Bem-vindo à aula sobre Segurança em Nuvem. Com a adoção crescente de serviços em nuvem, é essencial entender os princípios de segurança que protegem dados, aplicações e infraestrutura. Nesta aula, exploraremos quatro pilares fundamentais: gerenciamento de identidade e acesso (IAM), segurança de armazenamento (Storage), monitoramento e logging, e o modelo de responsabilidade compartilhada entre provedor e cliente.

A segurança na nuvem difere da segurança on-premises porque o provedor gerencia a segurança da nuvem, enquanto o cliente é responsável pela segurança dentro da nuvem. Compreender essa divisão é crucial para evitar configurações incorretas que podem levar a vazamentos de dados.

IAM

Identity and Access Management (IAM) é o serviço que controla quem pode acessar recursos na nuvem e quais ações podem realizar. IAM permite criar usuários, grupos, funções e políticas para gerenciar permissões de forma granular. Por exemplo, na AWS, você pode definir uma política que permite apenas leitura de um bucket S3 específico para um grupo de desenvolvedores.

Boas práticas de IAM incluem o princípio do menor privilégio, uso de autenticação multifator (MFA), rotação regular de chaves de acesso e a utilização de roles para serviços em vez de credenciais de longa duração. Exemplo de política IAM (JSON):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::meu-bucket/*"
    }
  ]
}

Storage

Serviços de armazenamento em nuvem, como Amazon S3, Azure Blob Storage e Google Cloud Storage, oferecem alta durabilidade e disponibilidade. No entanto, configurações incorretas podem expor dados publicamente. É fundamental entender opções de criptografia: em repouso (server-side encryption) e em trânsito (SSL/TLS). Além disso, controles de acesso como políticas de bucket, listas de controle de acesso (ACLs) e assinaturas de acesso compartilhado (SAS) no Azure devem ser configurados corretamente.

Outro aspecto é a prevenção de exclusão acidental, habilitando versionamento e bloqueio de objetos. Exemplo de política de bucket S3 para bloquear acesso público:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": "arn:aws:s3:::meu-bucket/*",
      "Condition": {
        "Bool": {
          "aws:SecureTransport": "false"
        }
      }
    }
  ]
}

Logging

Logging é essencial para auditoria, detecção de incidentes e conformidade. Serviços como AWS CloudTrail, Azure Monitor e Google Cloud Logging registram atividades de API, alterações de configuração e acessos a recursos. Esses logs devem ser armazenados em local seguro, com criptografia e retenção adequada, e monitorados por ferramentas de SIEM.

Boas práticas incluem habilitar logging em todas as regiões, usar alertas para eventos críticos (como criação de usuários ou alterações em políticas) e proteger os logs contra modificação. Exemplo de consulta no CloudWatch Logs Insights para detectar tentativas de acesso não autorizado:

fields @timestamp, @message
| filter eventName = "ConsoleLogin" and responseElements.ConsoleLogin = "Failure"
| sort @timestamp desc
| limit 20

Shared responsibility model

O modelo de responsabilidade compartilhada define que o provedor de nuvem é responsável pela segurança da nuvem (hardware, rede, datacenters), enquanto o cliente é responsável pela segurança dentro da nuvem (dados, configurações, identidades). Por exemplo, na AWS, a AWS protege a infraestrutura física, mas o cliente deve configurar corretamente grupos de segurança, IAM e criptografia.

Esse modelo varia conforme o tipo de serviço: IaaS (o cliente tem mais responsabilidade), PaaS (o provedor gerencia o sistema operacional) e SaaS (o provedor gerencia quase tudo). Compreender essa divisão evita lacunas de segurança. Por exemplo, se um bucket S3 for exposto, a responsabilidade é do cliente, não da AWS.

Boas práticas e observações finais

Sempre comece com o princípio do menor privilégio, implemente logging e monitoramento, e revise regularmente as configurações de segurança. Utilize ferramentas de segurança nativas, como AWS Config, Azure Policy e Google Cloud Security Command Center, para avaliar conformidade. Lembre-se: segurança na nuvem é uma responsabilidade compartilhada, e o cliente deve estar atento às suas obrigações.

Referências

Exercícios

  1. Explique o princípio do menor privilégio e dê um exemplo de como aplicá-lo em uma política IAM.

    2. ✓ Resposta: O princípio do menor privilégio significa conceder apenas as permissões necessárias para uma tarefa. Por exemplo, em vez de dar acesso administrativo total, crie uma política que permita apenas leitura de um bucket S3 específico para um desenvolvedor que só precisa consultar dados.
  2. Qual a diferença entre criptografia em repouso e em trânsito? Dê exemplos de serviços que oferecem cada uma.

    3. ✓ Resposta: Criptografia em repouso protege dados armazenados (ex: Amazon S3 com SSE-S3). Criptografia em trânsito protege dados durante a transmissão (ex: HTTPS, TLS). Ambos são importantes para segurança.
  3. Por que é importante habilitar logging em todas as regiões da nuvem? Cite um serviço de logging e um evento que deve ser monitorado.

    4. ✓ Resposta: Para garantir visibilidade global de atividades maliciosas. O AWS CloudTrail registra chamadas de API. Eventos como criação de usuário ou alteração de política de segurança devem ser monitorados.
  4. No modelo de responsabilidade compartilhada, quem é responsável por configurar um bucket S3 como privado? Justifique.

    5. ✓ Resposta: O cliente. O provedor (AWS) é responsável pela segurança da nuvem, mas o cliente é responsável pela segurança dentro da nuvem, incluindo configurações de acesso a recursos como S3.
  5. Dê um exemplo de como uma política IAM pode ser usada para negar acesso a um recurso específico.

    6. ✓ Resposta: Exemplo: uma política que nega acesso a um bucket específico para todos os usuários, exceto um grupo de administradores. Usa-se "Effect": "Deny" com condição de que o ARN do recurso seja o bucket restrito.