, mais difícil é corrigi-la ou revertê-la mais tarde, porque outras alterações podem depender disso e porque a intenção original da pessoa que fez a alteração pode ficar sem identificação.
Segundo o relatório, apenas 4% dos problemas relatados na produção estão sendo tratados. “A realidade é que usuários com privilégios avançados fazem alterações diretamente na infraestrutura de nuvem em produção, sem atualizar o código definido para provisioná-la”, afirma a empresa em seu relatório. “Em alguns casos, as mudanças são autorizadas e legítimas, enquanto em outros casos, as mudanças introduzem riscos. De qualquer maneira, a política de segurança da nuvem deriva de uma linha mestra segura, definida através do código, e que deve ser a única fonte de verdade”, enfatiza o estudo.
