fbpx

Segurança de nuvem híbrida

Compartilhar no facebook
Compartilhar no linkedin
Compartilhar no twitter
Compartilhar no whatsapp
Compartilhar no telegram

Nuvens híbridas permitem que você reduza a exposição potencial de seus dados.

A segurança da nuvem híbrida é a proteção dos dados, aplicativos e infraestrutura associados a uma arquitetura de TI que incorpora algum grau de portabilidade de carga de trabalho, orquestração e gerenciamento em vários ambientes de TI, incluindo pelo menos uma nuvem – pública ou privada.

As nuvens híbridas oferecem a oportunidade de reduzir a exposição potencial de seus dados. Você pode manter os dados confidenciais ou críticos fora da nuvem pública e, ao mesmo tempo, aproveitar as vantagens da nuvem para os dados que não apresentam os mesmos tipos de risco associados.

Por que escolher a nuvem híbrida para segurança aprimorada?

As nuvens híbridas permitem que as empresas escolham onde colocar cargas de trabalho e dados com base em requisitos de conformidade, auditoria, política ou segurança.

Embora os vários ambientes que compõem uma nuvem híbrida permaneçam entidades únicas e separadas, a migração entre eles é facilitada por contêineres ou interfaces de programação de aplicativos (APIs) criptografadas que ajudam a transmitir recursos e cargas de trabalho.

Essa arquitetura separada, mas conectada, é o que permite que as empresas executem cargas de trabalho críticas na nuvem privada e cargas de trabalho menos sensíveis na nuvem pública. É um acordo que minimiza a exposição de dados e permite que as empresas personalizem um portfólio de TI flexível.

Quais são alguns dos desafios de segurança da nuvem híbrida?

Protegendo Seus Dados

Limite a exposição de dados para sua organização por meio de criptografia. Os mesmos dados estarão em trânsito ou em repouso em diferentes momentos no tempo. Você precisa de uma variedade de segurança para limitar a exposição dos dados durante qualquer um desses estados.

Conformidade e Governança

Se você trabalha em um setor altamente regulamentado, como saúde, finanças ou governo, a infraestrutura de nuvem híbrida pode apresentar considerações adicionais. Saiba como verificar seus ambientes distribuídos para certificar-se de que são compatíveis; como implementar linhas de base de segurança personalizadas ou regulatórias; e como se preparar para auditorias de segurança.

Segurança na cadeia de suprimentos

Ambientes de nuvem híbrida geralmente incluem produtos e software de vários fornecedores em um ecossistema complicado. Saiba como seus fornecedores testam e gerenciam seus softwares e produtos. Entenda quando e como seus fornecedores inspecionaram o código-fonte, como e quais diretrizes de implementação eles seguem e como e quando os fornecedores podem fornecer atualizações e patches.

Os componentes da segurança de nuvem híbrida

A segurança da nuvem híbrida, como a segurança do computador em geral, consiste em três componentes: físico, técnico e administrativo.

Os controles físicos servem para proteger o seu hardware real. Os exemplos incluem fechaduras, guardas e câmeras de segurança.

Os controles técnicos são proteções projetadas nos próprios sistemas de TI, como criptografia, autenticação de rede e software de gerenciamento. Muitas das ferramentas de segurança mais fortes para a nuvem híbrida são controles técnicos.

Por fim, os controles administrativos são programas para ajudar as pessoas a agir de forma a aumentar a segurança, como treinamento e planejamento de desastres.

Controles físicos para segurança de nuvem híbrida

As nuvens híbridas podem abranger vários locais, o que torna a segurança física um desafio especial. Você não pode construir um perímetro em torno de todas as suas máquinas e trancar a porta.

No caso de recursos compartilhados como uma nuvem pública, você pode ter acordos de nível de serviço (SLAs) com seu provedor de nuvem que definem quais padrões de segurança física serão atendidos. Por exemplo, alguns provedores de nuvem pública têm acordos com clientes do governo para restringir quais funcionários têm acesso ao hardware físico.

Mas mesmo com bons SLAs, você está abrindo mão de algum nível de controle quando está contando com um provedor de nuvem pública. Isso significa que outros controles de segurança se tornam ainda mais importantes.

Controles técnicos para gerenciamento de segurança em nuvem híbrida

Os controles técnicos são o coração da segurança da nuvem híbrida. O gerenciamento centralizado de uma nuvem híbrida torna os controles técnicos mais fáceis de implementar.

Alguns dos controles técnicos mais poderosos em sua caixa de ferramentas de nuvem híbrida são criptografia, automação, orquestração, controle de acesso e segurança de endpoint.

Encriptação

A criptografia reduz muito o risco de que quaisquer dados legíveis sejam expostos, mesmo se uma máquina física for comprometida.

Você pode criptografar dados em repouso e dados em movimento. Veja como:

Proteja seus dados em repouso:

O disco cheio (criptografia de partição) protege seus dados enquanto o computador está desligado. Experimente o formato Linux Unified Key Setup em disco (LUSK), que pode criptografar as partições do disco rígido em massa.

Criptografia de hardware que protegerá o disco rígido de acesso não autorizado. Experimente o Trusted Platform Module (TPM), que é um chip de hardware que armazena chaves criptográficas. Quando o TPM está habilitado, o disco rígido fica bloqueado até que o usuário possa autenticar seu login.

Criptografe os volumes raiz sem inserir manualmente suas senhas. Se você construiu um ambiente de nuvem altamente automatizado, aproveite esse trabalho com criptografia automatizada. Se você estiver usando Linux, experimente o Network Bound Disk Encryption (NBDE), que funciona em máquinas físicas e virtuais. Bônus: torne o TPM parte do NBDE e forneça duas camadas de segurança (o NMDE ajudará a proteger os ambientes de rede, enquanto o TPM funcionará localmente).

Proteja seus dados em movimento:

Criptografe sua sessão de rede. Os dados em movimento correm um risco muito maior de interceptação e alteração. Experimente o Internet Protocol Security (IPsec), que é uma extensão do protocolo da Internet que usa criptografia.
Selecione produtos que já implementam padrões de segurança. Procure produtos que suportem a publicação 140-2 do Federal Information Processing Standard (FIPS), que usa módulos criptográficos para proteger dados de alto risco.

Automação

Para entender por que a automação é um ajuste natural para nuvens híbridas, considere as desvantagens do monitoramento manual e da correção.

O monitoramento manual para segurança e conformidade geralmente apresenta mais riscos do que recompensas. Correções manuais e risco de gerenciamento de configuração sendo implementados de forma assíncrona. Também torna mais difícil a implementação de sistemas de autoatendimento. Se houver uma violação de segurança, os registros de patches manuais e configurações podem ser perdidos e podem levar a brigas internas e acusações da equipe. Além disso, os processos manuais tendem a ser mais sujeitos a erros e demorar mais tempo.

A automação, por outro lado, permite que você esteja à frente dos riscos, em vez de reagir a eles. A automação oferece a capacidade de definir regras, compartilhar e verificar processos que, em última análise, facilitam a aprovação em auditorias de segurança. Ao avaliar seus ambientes de nuvem híbrida, pense em automatizar os seguintes processos:

  • Monitorando seus ambientes.
  • Verificando a conformidade.
  • Implementando patches.
  • Implementação de linhas de base de segurança personalizadas ou regulatórias.

Orquestração

A orquestração da nuvem vai um passo além. Você pode pensar na automação como a definição de ingredientes específicos e na orquestração como um livro de receitas que reúne os ingredientes.

A orquestração torna possível gerenciar recursos de nuvem e seus componentes de software como uma única unidade e, em seguida, implantá-los de forma automatizada e repetível por meio de um modelo.

O maior benefício da orquestração para a segurança é a padronização. Você pode oferecer a flexibilidade da nuvem e, ao mesmo tempo, garantir que os sistemas implantados atendam aos seus padrões de segurança e conformidade.

Controle de acesso

As nuvens híbridas também dependem do controle de acesso. Restrinja as contas de usuário apenas aos privilégios de que precisam e considere a necessidade de autenticação de dois fatores. Limitar o acesso a usuários conectados a uma rede privada virtual (VPN) também pode ajudá-lo a manter os padrões de segurança.

Segurança de endpoint

Segurança de endpoint geralmente significa usar software para revogar remotamente o acesso ou apagar dados confidenciais se o smartphone, tablet ou computador de um usuário for perdido, roubado ou hackeado.

Os usuários podem se conectar a uma nuvem híbrida com dispositivos pessoais de qualquer lugar, tornando a segurança do terminal um controle essencial. Os adversários podem direcionar seus sistemas com ataques de phishing a usuários individuais e malware que compromete dispositivos individuais.

Estamos listando isso aqui como um controle técnico, mas a segurança de endpoint combina controles físicos, técnicos e administrativos: mantenha os dispositivos físicos seguros, use controles técnicos para limitar os riscos de um dispositivo cair nas mãos erradas e treine os usuários em boas práticas de segurança .

Controles administrativos para segurança de nuvem híbrida

Por último, os controles administrativos na segurança da nuvem híbrida são implementados para levar em conta os fatores humanos. Como os ambientes de nuvem híbrida são altamente conectados, a segurança é responsabilidade de cada usuário.

A preparação e recuperação para desastres são um exemplo de controle administrativo. Se parte de sua nuvem híbrida for desligada, quem é responsável por quais ações? Você tem protocolos em vigor para recuperação de dados?

A arquitetura híbrida oferece vantagens significativas para segurança administrativa. Com seus recursos potencialmente distribuídos entre hardware local e externo, você tem opções para backups e redundâncias. Em nuvens híbridas que envolvem nuvens públicas e privadas, você pode fazer failover para a nuvem pública se um sistema em sua nuvem privada do data center falhar.

A segurança não acontece de uma vez

A segurança de TI leva tempo e precisa de iteração. O cenário de segurança está sempre mudando. Em vez de se colocar pressão para chegar a um estado de segurança perfeita (que não existe), concentre-se em colocar um pé na frente do outro e tomar atitudes razoáveis ​​e bem pensadas para torná-lo mais seguro hoje do que antes ontem.