A Nuvem Anuncia Tempestades... Ameaças à Serviços em Cloud

Entendendo o que é Superfície de Ataque

Você já deve ter lido em alguns dos nossos Posts o termo superfície de ataque (em inglês, attack surface).

Dentro do contexto da segurança cibernética, isto se refere à soma total de todas as maneiras pelas quais um malfeitor pode ganhar acesso não-autorizado a sistemas ou redes.

Ou seja, são todos os pontos de “entrada” que um cybercriminoso pode usar para atacar um alvo.

E isto inclui interfaces como websites, APPs, protocolos e tecnologias nas quais exista troca de dados.

É preciso entender essa superfície de ataque, para que pontos vulneráveis possam ser identificados e que as ameaças possam ser minimizadas, prevenindo futuros ataques.

O que é Computação em Nuvem (Cloud Computing)?

Quando falamos em nuvem, não nos referimos a um local, mas a uma série de recursos que podem ser rapidamente providos de maneira automatizada e de acordo com a demanda.

A computação em nuvem oferece vários benefícios para as empresas. Contudo, é complexa e pode se tornar onerosa, se não for monitorada com cuidado.

Ao invés de desenvolver sistemas em seu próprio ambiente físico, cada vez mais empresas estão optando por usar serviços na nuvem.

Cientes disso, cybercriminosos estão constantemente buscando modos de obter dados armazenados na nuvem, e de explorar as aplicações, plataformas e infra-estruturas de SaaS, PaaS e IaaS.

Há déficit de profissionais especializados em Engenharia de Nuvem (Cloud Engineering). Além disso, assim como é fácil criar recursos, também é fácil perder o controle sobre eles.

É cada vez mais importante e crucial assegurar a segurança de serviços em nuvem.

Vantagens de Uso de Serviços em Nuvem (Cloud-Based)

• Armazenamento Distribuído
  

• Escalabilidade
  

• Variedade de recursos
  

• Acesso de qualquer local
  

• Serviços conforme necessidade/tipo de demanda
  

• Gerenciamento Automatizado

Modelos de Implantação disponíveis na Nuvem (Deployment Models)

• Nuvem Pública (Public Cloud): O domínio da Nuvem Pública inclui toda a variedade de serviços computacionais hospedados por um provedor de internet, de serviços ou de Nuvem e que estão disponíveis ao público em geral
  

• Nuvem Privada (Private Cloud): O domínio da Nuvem Privada concerne a hospedagem de recursos computacionais para uma única empresa e seus membros, em uma área dedicada do provedor
  

• Nuvem Comunitária (Community Cloud): É um “espaço” compartilhado por diversas organizações
  

• Nuvem Híbrida (Hybrid Cloud): Composta de duas ou mais nuvens (incluindo serviços in-loco)

Modelos de Serviços em Cloud Computing

De acordo com a NIST, existem basicamente 3 tipos de serviços disponíveis em nuvem:

1 – SaaS (Software as a Service) – Software como Serviço

É concebido para fornecer um pacote completo de soluções. O cliente “aluga” um software ou aplicação, que roda numa infra-estrutura na nuvem.

O serviço é disponibilizado através de um portal web ou APP, que o cliente acessa via internet no seu dispositivo.

2 – PaaS (Platform as a Service) – Plataforma como Serviço

O cliente pode usar a infra-estrutura (hardware) do provedor para criar e gerir aplicações – como um banco de dados, por exemplo.

Neste modelo, tudo é provido - exceto as aplicações. É possível realizar todas as fases de desenvolvimento de sistemas, e fazer uso de API´s.

3 – IaaS (Infrastructure as a Service) – Infra-Estrutura como Serviço

Aqui, o cliente “aluga” a infra-estrutura. Este serviço provê recursos virtualizados de computação – como hardware, servidores e infra-estrutura de armazenamento.

O cliente pode implantar seu próprio ambiente virtual, configurar, gerenciar e rodar todas as suas aplicações, e expandir a capacidade de virtualização caso necessário.

Ameaças à Serviços na Nuvem Privada (Private Cloud)

• Sondagem não-autorizada da rede e escaneamento de ports
  

• Acesso não-autorizado aos recursos
  

• Vulnerabilidades existentes em dispositivos, softwares e sistemas operacionais
  

• Erros na configuração de roteadores, firewalls e outros dispositivos
  

• Usuários remotos acessando a infra-estrutura de uma empresa e fazendo download de dados sensíveis
  

Ameaças à Serviços Nuvem Pública (Public Cloud)

• Vazamento de dados
  

• Perda ou roubo de propriedade intelectual
  

• Credenciais comprometidas e Sequestro de Contas
  

• Ataques de Engenharia Social
  

• Violações de Compliance (Conformidade)
  

Principais Ataques às Tecnologias em Nuvem

• Colheita de Credenciais (Credential Harvesting): coleta e roubo de nomes de usuários, senhas, tokens, PINs e outros tipos de credenciais válidas, através da exploração de falhas na infra-estrutura
  

• Escalação de Privilégios (Privilege Escalation): exploração de um “bug” ou falha de design em um software ou aplicação, a fim de ganhar acesso a recursos que deveriam estar protegidos
  

• Sequestro de Contas (Account Takeover): acesso indevido do cybercriminosos a uma conta de usuário ou a uma aplicação, objetivando obter acesso a outras contas e informações
  

• Ataques à Serviços de Metadata (Metadata Service Attacks): Acesso indevido à provedores de serviços em nuvem - como o AWS (Amazon Web Services) na tentativa de obter credenciais fornecidas a usuários legítimos, para enfim conseguir acessar os APIs
  

• Ataques à dispositivos/equipamentos mal configurados na nuvem
  

• Ataques de Exaustão de Recursos e de Negação de Serviços (DoS)
  

• Ataques de Injeção de Malwares: O cybercriminoso desenvolve scripts e os insere nos ambientes SaaS, PaaS ou IaaS, comprometendo os sistemas
  

• Ataques “Side-Channel”: O atacante conhece (e se aproveita) de efeitos indiretos a sistemas ou hardwares para alterar seu funcionamento e comprometê-los

Como podemos ver, existem muitas maneiras pelas quais atacantes conseguem invadir esta superfície de ataque que está exponencialmente crescendo.

É essencial conhecermos os serviços, APPs, plataformas e tecnologias que usamos no nosso dia-a-dia, e nos comprometermos com as melhores práticas.

NOS VEMOS NOS PRÓXIMOS POSTS!