Segurança em nuvem
Segurança em nuvem
Descubra o que realmente está exposto na sua nuvem, corrija as configurações incorretas que causam violações e mantenha tudo assim conforme você entrega.
Visão geral
A segurança em nuvem é a prática de manter seu parque AWS, Azure ou GCP defensável enquanto ele muda, o que acontece diariamente. A causa dominante das violações em nuvem não é um exploit exótico, mas uma configuração incorreta: um bucket de armazenamento deixado público, um papel IAM com permissões excessivas, uma porta de gerenciamento aberta para a internet, o registro de logs desligado na conta de que ninguém lembra ser dono. Combinamos a gestão de postura (encontrar e corrigir continuamente essas configurações incorretas) com o teste de intrusão em nuvem (comprovar o que um atacante conseguiria de fato alcançar e encadear), porque uma pontuação de postura sozinha diz o que está mal configurado, e não o que é genuinamente explorável.
Metodologia & Padrões
As avaliações são referenciadas nos CIS Foundations Benchmarks para AWS, Azure e GCP, nos pilares de segurança dos frameworks well-architected dos provedores de nuvem e no OWASP Cloud-Native Top 10. Os testes seguem as regras de engajamento dos provedores, e os resultados de identidade são enquadrados pelo princípio do menor privilégio, e não por uma checklist genérica.
O que está incluído
O que você recebe
Perguntas Frequentes
Apenas por uma parte dela. Sob o modelo de responsabilidade compartilhada, AWS, Azure e GCP protegem a infraestrutura sobre a qual a nuvem funciona. Tudo o que você coloca nela, seus dados, identidades, configuração de rede, políticas de acesso e cargas de trabalho, cabe a você proteger. A maioria das violações em nuvem acontece exatamente do lado do cliente dessa linha, que é justamente onde nós testamos.
O CSPM examina continuamente a sua configuração e informa o que se desvia de um benchmark. Um teste de intrusão em nuvem faz uma pergunta diferente: dadas essas configurações incorretas, o que um atacante conseguiria de fato alcançar? Um teste encadeia os resultados em caminhos de ataque reais, e é assim que você descobre que um papel exposto de baixa severidade está a um salto dos seus dados de produção. Você quer a gestão de postura para a higiene contínua e o teste para a prova.
Não. Acordamos as regras de engajamento antecipadamente, respeitamos as políticas de teste dos provedores de nuvem e limitamos qualquer atividade que possa afetar a disponibilidade. As verificações destrutivas são executadas em uma conta fora de produção quando existe uma, e você tem um canal de contato em tempo real com os testadores durante todo o engajamento.
Sim. A multinuvem é onde o desvio de postura é pior, porque as equipes aplicam uma linha de base em um provedor e nunca a replicam nos demais. Avaliamos AWS, Azure e GCP segundo o mesmo padrão, e cobrimos Kubernetes e cargas de trabalho em contêineres, incluindo RBAC, segurança de pods, proveniência de imagens e o plano de controle.
Corrigindo-as onde são criadas. Correções pontuais feitas no console são revertidas pela próxima implantação, então entregamos a remediação como mudanças em infraestrutura como código e guardrails (service control policies, Azure Policy, admission controllers) que impedem que a configuração incorreta chegue a ser implantada, e depois adicionamos o monitoramento contínuo da postura para detectar o desvio.
Principalmente os CIS Foundations Benchmarks para AWS, Azure e GCP, ao lado dos pilares de segurança dos frameworks well-architected dos provedores. Quando existe um motivador de conformidade, mapeamos os resultados aos controles pertinentes da ISO 27001, do SOC 2 ou do PCI DSS, para que uma única avaliação atenda tanto à necessidade de segurança quanto à de auditoria.