Segurança na Cloud

Computing
Professor Humberto Caetano
● Especialista em Ciência da Computação, AESO – 2010
● Especialista em Ensino à Distância – UNINASSAU - 2019
● Mestre em Gestão Empresarial, FBV - 2016
● Doutor em Administração – PROPAD/UFPE - 2019
○ Gestão de TI
Professor Humberto Caetano
● Sócio-Diretor na empresa Caesi Tecnologia.
● Trabalho com segurança e gestão de TI desde 2000
● Certificado LPI-2, SonicWall (CSSA), ITIL Foundation, COBIT
4.1, ISO 27002 Foundation.
 A Disciplina

Riscos em computação em nuvem.

Gestão de incidentes em computação em nuvem.

Segurança de operações na computação em nuvem.

Segurança no desenvolvimento de aplicações para computação em nuvem.

Criptografia e gerenciamento de chaves

Preocupações quando vamos para a nuvem
● No modelo tradicional, utilizando datacenters internos ou
silos de computação, a informação estava separada do
mundo;
● Na computação tradicional usamos firewall’s e outras
ferramentas para controlarmos o acesso aos nossos ativos de
rede;
● Na computação tradicional existe o “perímetro de
segurança”.
Preocupações quando vamos para a nuvem
● Usar a nuvem exige a ruptura do
perímetro de segurança;
● Como garantir que os dados
armazenados fora da empresa
cumpram com as exigências de
confiabilidade, disponibilidade e
integralidade da informação?
Preocupações quando vamos para a nuvem
● Alguns outros problemas práticos existem em relação à
segurança das informações na computação em nuvem que
as empresas nunca podem comprometer.
○ Cenário 1: O provedor de nuvem declara a falência.
○ Cenário 2: a organização do provedor é adquirida por alguém.
○ Cenário 3: o serviço em nuvem será descontinuado.
O que é segurança em computação em nuvem?
● Para uma empresa, compartilhar infraestrutura em um
ambiente de computação em nuvem é como uma pessoa ir a
algum lugar público com pertences valiosos.
Segurança da Informação
● Três princípios fundamentais de segurança da informação
como confidencialidade, integridade e disponibilidade
também são pilares importantes da segurança de software
em nuvem.
● Juntos, eles são conhecidos como a tríade da CIA e devem ser
gerenciados com cuidado para a segurança de qualquer
sistema de informação.
● Os sistemas de computação em nuvem lidam com as
informações confidenciais do usuário e a tríade da CIA é uma
questão vital aí.
Segurança da Informação
● A integridade das informações garante contra alterações
intencionais ou não intencionais.
● A integridade das informações pode ser protegida por meio
de controle de acesso estrito.
● Integridade é a proteção da informação contra a corrupção.
Segurança da Informação
● A disponibilidade garante acesso confiável e oportuno às
informações.
● Garante que as informações estão disponíveis quando
necessário.
● Uma ameaça a esse respeito são os ataques baseados em
rede, como o ataque de negação de serviço
Segurança da Informação
● A disponibilidade de informações na nuvem depende muito
da disponibilidade do próprio Cloud Service Providers (CSP).
● Idealmente, o serviço de um provedor deve estar ativo por
99,999% do tempo.
● Em geral, provedores de serviços de renome garantem a
entrega de "três 9s" de tempo de atividade.
● Por exemplo, a Amazon promete 99,95% de disponibilidade
de serviço para suas máquinas virtuais (EC2) no contrato de
nível de serviço.
Segurança da Informação
● A confidencialidade trata da questão de evitar o vazamento
intencional ou não intencional de conteúdo confidencial.
● Para manter a confidencialidade das informações
armazenadas, duas preocupações potenciais devem ser
abordadas
○ A primeira está relacionado ao mecanismo de controle de acesso para
proteção de dados que trata da autorização e autenticação.
○ A segunda preocupação é manter o sigilo dos dados. O sigilo dos dados
geralmente é mantido usando diferentes técnicas de criptografia.
Segurança da Informação
● Para manter a confidencialidade das informações e fazer um
sistema de nuvem seguro (ou qualquer ambiente de
computação em rede), as seguintes questões devem ser
atendidas com a máxima precisão.
○ Criptografia: por meio da criptografia, as informações são embaralhadas para
que nenhum acesso não autorizado possa interpretá-las.
○ Análise de tráfego: A análise de tráfego investiga mudanças repentinas na
atividade de tráfego (como taxa, volume, origem ou destino do tráfego), o que
pode indicar que algum incidente está ocorrendo.
○ Covert channels: os hackers geralmente tentam receber informações
estabelecendo caminhos de comunicação secretos conhecidos como canais
secretos.
Segurança da informação
● O que é o Covert Channel?
○ Existem dois tipos de canais secretos:
○ Canais de Armazenamento: são usados por invasores para codificar as
informações que estão sendo transferidas e, em seguida, decodificá-las
posteriormente. Em pilhas TCP / IP, alguns campos são deixados vazios ou
não usados. Os invasores utilizam esses campos não utilizados como canais
de armazenamento.
○ Canais de tempo: são usados por invasores para modular os recursos do
sistema para enviar uma mensagem ao longo do tempo. O atraso entre
pacotes é o atraso de tempo entre a transferência de pacotes de dados
contínuos. Nos canais de temporização, os atrasos entre pacotes são
modulados para decodificar uma certa parte dos dados presentes nos
pacotes.
O que é segurança em computação em nuvem?
● Segurança é desenvolver resistência a danos ou proteger um
sistema contra qualquer dano.
● Transferir os dados confidenciais do consumidor para o
controle de provedores de nuvem terceirizados aumenta e
complica o cenário de risco, pois a terceirização torna mais
difícil para o consumidor manter a confidencialidade e
integridade das informações confidenciais.
Grupos de trabalho em segurança na nuvem
● Jericho Forum Group
○ No início do uso da Internet, os limites da rede corporativa estavam
rapidamente se tornando indistintos;
○ Em 2003, um grupo de CISOs (Chief Information Security Officers)
preocupados formou um fórum para discutir esta questão, que ficou
conhecida como ‘Jericho Forum Group’, que foi formalmente estabelecido
em 2004;
○ O termo "desperimetrização" foi cunhado pela primeira vez por um membro
deste grupo para descrever os limites da rede indefinidos;
○ Em 2009, este fórum propôs um modelo de segurança para computação em
nuvem que foi aceito como o padrão global;
○ Em 2013, o Jericho Forum tornou-se parte de outro consórcio intitulado "The
Open Group“.
Grupos de trabalho em segurança na nuvem
● The Cloud Security Alliance (CSA)
○ CSA é uma organização focada na promoção de um ambiente de
computação em nuvem seguro.
○ O CSA também recomenda as melhores práticas e oferece orientação
para manutenção de segurança na nuvem que ajuda na construção de
ofertas de serviços de qualidade.
○ Certificate of Cloud Auditing Knowledge
○ https://cloudsecurityalliance.org/
○ https://cloudsecurityalliance.org/research/guidance/
Grupos de trabalho em segurança na nuvem
● The Cloud Security Alliance (CSA)
● Os principais objetivos da CSA incluem o seguinte:
○ Incentivar o desenvolvimento de um nível comum de entendimento
entre os provedores de serviços em nuvem e consumidores de serviço
em relação aos requisitos de segurança necessários.
○ Desenvolver as melhores práticas relacionadas à segurança da
computação em nuvem, promovendo pesquisas na área.
○ Iniciar programas educacionais para espalhar a consciência sobre o uso
adequado dos serviços.
○ Gerar uma lista de questões a serem acordadas para garantia de
segurança na nuvem.
Grupos de trabalho em segurança na nuvem
● The Cloud Security Alliance (CSA)
Elementos de modelos de segurança na nuvem
● Esses sete elementos devem ser considerados para a
concepção de uma boa política de segurança na
computação:
○ Acesso de usuário privilegiado: o usuário do provedor que gerencia a
nuvem.
○ Conformidade com regulamentos: os provedores de serviços podem
armazenar e gerenciar dados de empresas na computação em nuvem,
mas as empresas são responsáveis pela integridade e privacidade de
seus próprios dados.
○ Localização dos dados: os dados na nuvem são armazenados nos centros
de dados dos provedores de serviços espalhados pelo globo.
Elementos de modelos de segurança na nuvem
● Esses sete elementos devem ser considerados para a
concepção de uma boa política de segurança na
computação:
○ Segregação de dados: a computação em nuvem geralmente é um
serviço compartilhado.
○ Recuperação: a recuperação de dados em caso de desastre é outra
questão crucial.
○ Suporte investigativo: a investigação de atividades inadequadas ou
ilegais pode ser uma tarefa difícil na computação em nuvem.
○ Viabilidade de longo prazo: Idealmente, nenhum provedor de serviços
em nuvem de renome fechará negócios ou será adquirido por algum
fornecedor maior.
Modelo de referência Cloud Cube
● Modelo proposto pelo Jericho Forum Group em 2009.
● O modelo sugere que não devemos medir a segurança da
nuvem apenas dependendo das perspectivas estreitas de
sistemas "internos" ou "externos".
● O modelo Cloud Cube aborda a segurança na nuvem usando
um cubo tridimensional.
● O modelo de cubo usa quatro dimensões de segurança para
representar características diferentes para distinguir
formações de nuvens umas das outras.
Modelo de referência Cloud Cube
● Os principais objetivos por trás da construção do modelo de
cubo em nuvem podem ser listados da seguinte forma:
○ Para representar diferentes formações de nuvens.
○ Para destacar as principais características de cada formação de nuvem.
○ Para representar os benefícios e riscos associados a cada forma de
nuvem.
○ Reforçar que a abordagem tradicional (de não nuvem) não é totalmente
obsoleta e às vezes pode ser uma escolha adequada para operar funções
de negócios específicas.
○ Apresentar um roteiro para um estudo mais detalhado e tornar o
ambiente mais seguro.
Modelo de referência Cloud Cube
● O modelo de cubo em nuvem foi projetado para representar
quatro critérios relacionados à segurança.
○ Se os dados serão armazenados internamente dentro dos limites físicos
da organização ou em algum local externo?
○ A nuvem será formada usando tecnologia proprietária (tecnologia que é
propriedade de alguém) de alguma empresa de computação ou usando
tecnologia aberta que está aberta a todos para uso?
○ Se a nuvem irá operar dentro dos limites da rede da organização (o
perímetro lógico de segurança) apenas ou fora dos limites também?
○ O desenvolvimento e a manutenção do serviço em nuvem serão
terceirizados ou serão feitos com equipe interna?
Modelo de referência Cloud Cube
● Limite de dados: interno (I) / externo (E)
○ O aspecto do limite de dados determina o local de armazenamento físico dos
dados das próprias organizações.
● Propriedade: Proprietário (P) / Aberto (O)
○ A propriedade da tecnologia (proprietária / aberta) determina o grau de
interoperabilidade entre os diferentes serviços em nuvem.
● Limite de segurança: Perimeterized (Per) / De-perimeterized (D-p)
● Fornecimento: Interno / Terceirizado
○ In-sourcing não significa melhor segurança. A segurança do serviço em nuvem
depende muito da experiência da equipe.
Modelo de referência Cloud Cube

Fonte: Bhowmik (2017)

A segurança tradicional e a de nuvem
A segurança tradicional e a de nuvem
● A computação em nuvem pode ser construída e entregue por
provedores (quando o serviço é terceirizado), mas a
segurança do ambiente de computação não depende apenas
dos provedores de serviço.
● A computação em nuvem não causa mais preocupações de
segurança em relação à computação tradicional.
● A colaboração é fundamental para negócios baseados na
nuvem.
A segurança tradicional e a de nuvem
● A computação em nuvem pode ser construída e entregue por
provedores (quando o serviço é terceirizado), mas a
segurança do ambiente de computação não depende apenas
dos provedores de serviço.
● A computação em nuvem não causa mais preocupações de
segurança em relação à computação tradicional.
● A colaboração é fundamental para negócios baseados na
nuvem.
A segurança tradicional e a de nuvem
● Compartilhamento de
responsabilidades de
gerenciamento de
segurança em
computação
tradicional e ambiente
de serviço em nuvem

Fonte: Bhowmik (2017)

A segurança tradicional e a de nuvem
● Responsabilidades de gerenciamento de segurança na
nuvem por tipo de serviço

Fonte: Bhowmik (2017)

Políticas de segurança para a nuvem
● As políticas de segurança são conjuntos de documentações
que orientam para a implementação confiável de segurança
em um sistema.
● A estratégia de segurança em nuvem define diferentes
políticas, como políticas de segurança do sistema, políticas de
software e políticas do sistema de informação, etc.
Políticas de segurança para a nuvem
● O ambiente de computação em nuvem pede às organizações
que mantenham algumas políticas gerais relacionadas à
segurança:
○ Política de gerenciamento: Esta é uma política geral de alto nível definida
pela alta administração de uma organização.
○ Política regulatória: as organizações não têm função na formulação dessa
política. Essas políticas geralmente são específicas do setor e / ou governo sob
o qual as organizações operam.
○ Política de recomendação: esta política de segurança não é obrigatória, mas
fortemente sugerida. Aqui podem estar detalhes das consequências em caso
de falha em segui a política de segurança.
○ Política Informativa: Trata-se de fazer com que todos se preocupem com as
questões de segurança.
Segurança na Cloud
Computing
Computação confiável em nuvem
● ‘Computação confiável’ é um termo que se refere a
tecnologias, design e políticas para desenvolver um sistema
de computação altamente seguro e confiável.
● A falta de confiança entre os consumidores e provedores de
serviços em nuvem pode impedir a aceitação generalizada
desses serviços em nuvem.
● Os provedores de serviços em nuvem devem estabelecer
confiança inicialmente e garantir a segurança para aliviar as
preocupações de um grande número de consumidores.
Computação confiável em nuvem
● Uma opção mais apropriada e viável para os provedores de
serviço é garantir a certificação de segurança para seus
serviços em nuvem de uma ou mais organizações revisoras
reconhecidas internacionalmente.
● Provedores de nuvem maiores como Google, Amazon e
Microsoft já tomaram medidas para trazer transparência em
relação ao gerenciamento de segurança.
● ‘Security, Trust & Assurance Registry (STAR)’ da CSA é um
dessesprogramas de certificação oferecidos pela Cloud
Security Alliance (CSA)
Tipos de controle de segurança em nuvem
● Existem quatro tipos de controles de segurança associados à
proteção de aplicativos baseados em nuvem; cada um auxilia
com uma peça diferente de segurança na nuvem.
○ O primeiro é o uso de controles de dissuasão, que são empregados para
reduzir os ataques a um sistema em nuvem.
○ Em segundo lugar, medidas preventivas, como o uso de um servidor
proxy, buscam eliminar vulnerabilidades fortalecendo o sistema.
Tipos de controle de segurança em nuvem
● Existem quatro tipos de controles de segurança associados à
proteção de aplicativos baseados em nuvem; cada um auxilia
com uma peça diferente de segurança na nuvem.
○ Terceiro, o uso de controles de detecção pode fornecer um meio para
evitar possíveis caminhos para a entrada de um intruso
○ Quarto, as medidas corretivas são essenciais em momentos de violação
ou possível violação..
Quem é o responsável pela segurança na nuvem?
● Os problemas de segurança associados à computação em
nuvem podem ser vistos de dois ângulos:
○ como as preocupações dos provedores de nuvem (fornecendo SaaS,
PaaS ou IaaS);
○ e as preocupações dos consumidores de serviço.
Quem é o responsável pela segurança na nuvem?
● Os consumidores devem verificar e certificar-se de que o
provedor empregou todas as medidas de segurança possíveis
para tornar os serviços seguros.
● Em última análise, é responsabilidade dos consumidores
garantir a segurança de seus aplicativos e dados.
Ameaça, Vulnerabilidade e Risco
● Ameaça é um evento que pode causar danos ao sistema.
● As ameaças podem ser maliciosas, como a alteração
deliberada de dados confidenciais, ou podem ser acidentais,
como a exclusão não intencional de um arquivo ou o
surgimento de problemas em cálculos errados.
Ameaça, Vulnerabilidade e Risco
● Vulnerabilidade se refere a algumas fraquezas ou falhas em
um sistema (hardware, software ou processo) que uma
ameaça pode explorar para danificar o sistema.
● Risco é a capacidade de uma ameaça de explorar
vulnerabilidades e, assim, causar danos ao sistema.
● O risco ocorre quando a ameaça e a vulnerabilidade se
sobrepõem.
Vulnerabilidades de sistemas
● Bugs e vulnerabilidades do sistema são comuns entre todos
os tipos de software, muitos dos quais são corrigidos antes de
serem lançados para serem usados em uma empresa.
● Estatísticas mostram que existe um bug a cada 1000 linhas
de código.
○ O Kernel 4.12 do Linux tem 24 milhões de linhas de código
● Como todos os recursos de uma organização agora são
essencialmente compartilhados e convergem para um único
lugar, isso cria mais maneiras de um invasor entrar.
Vulnerabilidades de sistemas
● A melhor maneira de garantir que um ataque não ocorra e de
mitigar um ataque que ocorra é simplesmente seguir as
práticas recomendadas de TI. Isso inclui:
○ Verificar constantemente o sistema em busca de vulnerabilidades;
○ Corrigir o sistema regularmente e gerenciar bem as atualizações;
○ Acompanhar imediatamente as ameaças em potencial que são
encontradas no sistema
O fator Humano
● Assim como acontece com qualquer plano de segurança de
dados, o treinamento adequado dos funcionários em relação
a golpes de phishing, fraude e exploração de software é uma
parte importante para evitar violações de dados.
● O ambiente de nuvem adiciona outra dimensão a isso por
estar constantemente online.
● Na nuvem não são mais apenas dados de uma única
entidade, os efeitos de um ataque abrangem todos os dados
no sistema, independentemente de a quem pertencem.
O fator Humano
● Algumas questões que englobam o fator humano incluem:
○ Indivíduos de dentro do sistema também podem comprometer a
segurança dos dados e até mesmo atacá-los eles próprios.
○ Ex-funcionários que se sentem injustiçados podem tentar se vingar da
empresa, liberando dados confidenciais, como senhas e informações do
usuário.
○ Outros crimes mais calculados podem ser cometidos, como roubo de
dados para serem vendidos na dark web.
O fator Humano
● Algumas ações de proteção que as empresas podem adotar:
○ Habilitar a autenticação multifator e proibir o compartilhamento de
credenciais entre usuários e serviços são etapas úteis para evitar o roubo
de credenciais de contas.
○ É aconselhável certificar-se de que sempre haja uma maneira de provar
que um ser humano está usando o sistema e que esse ser humano pode
entrar no sistema e é quem diz ser.
○ As organizações devem controlar de forma rigorosa as chaves de
criptografia e os protocolos de acesso aos dados.
Ameaças persistentes
● O objetivo de uma Ameaça Persistente Avançada (APT) é entrar em um
sistema, estabelecer um ponto de entrada e se implantar, e então roubar
dados sem ser detectado por um longo período de tempo.
● APTs tendem a ser bons em se misturar com o tráfego de rede normal e
geralmente são muito difíceis de detectar, mas os maiores provedores
de nuvem usam as técnicas mais avançadas para detecção dessas
ameaças.
● Algumas maneiras comuns de os APTs entrarem em uma rede são por
meio de spear phishing, unidades USB e redes inseguras de terceiros.
Manter-se informado, diligente e atualizado sobre as medidas de
segurança mais recentes e as melhores práticas são as melhores
maneiras de evitar essa ameaça.
Ameaças persistentes
● Spear phishing é um golpe por e-mail ou comunicação
eletrônica direcionado a um indivíduo, organização ou negócio
específico. Embora muitas vezes tenham a intenção de roubar
dados para fins maliciosos, os cibercriminosos também podem
ter a intenção de instalar malware no computador de um
usuário-alvo.
● Funciona assim:
○ chega um e-mail, aparentemente de uma fonte confiável, mas, em vez disso,
leva o destinatário desconhecido a um site falso cheio de malware.
○ Esses e-mails costumam usar táticas inteligentes para chamar a atenção das
vítimas. Por exemplo, o FBI alertou sobre golpes de spear phishing em que os
e-mails pareciam ser do National Center for Missing and Exploited Children.
Ameaças à segurança na nuvem
● Para entender as ameaças à segurança que a computação
em nuvem apresenta, é importante entender as diferentes
áreas de preocupação.
● As preocupações com ameaças à segurança na computação
em nuvem podem ser categorizadas nas três seções a seguir:
○ Ameaças à infraestrutura
○ Ameaças à Informação
○ Ameaças ao controle de acesso
Ameaças à segurança na nuvem
● Ao discutir sobre segurança na computação em nuvem,
deve-se manter dois pontos importantes e distintivos em
mente:
○ O próprio modelo de computação em nuvem tem algumas
preocupações de segurança exclusivas associadas a ele, que surgiram
devido ao compartilhamento de infraestrutura ou recursos de
multilocação.
○ Quando a nuvem é implantada fora dos limites de controle da
organização do consumidor, ela traz um novo conjunto de questões de
segurança. Nesse sentido, a nuvem pública é o caso mais crítico a ser
estudado.
Segurança de Infraestrutura
● Do ponto de vista do consumidor, embora a segurança da
infraestrutura possa parecer estar mais relacionada aos
fornecedores de infraestrutura como serviço (IaaS), mas as
camadas de soluções de plataforma como serviço (PaaS) e
software como serviço (SaaS) não podem ser ignoradas, pois
os usuários também têm algumas funções a desempenhar
na proteção da infraestrutura de computação.
● A segurança da infraestrutura pode ser classificada em três
categorias, como nível de rede, nível de host e nível de
serviço.
Segurança de Infraestrutura
● Segurança em nível de rede.
○ No caso de serviços de nuvem pública, o uso de topologia de rede
apropriada é necessário para atender aos requisitos de segurança. As
organizações devem cuidar sobre como sua topologia de rede interna irá
interagir com a topologia de rede do provedor de serviços.
○ Garantir a confidencialidade, integridade e disponibilidade dos dados
são responsabilidades do arranjo de segurança de infraestrutura em
nível de rede.
Segurança de Infraestrutura
● Segurança em nível de rede.
○ O risco de confidencialidade de dados geralmente é reduzido pelo uso
de técnicas como criptografia e assinaturas digitais, mas o problema de
disponibilidade de dados no nível da rede causa mais dificuldade e
requer mais atenção para gerenciar.
○ A maioria dos desafios de segurança em nível de rede não é nova na
nuvem; em vez disso, eles existem desde os primeiros dias da Internet.
Segurança de Infraestrutura
● Segurança a nível de Host
○ A implementação fraca do mecanismo de controle de acesso ao
hypervisor pode criar problemas para hosts físicos.
○ O ponto importante a ser observado aqui contra a computação
tradicional é que a nuvem une a capacidade de centenas de nós de
computação. Isso significa que qualquer ameaça é fácil de amplificar
rapidamente, o que é chamado de fator de velocidade de ataque na
nuvem.
Segurança de Infraestrutura
● Segurança a nível de Host
○ As responsabilidades do gerenciamento de segurança em nível de host
para diferentes tipos de consumidores de serviços em nuvem variam.
○ Para consumidores SaaS e PaaS a responsabilidade pela segurança dos
hosts depende muito dos provedores de serviço..
○ Os consumidores de IaaS têm a responsabilidade de proteger o host. Os
provedores de serviço costumam cuidar da segurança dos recursos
físicos por meio da abstração.
Segurança de Infraestrutura
● Segurança a nível de aplicação
○ Serviços IaaS
■ No nível de IaaS, os usuários são amplamente responsáveis por
gerenciar e proteger os servidores virtuais com os quais trabalham,
junto com os provedores.
■ Os provedores de IaaS garantem principalmente que qualquer
ataque aos recursos virtuais nunca possa penetrar nos recursos
físicos.
Segurança de Infraestrutura
● Segurança a nível de aplicação
○ Serviços PaaS
■ Os problemas de segurança podem ser divididos em dois estágios
no nível PaaS:
● Segurança da própria plataforma PaaS;
● Segurança dos aplicativos dos consumidores implantados em
um aplicativo PaaS.
■ Os provedores de serviços de PaaS são responsáveis por proteger o
software da plataforma na qual os consumidores implementam ou
desenvolvem seus aplicativos.
■ O gerenciamento de segurança desses aplicativos implantados em
PaaS é a principal responsabilidade do consumidor.
Segurança de Infraestrutura
● Segurança a nível de aplicação
○ Serviços SaaS
■ Os provedores de SaaS devem tomar as medidas adequadas para
tornar sua oferta segura, de modo que os consumidores mal
intencionados não possam causar danos a eles.
■ No nível SaaS, os consumidores são responsáveis apenas pelo
gerenciamento da segurança operacional dos aplicativos, o que
inclui a autenticação do usuário e o gerenciamento do controle de
acesso.
Segurança de Infraestrutura
● Segurança a nível de aplicação

Fonte: Bhowmik (2017)

Segurança e proteção dos sistemas físicos
● Quaisquer problemas gerais, físicos ou técnicos podem fazer
com que os servidores físicos caiam. Assim, é preciso utilizar-
se de ferramentas que possibilitem maior estabilidade dos
serviços. Algumas delas são:
○ Fontes de alimentação ininterruptas (UPS).
○ Medidas de segurança adequadas contra incêndio para minimizar a
perda em caso de desastre.
○ Instalação de refrigeração e ventilação adequada.
○ Restrição ao acesso físico aos servidores.
○ As proteções físicas listadas acima também devem ser mantidas para
todos os dispositivos relacionados à rede (como roteadores) e cabos.
Criptografia
● Criptografar dados significa torná-los ilegíveis para aqueles que não
possuem a chave de criptografia.
● Criptografia simétrica: é aquela na qual a chave utilizada para
criptografar a mensagem e a chave utilizada para abrir a mensagem
é a mesma.
● Criptografia assimétrica: Neste caso temos uma chave para
criptografar a mensagem e outra para abri-la.
Criptografia
● A finalidade da criptografia de dados pode ser a integridade dos
dados, a confidencialidade dos dados e a autenticação do usuário.
○ O primeiro objetivo da criptografia é preservar a integridade dos dados. Embora a
integridade dos dados também possa ser complementada usando sistemas de
backup, o uso de criptografia é outro meio pelo qual os dados podem manter sua
integridade no dispositivo original.
○ Um segundo propósito da criptografia é aumentar a confidencialidade. O sigilo dos
dados é importante, principalmente no envio de informações classificadas.
○ A terceira finalidade da criptografia trata da autenticação do usuário. A
autenticação do usuário é atualizada por meio de uma interface fácil de usar,
geralmente conhecida como “login”, ou o uso de uma configuração individualizada
de nome de usuário e senha.
Criptografia

● Usos das criptografia na nuvem

○ Túneis VPN
○ Armazenamento de informações em bases de dados
○ Criptografia de volumes de dados
Criptografia

● Amazon EBS encryption

○ O Amazon Elastic Block Store (Amazon EBS) é um serviço de
armazenamento em blocos fácil de usar, escalável e de alta performance
projetado para o Amazon Elastic Compute Cloud (Amazon EC2).
○ Quando você cria um volume do EBS criptografado e o anexa a uma
instância, os seguintes tipos de dados são criptografados:
■ Dados dentro do volume
■ Todos os dados que se movem entre o volume e a instância
■ Todos os snapshots criados a partir do volume
■ Todos os volumes criados a partir desses snapshots
○ O EBS criptografa seu volume com uma chave de dados usando o algoritmo
AES-256 padrão do setor.
Segurança na Cloud
Computing
Engenharia social
● A engenharia social é definida como a arte de manipular as pessoas
para que elas forneçam informações confidenciais.
● Os ataques de engenharia social diferem dos “hacks” porque esses
ataques dependem do fator de suscetibilidade humana.
● Isso se deve ao fato de os humanos terem uma inclinação natural
para querer confiar e ajudar as pessoas.
Engenharia social - Tipos
● Os ataques de engenharia social podem ser divididos em dois tipos
comuns: baseados em computador e baseados em humanos.
● Os ataques baseados em computador usam software para tentar
obter as informações desejadas. Alguns ataques desse tipo incluem:
○ Phishing;
○ Baiting;
○ Pretexting;
○ quid pro quo.
Engenharia social - Tipos
● Os ataques de engenharia social podem ser divididos em dois tipos
comuns: baseados em computador e baseados em humanos.
● Os ataques de engenharia social baseados em humanos são
completamente diferentes dos ataques baseados em computador.
● A diferença é a interação humana; o envolvimento de pessoa para
pessoa para recuperar dados.
○ Impersonation
○ Third Party
○ Reverse Social Engineering
Gerenciamento de identidade e controle de acesso
● Gerenciamento de identidade e controle de acesso (geralmente
denominado gerenciamento de identificação e acesso ou IAM).
● Os processos de IAM para dar suporte a um negócio compreendem
aproximadamente as seguintes atividades:
○ Gestão de Identificação;
○ Gerenciamento de autenticação;
○ Gerenciamento de autorização;
○ Gerenciamento de acesso;
○ Responsabilidade (Accountability);
○ Monitoramento e auditoria.
IAM na nuvem
● Uma vez adotados os serviços em nuvem, o limite de confiança de
uma organização pode ir além de seu próprio controle.
● A segurança na nuvem precisa de mecanismos fortes de
gerenciamento de identidade e controle de acesso para compensar
a perda de controle da rede.
IAM na nuvem
● As organizações também podem passar as responsabilidades de
gerenciamento de identificação e acesso para um provedor de
gerenciamento de identidade como serviço (IDaaS).
● Atualmente, é implementado usando tecnologias modernas, como a
administração da biometria ou cartões inteligentes, regendo os
direitos de acesso aos recursos por usuários autorizados e
impedindo o acesso aos recursos por entidades não autorizadas.
Explorando o gerenciamento de identidade
● A identidade do usuário é verificada autenticando os usuários
registrados durante o login no sistema.
● Mas, manter vários nomes de usuário e senhas para acessar
diferentes aplicativos, especialmente nos aplicativos corporativos,
reduz a produtividade e dificulta a adoção de aplicativos.
● Ferramentas como SSO e a identidade federada resolvem esse
problema integrando aplicativos e eliminando a necessidade de
vários nomes de usuário e senhas sem comprometer a segurança.
Explorando o gerenciamento de identidade
● Single Sign-On
○ Single sign-on (SSO) é um processo de autenticação de usuário que resolve o
problema de login repetido para acessar diferentes aplicativos em que o usuário é
conhecido individualmente por cada aplicativo.
● Federated Identity Management
○ O gerenciamento de identidades federadas (FIM) permite vincular e distribuir
informações de identidade em diferentes aplicativos dentro de limites de
confiança conhecidos.
○ Identidade Federada (FID) refere-se à maneira de conectar vários sistemas de
gerenciamento de identidade de diferentes empresas.
Explorando o gerenciamento de identidade
● Federated Identity Management x Single Sign-On
○ No sistema federado, um usuário de uma empresa é inscrito apenas no aplicativo
inicial.
○ Isso significa que ele só pode ser reconhecido pelo aplicativo inicial. Todas as outras
empresas sob essa federação concordam em aceitar a identidade e autorização
fornecida a eles por esse aplicativo inicial.
○ Com o SSO, um usuário precisa se inscrever exclusivamente em cada um dos
aplicativos ou sistemas que fazem parte de um grupo de SSO, mas todos os
aplicativos do grupo concordam em confiar em um único logon.
Explorando o controle de acesso
● O controle de acesso é basicamente um procedimento ou política
que permite, proíbe ou limita o acesso de usuários a um sistema.
● Na computação em nuvem, o acesso ao ambiente computacional é
determinado pelos modelos de implantação.
● Enquanto as implantações de nuvem pública e comunitária seguem
a política de acesso compartilhado, a implantação de nuvem privada
mantém a estratégia de acesso exclusivo
Explorando o controle de acesso
● Grau de controle
○ O controle de acesso protege as informações de qualquer modificação não
autorizada ou não intencional.
○ O esforço e o custo da implementação do controle de acesso devem ser decididos
dependendo do mérito da informação que está sendo protegida.
○ Assim, as organizações devem estimar o valor de suas informações antes de decidir
quanto controle de acesso é necessário.
○ O valor da informação é determinado através de diferentes processos qualitativos e
quantitativos.
Explorando o controle de acesso
● Modelos para controle de acesso
○ Vários modelos de controle de acesso existem na prática, como:
■ controle de acesso obrigatório (MAC): No controle de acesso obrigatório
(MAC), as políticas de acesso são controladas por uma autoridade central.;
■ controle de acesso discricionário (DAC): O controle de acesso discricionário
(DAC) não é tão restritivo como o MAC, pois é mais aberto. Não há regras
centrais para controlar o acesso, em vez disso, os proprietários de objetos
podem decidir quais sujeitos terão acesso a um objeto.;
■ controle de acesso não discricionário: No mecanismo de controle de acesso
não discricionário, as políticas de acesso são determinadas com base na
função do usuário.
Princípios de design de segurança na nuvem
● Os princípios fundamentais da abordagem de projeto de segurança
de qualquer sistema de informação permanecem válidos também
para a computação em nuvem.
● Mas, um sistema de nuvem intensamente seguro pode fornecer
recursos de desempenho insatisfatórios. Portanto, é necessário
manter um equilíbrio entre segurança e desempenho.
Princípios de design de segurança na nuvem
● Privilégio mínimo
○ O princípio de privilégio mínimo afirma que qualquer sujeito (usuário ou processo)
deve sempre receber privilégios mínimos necessários para executar sua tarefa.
● Defesa em profundidade
○ O princípio de defesa em profundidade afirma arquitetar o sistema de proteção
com múltiplas camadas. Isso aumenta o mecanismo de segurança.
● Segurança contra falhas
○ O princípio de segurança contra falhas diz que um sistema deve estar protegido
contra quaisquer ameaças de segurança, mesmo que falhe em algum momento, e
deve garantir que a segurança das informações não seja comprometida.
Princípios de design de segurança na nuvem
● Economia do Mecanismo
○ Economia de mecanismo que diz para manter o design de segurança o menor e
mais simples possível.
● Open Project
○ Na computação em nuvem, como um provedor de serviços multitenant (consegue
atender a vários clientes) e utilitário onde a alta segurança é a chave, o princípio do
design aberto sugere arquitetar um modelo onde a segurança do sistema não
dependa do sigilo de seu design.
● Mediação completa
○ Seguir o princípio de mediação completa garante uma verificação rigorosa dos
controles de acesso a cada solicitação.
Princípios de design de segurança na nuvem
● Mecanismo menos comum
○ O princípio do mecanismo menos comum desencoraja o compartilhamento de
mecanismos de segurança semelhantes entre diferentes componentes.
● Separação de privilégio
○ O princípio da separação de privilégios sugere quebrar um único privilégio entre vários
sujeitos independentes (componente ou usuário) para que mais de uma autorização seja
necessária para executar uma ação.
● Elo mais fraco
○ Como o velho ditado “uma corrente é tão forte quanto seu elo mais fraco”, a segurança
de qualquer sistema também é tão boa quanto seu módulo mais fraco.
● Aceitabilidade Psicológica
○ A aceitabilidade psicológica afirma que a acessibilidade do sistema para seus usuários
autorizados deve permanecer tão simples e fácil quanto era na ausência do mecanismo
de segurança.
Framework de gestão de segurança na nuvem
● ITIL
○ A Information Technology Infrastructure Library (ITIL) é globalmente aceita como
uma diretriz de segurança para gerenciamento de serviços de tecnologia da
informação (ITSM).
○ A ITIL fornece diretrizes para gerenciamento de serviços de tecnologia da
informação, incluindo serviços de computação em nuvem.
● ISO 27001/27002
○ A ISO 27001 (também conhecida como ISO/IEC 27001) define os requisitos
obrigatórios para o sistema de gerenciamento de segurança da informação (ISMS).
Framework de gestão de segurança na nuvem
● Alguns processos do ITIL que podem auxiliar na segurança na
nuvem:
○ Gerenciamento de nível de serviço
○ Gerenciamento de capacidade
○ Gerenciamento de disponibilidade
○ Gerenciamento de segurança da informação
○ Gerenciamento de continuidade de serviços de TI
Segurança como um serviço
● Security-as-a-Service é construído, hospedado e gerenciado pelo
provedor de serviços terceirizado.
● Email Filtering
○ Antispam e antivírus
● Web Content Filtering
○ SonicWall
○ WebTitan
● Vulnerability Management
○ Tenable (Nessus)
○ Tivit
● Identity Management
○ IBM
Questões de privacidade e complience
● Segurança e privacidade são frequentemente mencionadas ao
mesmo tempo, mas não são semelhantes.
● A manutenção da privacidade na nuvem é principalmente
responsabilidade dos provedores de serviços, mas os consumidores
também devem estar conscientes de sua própria privacidade ao
redigir o contrato de nível de serviço (SLA)
Questões de privacidade e complience
● A conformidade regulatória é outra questão que tomou uma forma
complicada no contexto da instalação de computação em nuvem
pública.
● Muitas vezes, torna-se difícil cumprir todos os requisitos de
conformidade legal em um ambiente de nuvem em que os data centers
de um provedor de serviços estão espalhados pelo mundo e, com mais
frequência, os consumidores não sabem onde (em qual país ou região)
seus dados estão sendo armazenados.
● Os consumidores de nuvem devem estar cientes de suas
responsabilidades em relação à privacidade das informações e
manutenção da conformidade regulatória, além de verificar a reputação
do provedor de serviços e a abordagem para a manutenção desses
problemas.
O que é privacidade?
● Quem é o proprietário dos dados?
● Quem tem acesso aos dados?
● Quantas cópias estão sendo mantidas?
● Os dados serão apagados caso o cliente mude de prestador de
serviço?
● Qual é o nível de aceitabilidade para o uso do fornecedor dos dados
dos consumidores baseados em nuvem para negócios ou outros
fins?
O que é privacidade?
● O termo "privacidade" refere-se ao direito de um indivíduo ou
organização de impedir que informações proprietárias ou
informações de natureza pessoal sejam divulgadas.
● As informações que se enquadram na jurisdição dos regulamentos
de privacidade são conhecidas como "informações de identificação
pessoal" (PII).
● Exemplos de tais informações incluem:
○ Nomes;
○ detalhes de contas bancárias;
○ detalhes de contato;
○ data de nascimento;
○ até mesmo informações sobre gostos ou opiniões pessoais.
Privacidade - PII
● A proteção de dados confidenciais ou comerciais dos consumidores
de serviços em nuvem é uma preocupação de segurança.
● A proteção das informações de identificação pessoal (PII) dos
consumidores é uma preocupação de privacidade.
● LGPD
LGPD e a nuvem
● Desde setembro de 2020, a Lei Geral de Proteção de Dados (LGPD)
já está valendo no Brasil.
● Aprovada em 2018 e alterada no ano seguinte, a legislação entrou
em vigor com algumas ressalvas.
● Atualmente a lei não está aplicando punições por conta da
pandemia de COVID-19, mas já ocorreram decisões judiciais
baseadas na lei.
LGPD e a nuvem
● Desde setembro de 2020, a Lei Geral de Proteção de Dados (LGPD)
já está valendo no Brasil.
● Aprovada em 2018 e alterada no ano seguinte, a legislação entrou
em vigor com algumas ressalvas.
● Atualmente a lei não está aplicando punições por conta da
pandemia de COVID-19, mas já ocorreram decisões judiciais
baseadas na lei.
LGPD e a nuvem
● Localização de data centers
○ A localização dos data centers pode, de fato, ser um problema.
● Soluções de Cybersecurity
○ A questão não é mais ‘e se eu for atacado’, mas ‘quando eu for atacado’
Proteção da privacidade
● A privacidade na nuvem depende principalmente da
responsabilidade da organização de hospedagem. As áreas básicas
de preocupação em que as organizações devem se concentrar estão
listadas abaixo.
○ Acesso aos dados
○ Conformidade
○ Local de armazenamento
○ Retenção e destruição
Preocupações sobre privacidade na nuvem
● A questão da privacidade das informações é uma das principais
preocupações das empresas que estão migrando para a nuvem,
especialmente no domínio da nuvem pública.
● Os fornecedores de serviços em nuvem geralmente nunca
comprometem a questão da privacidade e protegem os interesses
de seus consumidores com o máximo de planejamento e esforço.
● Mas, o problema pode surgir quando uma entidade governamental
solicita dados do provedor de serviços durante a realização de
alguma consulta.
Preocupações sobre privacidade na nuvem
● Nuvens privadas tendem a não causar tanta preocupação em geral.
● Os consumidores podem segregar e armazenar informações
confidenciais em sua própria infraestrutura para proteger a
privacidade de suas informações.
Segurança x Privacidade
● Segurança e privacidade podem parecer relacionadas entre si, mas
não são a mesma coisa, apesar do fato de que em alguns casos esses
dois conceitos costumam se sobrepor.
○ A segurança é manter a “confidencialidade, integridade e disponibilidade” dos
dados, comumente chamada de tríade da CIA.
○ A privacidade, por outro lado, é “o uso apropriado da informação”.
○ A segurança é necessária, mas não suficiente para abordar a privacidade. Mesmo o
melhor mecanismo de controle de segurança pode não ter nenhum impacto na
proteção da privacidade.
Segurança x Privacidade
● Segurança e privacidade podem parecer relacionadas entre si, mas
não são a mesma coisa, apesar do fato de que em alguns casos esses
dois conceitos costumam se sobrepor.
○ Segurança é “estar livre de perigo ou ameaça”.
○ Ninguém deve ser capaz de roubar dados cruciais que possam causar ameaça aos
negócios ou perda de propriedade intelectual. Os dados preservados como
confidenciais pela organização ou usuário devem permanecer em segredo para
sempre.
○ Privacidade é “estar livre de ser observado ou perturbado por outros”.
○ O serviço de um provedor de nuvem pode fornecer segurança infalível, mas isso
não garante que a privacidade do consumidor também seja protegida.
Segurança x Privacidade
● A “privacidade da informação” refere-se ao grau de controle que os
clientes têm sobre as decisões de quando, como e até que ponto as
informações coletadas sobre eles podem ser usadas ou
compartilhadas com outras pessoas.
● "Segurança da informação" refere-se à capacidade dos clientes de
proteger seus dados contra vulnerabilidades e manter a integridade
dos dados armazenados.
Complience
● O problema de conformidade nos negócios surge de regulamentos
e leis conflitantes de diferentes países ou regiões.
● A proliferação de novos regulamentos e padrões em todo o mundo
torna difícil para as empresas globais manter os objetivos de
desempenho, sustentar o valor, proteger a confiabilidade da
organização e atender às expectativas das partes interessadas.
Complience
● Em geral, os problemas de conformidade na computação podem
surgir de diferentes pontos de vista. A seguir estão as diferentes
preocupações de conformidade:
○ Regulatório
○ Desempenho
○ Segurança
○ Jurídico
● Em relação às leis:
○ Lei 10.406, de 01/2002 – Novo Código Civil
○ Lei 12.965, de 04/2014 – Marco Civil da Internet
○ Lei 13.709, de 08/2018 – LGPD
Referências
● BHOWMIK, Arka; DE, Debashis. mTrust: Call Behavioral Trust
Predictive Analytics Using Unsupervised Learning in Mobile Cloud
Computing. Wireless Personal Communications, v. 117, n. 2, p. 483-
501, 2021.
● BHOWMIK, Sandeep. Cloud computing. Cambridge University Press,
2017.
● GROOM, Frank M.; JONES, Stephan S. (Ed.). Enterprise cloud
computing for non-engineers. CRC Press, 2018.