Revisado em por Roberto Lima
Neste artigo
Modelo de Responsabilidade Compartilhada
O conceito mais importante em cloud security e o modelo de responsabilidade compartilhada. Muitos breaches em cloud ocorrem porque organizações assumem que o provedor cuida de tudo - quando na verdade a segurança dos dados e configurações e responsabilidade do cliente.
| Responsabilidade | Provedor (AWS/Azure/GCP) | Cliente |
|---|---|---|
| Infraestrutura física | Data centers, rede, hardware | - |
| Virtualizacao | Hypervisor, isolamento | - |
| Sistema operacional | Somente em PaaS/SaaS | IaaS: patches, hardening |
| Rede | Backbone, DDoS básico | Security groups, NACLs, WAF |
| Identidade | Serviço IAM disponível | Configuração, MFA, políticas |
| Dados | Durabilidade do storage | Criptografia, classificação, acesso |
| Aplicações | - | Código, vulnerabilidades, configuração |
Erros de Configuração Mais Comuns
A maioria dos incidentes em cloud não envolve exploração sofisticada - são erros de configuração básicos:
Storage Público
Buckets S3 (AWS), Blob Storage (Azure) ou Cloud Storage (GCP) expostos publicamente. Causa de vazamentos massivos de dados. Configure Block Public Access por padrão.
Security Groups Permissivos
Regras com 0.0.0.0/0 permitindo acesso de qualquer IP. Especialmente perigoso em SSH (22), RDP (3389) e bancos de dados. Use IPs específicos ou bastion hosts.
Credenciais em Código
Access keys e secrets commitados em repositórios. Bots escaneiam GitHub em segundos. Use IAM roles, secrets managers (AWS Secrets Manager, Azure Key Vault, GCP Secret Manager).
IAM com Privilégios Excessivos
Políticas com "*" em actions/resources. Usuários com AdministratorAccess desnecessario. Aplique princípio do mínimo privilégio.
Logging Desabilitado
CloudTrail (AWS), Azure Monitor ou GCP Cloud Audit Logs desativados. Sem logs, não ha visibilidade de atividades maliciosas. Habilite logging para todos os serviços.
IAM e Gestão de Identidades
Identity and Access Management (IAM) e o fundamento da segurança em cloud. Controle quem pode fazer o que em quais recursos.
Princípios de IAM
- Mínimo privilégio: Apenas permissões necessárias para a função
- Separação de funções: Evite que uma pessoa controle todo o processo
- MFA obrigatório: Especialmente para contas root/admin
- Roles vs Users: Prefira roles para workloads, evite access keys longevas
- Revisão periódica: Audite permissões regularmente
IAM por Provedor
AWS IAM
- Nunca use conta root - crie usuário admin separado
- Use IAM Roles para EC2, Lambda, ECS (não access keys)
- Implemente SCPs em AWS Organizations
- Use IAM Access Analyzer para detectar recursos expostos
- Habilite IAM Identity Center (SSO) para acesso centralizado
Azure IAM (Entra ID)
- Use Managed Identities para Azure resources
- Implemente Privileged Identity Management (PIM)
- Configure Conditional Access Policies
- Habilite Azure AD Identity Protection
- Use Azure Policy para governança
GCP IAM
- Use Service Accounts com permissões mínimas
- Evite chaves de service account - use Workload Identity
- Implemente Organization Policies
- Use IAM Recommender para otimizar permissões
- Configure VPC Service Controls para dados sensíveis
Segurança por Provedor
AWS Security
- GuardDuty: Detecção de ameaças ML-based
- Security Hub: Agregação de findings, CIS benchmarks
- CloudTrail: Auditoria de todas as chamadas API
- Config: Compliance contínuo de recursos
- WAF: Proteção de aplicações web
- KMS: Gerenciamento de chaves de criptografia
Azure Security
- Defender for Cloud: CSPM e proteção de workloads
- Sentinel: SIEM cloud-native
- Key Vault: Gestão de secrets e chaves
- Network Security Groups: Firewall de camada 4
- Application Gateway + WAF: Proteção web
- Defender for Identity: Proteção de AD
GCP Security
- Security Command Center: Visibilidade e detecção
- Chronicle: SIEM de alta escala
- Cloud Armor: WAF e DDoS protection
- VPC Service Controls: Perímetro de dados
- Binary Authorization: Controle de deploy
- Cloud KMS: Criptografia e chaves
Melhores Práticas de Segurança Cloud
Checklist Essencial
- MFA em todas as contas, especialmente root/admin
- Block Public Access em storage por padrão
- Logging habilitado em todos os serviços
- Criptografia em repouso e trânsito
- Security groups/NSGs com regras mínimas
- IAM com mínimo privilégio, revisão periódica
- Secrets em secrets manager, nunca em código
- Backups automatizados e testados
- Patching automatizado de VMs
- Monitoramento de custos anômalos (pode indicar cryptomining)
Ferramentas e CSPM
Cloud Security Posture Management (CSPM) automatiza detecção de misconfiguration:
- Nativos: AWS Security Hub, Azure Defender, GCP Security Command Center
- Multi-cloud: Prisma Cloud (Palo Alto), Wiz, Orca, Lacework
- Open source: Prowler (AWS), ScoutSuite, CloudSploit
- Infrastructure as Code: Checkov, tfsec, Terrascan
Precisa de Assessment de Segurança Cloud?
Realizamos auditoria de ambientes AWS, Azure e GCP com ferramentas automatizadas e revisão manual.
Solicitar AssessmentPerguntas Frequentes
Depende. Provedores cloud investem bilhões em segurança que a maioria das empresas não consegue replicar on-premises. Porém, a facilidade de criar recursos em cloud também facilita misconfiguration. Com as práticas certas, cloud pode ser mais seguro - mas requer conhecimento específico.
Multi-cloud aumenta complexidade e superfície de ataque, não necessariamente segurança. A maioria das organizações se beneficia mais de dominar um provedor bem do que usar vários de forma superficial. Multi-cloud faz sentido por outros motivos (vendor lock-in, requisitos específicos), mas raramente por segurança.
Use ferramentas nativas: AWS IAM Access Analyzer, Azure Defender External Attack Surface Management, GCP Security Command Center. Ferramentas third-party como Prowler, ScoutSuite ou CSPM comerciais também identificam recursos públicos. Configure alertas para criação de recursos com acesso público.
