Segurança em Nuvem (IaaS, PaaS, SaaS - Pública, Privada, Híbrida)

1. Visão Geral

A Segurança em Nuvem é o conjunto de práticas, tecnologias e políticas aplicadas à proteção de dados, aplicações e infraestruturas hospedadas em ambientes de Cloud Computing. Por ser um ecossistema de recursos remotos, geograficamente dispersos e frequentemente compartilhado entre múltiplos inquilinos (tenants), a nuvem exige uma abordagem de governança distinta do data center tradicional.

A premissa central da segurança em nuvem é o Modelo de Responsabilidade Compartilhada, no qual o provedor e o cliente têm obrigações distintas que variam conforme o nível de serviço contratado.

2. Modelos de Serviço e Responsabilidade

Essa divisão é frequentemente subestimada: em IaaS, o cliente é responsável por aplicar patches de SO, configurar security groups, gerenciar identidades IAM e criptografar volumes — tarefas que em on-prem frequentemente eram herança do provedor.

3. Modelos de Implantação

• Nuvem Pública: Recursos compartilhados entre múltiplos clientes. Vantagem: elasticidade e custo. Risco: noisy neighbor, ataques laterais via hypervisor comprometido (raro, mas histórico — ex: Venom, 2015).
• Nuvem Privada: Infraestrutura exclusiva, podendo ser on-prem ou dedicada em provedor. Maior controle, custo mais alto, menor elasticidade.
• Nuvem Híbrida: Combina privada para dados sensíveis com pública para cargas elásticas. Exige conectividade segura (VPN, Direct Connect, ExpressRoute) e consistência de políticas.
• Nuvem Comunitária: Vários clientes do mesmo setor compartilham infraestrutura (ex: gov.uk, AWS GovCloud).

4. Os Sete Pecados da Cloud (Cloud Security Alliance)

A CSA (Cloud Security Alliance) cataloga as principais ameaças do modelo de nuvem. A versão atual inclui:

1. Vazamento de Dados: Exposição acidental de buckets S3, blobs Azure ou Firestore públicos. Caso notório: Capital One (2019), 100 milhões de registros expostos por SSRF + IAM mal configurada.
2. Identidade, Credenciais e Acesso Insuficientes: Ausência de MFA em root accounts, access keys permanentes em código (GitHub leaked), privilégios excessivos.
3. Interfaces e APIs Inseguras: Endpoints de gerência sem rate limiting, autenticação fraca ou ausência de validação de entrada.
4. Vulnerabilidades em Tecnologias Compartilhadas: Falhas no hypervisor (Venom, L1TF/MDS em CPU) que permitem escape de VM.
5. Fraude e Ameaças Internas: Funcionários maliciosos ou administradores de nuvem com acesso excessivo.
6. Abuso de Serviços de Nuvem: Uso de instâncias gratuitas ou comprometidas para minerar criptomoedas (cryptojacking), lançar DDoS ou armazenar CSAM.
7. DDoS: A nuvem é alvo e também vetor (amplificação via instâncias comprometidas).

A CSA atualizou essa lista em 2022 para incluir Supply Chain e Misconfiguration como categorias de destaque, refletindo a evolução das ameaças.

5. Tecnologias Avançadas de Proteção

5.1. Microssegmentação com SDN

A microssegmentação, implementada via VMware NSX, Cisco ACI ou AWS Security Groups, permite definir políticas de comunicação L3/L4 entre workloads individuais — não entre redes inteiras. Combinada com Zero Trust Network Access (ZTNA), ela reduz a superfície de movimento lateral: mesmo que o atacante comprometa um servidor, ele não consegue alcançar nenhum outro sem passar por uma decisão de autorização.

5.2. Firewalls Virtuais e WAF

Diferente dos físicos, firewalls virtuais ( pfSense, FortiGate-VM, AWS Network Firewall) podem ser instanciados por workload e monitorar tráfego east-west (entre VMs no mesmo data center virtual). O WAF (Web Application Firewall) atua em L7, protegendo aplicações contra OWASP Top 10 (SQLi, XSS, SSRF) com regras específicas ou machine learning.

5.3. Criptografia e Gestão de Chaves

5.4. CASB e CSPM

• CASB (Cloud Access Security Broker): Atua como proxy entre usuários e serviços SaaS, aplicando políticas DLP, shadow IT discovery e gerência de sessão (ex: Microsoft Defender for Cloud Apps, Netskope).
• CSPM (Cloud Security Posture Management): Verifica continuamente a configuração contra benchmarks (CIS Foundations Benchmarks) e frameworks (NIST 800-53, ISO 27017). Ferramentas: Prowler, Lacework, Prisma Cloud.

6. Hierarquia Computacional: Cloud, Fog e Edge

A segurança deve ser aplicada em todos os níveis da hierarquia distribuída moderna:

7. Conformidade e Soberania de Dados

A nuvem introduz o desafio da jurisdição dos dados: dados armazenados em uma região podem estar sujeitos às leis do país hospedeiro (CLOUD Act nos EUA, LGPD no Brasil, GDPR na UE). Soluções como AWS Sovereign Cloud e Microsoft Cloud for Sovereignty oferecem garantias contratuais e técnicas de isolamento para governos.

Principais frameworks aplicáveis:

8. Monitoramento Específico de Nuvem

Cada provedor expõe um serviço nativo de telemetria:

• AWS: CloudTrail (auditoria de API), CloudWatch (métricas), GuardDuty (detecção de ameaças), Security Hub (agregação de findings).
• Azure: Azure Monitor, Azure Activity Log, Microsoft Defender for Cloud, Sentinel (SIEM).
• Google Cloud: Cloud Audit Logs, Cloud Monitoring, Security Command Center, Chronicle.

Esses logs devem ser ingeridos por um SIEM (Splunk, Elastic, Chronicle, Sentinel) com regras de detecção que cobrem MITRE ATT&CK Cloud Matrix.

9. Conclusão

A nuvem é inerentemente mais segura do que a maioria dos data centers locais — quando bem configurada. Porém, ela não tolera descuidos: um bucket S3 público, uma chave AWS vazada no GitHub ou uma política IAM *:* podem comprometer toda a conta em segundos. A segurança em nuvem depende muito mais de disciplina de configuração, automação de políticas (IaC + policy-as-code) e monitoramento contínuo do que de appliances físicos. O provedor entrega a ferramenta; a responsabilidade de usá-la corretamente é inteiramente do cliente.