Segurança na nuvem.

A segurança na nuvem abrange as práticas usadas para proteger cargas de trabalho executadas em infraestruturas que a organização não possui totalmente, tipicamente AWS, Azure, GCP ou plataformas SaaS. Inclui gestão de identidades e acessos, segmentação de rede, cifragem de dados em trânsito e em repouso, endurecimento de configurações, proteção de workloads e monitorização contínua das APIs e logs de auditoria do fornecedor. Como a nuvem é orientada a API e elástica, as defesas perimetrais clássicas são insuficientes; os controlos têm de acompanhar a carga e integrar-se aos serviços nativos (IAM, KMS, CloudTrail, Security Hub, Defender for Cloud).

A linha que divide a responsabilidade é o modelo de responsabilidade partilhada: o fornecedor protege a nuvem (instalações físicas, hipervisor, plano de controlo dos serviços geridos) enquanto o cliente protege o que corre nela (dados, políticas de IAM, aplicação de patches do sistema operativo e, sobretudo, a configuração). A maioria das violações mediáticas tem origem no lado do cliente. A violação da Capital One em 2019 é o exemplo canónico: um WAF ModSecurity mal configurado foi abusado via server-side request forgery (SSRF) para alcançar o serviço de metadados da instância EC2 em 169.254.169.254, obtendo as credenciais IAM temporárias de um papel com privilégios excessivos capaz de listar e ler buckets S3, expondo cerca de 106 milhões de registos de candidatos. O incidente impulsionou a adoção do IMDSv2 (metadados ligados a um token de sessão), IAM de privilégio mínimo e filtragem de saída. A intrusão Storm-0558 de 2023, em que uma chave de assinatura roubada da Microsoft permitiu forjar tokens do Exchange Online, mostrou que mesmo falhas do lado do fornecedor podem propagar-se. Programas maduros combinam CSPM, CWPP, CIEM e CNAPP com os CIS Benchmarks, barreiras como código e governação sólida sob o modelo de responsabilidade partilhada.

flowchart TD
  subgraph P[O fornecedor protege a nuvem]
    P1[Centros de dados físicos]
    P2[Hipervisor / host]
    P3[Plano de serviços geridos]
  end
  subgraph C[O cliente protege na nuvem]
    C1[Dados e chaves de cifragem]
    C2[Políticas IAM e privilégio mínimo]
    C3[Configuração / endurecimento]
    C4[Patches de SO e apps]
  end
  C3 -->|má config| M[SSRF -> credenciais IMDS<br/>ex. Capital One 2019]
  M --> B[Exfiltração de dados]
  C2 -->|privilégio mínimo + IMDSv2| D[Raio de impacto contido]