Se você quiser manter baixos os custos de operação na nuvem, analise suas práticas de segurança relacionadas ao gerenciamento das operações.
Atualmente, a maior parte da atenção em segurança está voltada para os protocolos de aplicações e as vulnerabilidades na própria pilha de aplicações. Isso não é de surpreender, já que a maioria das violações ocorre porque vulnerabilidades em plataformas e frameworks comuns oferecem uma grande variedade de alvos fáceis.
Mas não podemos ignorar a área de gerenciamento da empresa, que está cada vez mais acessível. À medida que migramos os aplicativos para a nuvem pública, muitas vezes deixamos de dar a devida atenção à importância de isolar o tráfego de gerenciamento, evitando que ele seja facilmente acessado. No ambiente local, isso era fácil. A rede de gerenciamento não era acessível ao público. Nós a mantínhamos protegida em uma rede não roteável, acessível apenas internamente. Como migramos para a nuvem tanto os aplicativos quanto a infraestrutura de serviços de aplicativos, precisamos que o gerenciamento seja acessível publicamente, pois agora os operadores trabalham remotamente.
Embora tenhamos migrado do Telnet para o SSH (com exceção de todos aqueles dispositivos de IoT que ainda precisam se atualizar) e até adotado boas práticas de geração de senhas, não necessariamente avaliamos como aproveitar melhor a segurança nativa da nuvem em conjunto com nossas próprias práticas.
É o uso dos serviços de segurança do provedor de nuvem que pode afetar drasticamente os custos operacionais de fazer negócios na nuvem — especialmente quando se trata de gerenciar a infraestrutura de serviços de aplicações.
A ameaça é real
Se você ainda não teve a oportunidade de ler o artigo da F5 Labs sobre os nomes de usuário e senhas mais atacados deveria ler. Nele, você descobrirá que o SSH é um serviço altamente visado. Na verdade, mais do que qualquer outro.
Do artigo:
Em termos de volume de ataques, os invasores dedicam mais tempo e esforço a atacar o SSH do que qualquer outro serviço online. As tentativas de obter acesso por força bruta a logins administrativos de aplicações em produção via SSH ocorrem 2,7 vezes mais do que os ataques contra a própria aplicação via HTTP (invasores tentando explorar vulnerabilidades de aplicações web).
E por que não? O controle administrativo sobre a infraestrutura de serviços de aplicações oferece muito poder — inclusive a capacidade de modificar políticas que, de outra forma, poderiam impedir o acesso fácil a aplicações web. No caso do Kubernetes — frequentemente visado por não exigir credenciais —, o objetivo do acesso é explorar recursos às custas de terceiros.
Mas você entende de segurança e exige senhas fortes para todo acesso à infraestrutura. Sua senha de SSH é tão forte que você precisa parar e pensar qual é a senha antes de digitá-la. Toda vez.
Agora, a afirmação óbvia do século: senhas fortes não impedem ataques. Elas apenas reduzem as chances de um ataque ser bem-sucedido. Você não pode impedir alguém de iniciar um ataque. Realmente não pode. Você só pode detectá-lo e impedir que seja bem-sucedido.
Mas, enquanto isso, esse ataque gera custos operacionais reais. Como você adota boas práticas de segurança, todas essas tentativas malsucedidas são registradas. Todas. Sem. Exceção.
E, a cada tentativa malsucedida que você bloqueia, recursos são consumidos. Largura de banda. Armazenamento. Processamento.
Use serviços nativos da nuvem para aprimorar as práticas de segurança
Todos os principais provedores de nuvem (e provavelmente os menores também) oferecem controles básicos de segurança de rede que podem ser usados para restringir o acesso administrativo à infraestrutura de serviços de aplicações. Grupos de segurança da AWS (SGs) e Grupos de Segurança de Rede do Azure (NSG) funcionam de forma muito semelhante a um firewall: eles filtram o tráfego que entra (e sai) de uma instância. No caso do acesso administrativo, essa pode ser uma ferramenta importante em seu arsenal de segurança. Ao restringir o acesso apenas a endereços IP conhecidos (ou intervalos especificados), você pode reduzir drasticamente o volume de ataques que chegam à sua infraestrutura. Isso pode ajudar a manter os custos baixos, evitando o consumo excessivo de recursos computacionais, largura de banda e armazenamento.
Esse é o mesmo princípio que incentiva o uso de firewalls de aplicações web na nuvem, tanto para proteger os aplicativos quanto como uma boa prática operacional. O objetivo é interromper o ataque antes que ele possa consumir uma quantidade excessiva de recursos. Mesmo que o ataque não fosse bem-sucedido, as tentativas provavelmente seriam suficientes para acionar eventos de escalabilidade automática, gerando custos para a empresa ou prejudicando a disponibilidade para usuários legítimos. Nenhum desses resultados é desejável.
Como regra geral, quanto mais perto da origem do ataque você conseguir detê-lo, mais seguro estará e menor será o custo para a empresa.
Complemente. Não substitua.
A chave para usar serviços nativos da nuvem em suas práticas de segurança é "complementar". Usar senhas SSH fortes é uma boa prática. Combiná-las com um controle de acesso robusto é ainda melhor. Mas nunca, em hipótese alguma, abandone as boas práticas de uso de senhas fortes em favor apenas de grupos de segurança. Use ambos em conjunto para garantir a segurança e limitar o custo de operar na nuvem.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...