A nuvem não pode proteger você de si mesmo

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Segurança na nuvem. Na verdade, o termo em si não tem sentido sem uma definição mais específica. Você se refere à segurança da infraestrutura subjacente que compõe a “nuvem”? Ou talvez à segurança das APIs de comando e controle que permitem provisionar e gerenciar recursos de computação, armazenamento e serviços na “nuvem”?

Porque eu sei que você não estava pensando na capacidade dela de protegê-lo magicamente contra os seus próprios erros. Sabe, aqueles em que você altera de propósito as políticas de segurança padrão dos buckets do Amazon S3 para permitir que qualquer pessoa com o endereço IP acesse os dados armazenados neles.

Se você acha que essa é uma ideia absurda, tem razão. Mas estaria enganado se pensasse que isso significa que organizações com bons conhecimentos de segurança nunca fizeram exatamente isso.

Um exemplo disso: foi revelado recentemente que uma determinada integradora de sistemas havia deixado todo tipo de dado valioso exposto e disponível no Amazon S3. Sabe, coisas como credenciais, chaves privadas e tudo mais. Segundo nos informaram, o “erro” foi rapidamente corrigido, mas o fato é que, para deixar o S3 em um estado no qual ele fique aberto a qualquer pessoa, é necessária uma ação por parte de um operador.

Você precisa destrancar a porta de forma consciente. Por padrão, o Amazon S3 é provisionado com controles de segurança rigorosos em relação ao acesso. Segundo a documentação da Amazon:

Por padrão, todos os recursos do Amazon S3 são privados, o que significa que somente o proprietário do recurso pode acessá-lo.

-- Como definir permissões de acesso a buckets e objetos

Portanto, para deixá-lo em um estado no qual qualquer pessoa com o endereço IP correto possa navegar pelo conteúdo de um bucket, é necessária uma ação consciente por parte de um ser humano.

A SI em questão não é a primeira a ser vítima da própria falta de segurança no Amazon S3. Em fevereiro de 2017, o pesquisador Troy Hunt detalhou uma série fascinante de falhas de segurança na nuvem relacionadas a um brinquedo de IoT, o Cloud Pets. Entre elas estava “um bucket do Amazon S3 que não exigia nenhuma autorização específica”. Em julho, soubemos que uma das três grandes operadoras expôs registros de assinantes por meio de uma configuração incorreta do Amazon S3.

Para ilustrar o quanto esse problema é generalizado, a Rhino Security Labs apresentou uma análise fascinante de seus testes do Amazon S3 nos 10.000 sites mais acessados segundo o ranking Alexa. A empresa constatou que “107 buckets (1,07%) tinham permissões de listagem e pertenciam a 68 domínios distintos. Desses 107 buckets, 61 (57%) permitiam que qualquer pessoa que os acessasse baixasse arquivos. Treze (12%) permitiam que qualquer pessoa enviasse arquivos, e 8% tinham os três tipos de permissão.”

Permitir downloads abertos já é ruim o bastante, pois expõe os dados a roubo. Mas permitir uploads abertos também? É como incentivar os funcionários a clicar em e-mails de phishing.

A nuvem não pode proteger você de si mesmo. Seja por falta de barreiras de segurança, verificações ou supervisão, não basta liberar as permissões do armazenamento em nuvem e torcer para que ninguém o encontre. É como instalar um sistema de CFTV e deixar o acesso via telnet aberto para o mundo exterior.

Ops, hein?

A questão é a seguinte: aplicativos e dados são tão seguros quanto as políticas e os procedimentos usados para protegê-los. Há motivos legítimos para serviços de armazenamento em nuvem, como o S3, permitirem acesso “aberto”. Mas, assim como acontece com as portas do firewall corporativo, você não deve deixá-los totalmente abertos, a menos que haja um motivo muito convincente.

Se você ainda não implementou algum tipo de política que exija uma análise da “segurança na nuvem” antes de ativar esse aplicativo ou compartilhar essa URL, precisa fazer isso. Agora mesmo. Pare de ler e comece a trabalhar nisso.

Não seja seu pior inimigo. Revise suas políticas e seus procedimentos e certifique-se de que eles alinhem a segurança à importância e ao uso previsto dos dados que você armazena na nuvem.

Só você pode evitar que configurações incorretas do S3 virem manchete.

Se você precisar de ajuda para proteger os buckets do Amazon S3, a Amazon disponibiliza não apenas documentação como também ferramentas úteis.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie