Segurança do armazenamento em nuvem e riscos de exposição de dados

O armazenamento de objetos na nuvem — AWS S3, Azure Blob Storage e Google Cloud Storage (GCS) — armazena arquivos como objetos em namespaces planos chamados buckets ou contêineres. Diferentemente dos sistemas de arquivos tradicionais, as permissões são controladas por meio de políticas vinculadas a buckets e objetos, e não por ACLs do sistema de arquivos. O armazenamento de objetos é ideal para dados em grande escala, mas exige uma configuração cuidadosa das permissões, pois um único bucket configurado incorretamente pode expor terabytes de dados sensíveis à internet pública.

A vulnerabilidade mais comum no armazenamento em nuvem é um bucket acessível publicamente — um bucket de armazenamento cuja política de acesso permite leitura anônima (ou acesso de gravação). Essa configuração incorreta causou dezenas de grandes violações: Verizon (14 milhões de registros de clientes), FedEx (119.000 passaportes) e Capital One (100 milhões de solicitações de cartão de crédito). Os invasores usam scanners automatizados para descobrir buckets públicos em todos os padrões conhecidos de nomes de contas da AWS, tornando a descoberta trivial assim que a configuração incorreta existe.

O armazenamento em nuvem usa dois tipos de controles de acesso que podem entrar em conflito. As políticas de buckets são documentos JSON vinculados ao bucket que definem quais entidades podem executar quais ações. As Listas de Controle de Acesso (ACLs) são concessões de permissão legadas por objeto. A AWS recomenda desabilitar ACLs e usar políticas de buckets para manter a consistência. Quando ambas existem, a política mais permissiva vence — o que significa que uma ACL permissiva demais pode conceder acesso público mesmo que a política do bucket o restrinja.

Os provedores de armazenamento em nuvem oferecem criptografia no lado do servidor para objetos em repouso. SSE-S3 (AWS) usa chaves gerenciadas pela AWS automaticamente. SSE-KMS usa chaves gerenciadas pelo cliente no AWS Key Management Service, oferecendo trilhas de auditoria melhores (cada descriptografia é registrada no CloudTrail) e controle da rotação de chaves. SSE-C usa chaves fornecidas pelo cliente, que são gerenciadas inteiramente pelo cliente fora da AWS. Para dados sensíveis, o SSE-KMS com chaves gerenciadas pelo cliente oferece o controle mais forte e as melhores evidências de conformidade.

Mesmo dados devidamente criptografados em repouso podem ser expostos se forem transmitidos por canais não criptografados. Todas as APIs de armazenamento em nuvem devem ser acessadas exclusivamente por meio de HTTPS/TLS. No S3, as políticas de buckets podem impor HTTPS negando solicitações com aws:SecureTransport: false. URLs pré-assinadas — URLs autenticadas temporárias que concedem acesso a objetos por tempo limitado — devem sempre usar HTTPS e ser configuradas com tempos de expiração curtos para minimizar a janela de exposição caso sejam interceptadas.

Nem todos os dados exigem o mesmo nível de proteção. Dados sensíveis (PII, PHI, registros financeiros) devem ser armazenados em buckets criptografados e com acesso restrito, com o registro de auditoria habilitado. Dados menos sensíveis podem ter acesso mais amplo. Rótulos de classificação de dados devem ser aplicados durante a criação do objeto e usados para encaminhar automaticamente os dados para um armazenamento configurado adequadamente. Políticas que movem automaticamente os dados para um armazenamento mais seguro com base em etiquetas de classificação reduzem a possibilidade de dados sensíveis acabarem em buckets de baixa segurança.

O registro de acesso é fundamental para detectar acessos não autorizados posteriormente e para auditorias de conformidade. Os registros de acesso do AWS S3 e o registro de eventos de dados do CloudTrail registram cada chamada de API no nível do objeto — quem solicitou um objeto, a partir de qual IP e em que horário. O registro de diagnóstico do Azure Blob e os registros de auditoria do GCS oferecem recursos semelhantes. Sem esses registros, não há evidências forenses quando uma violação de dados é descoberta, tornando impossível determinar o escopo da exposição.

O armazenamento em nuvem costuma ser compartilhado entre contas (desenvolvimento, preparação, produção e parceiros terceirizados). O acesso entre contas configurado sem cuidado pode conceder permissões excessivas. As boas práticas incluem: usar IDs de contas explícitos nas políticas de buckets em vez de entidades curinga; usar AWS Organizations SCPs para restringir quais contas externas podem receber acesso; auditar regularmente as concessões entre contas; e preferir AWS PrivateLink ao acesso pela internet pública para transferências de dados entre contas.

O versionamento de objetos mantém todas as versões de um objeto, inclusive as versões excluídas. Isso protege contra exclusão acidental, criptografia de objetos por ransomware e ameaças internas. Para dados críticos, combine o versionamento com Object Lock (equivalente ao S3 Glacier Vault Lock) — uma política WORM (Write Once, Read Many) que impede qualquer exclusão ou modificação durante um período de retenção definido. O Object Lock pode atender aos requisitos regulatórios de registros imutáveis nos setores financeiro e de saúde.

As ferramentas de Cloud Security Posture Management (CSPM) verificam automaticamente as configurações do armazenamento em nuvem em relação a referências de segurança. As verificações do CSPM incluem: há buckets acessíveis publicamente? A criptografia em repouso está habilitada? O registro de eventos está habilitado? O versionamento está habilitado nos buckets críticos? As políticas de buckets são permissivas demais? Ferramentas de CSPM como Prisma Cloud, Wiz e AWS Security Hub oferecem monitoramento contínuo de conformidade e alertam sobre desvios de configuração antes que os invasores os encontrem.

URLs pré-assinadas concedem acesso por tempo limitado a objetos específicos sem exigir que o destinatário tenha credenciais da AWS. Elas são úteis para compartilhar arquivos com partes externas. Os riscos de segurança incluem: URLs com tempos de expiração excessivamente longos, que persistem além do período pretendido de compartilhamento; URLs encaminhadas pelos destinatários para além do público previsto; e tokens incorporados às URLs que aparecem nos registros do servidor. Sempre defina o menor tempo de expiração viável e evite registrar URLs pré-assinadas.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: configurações incorretas de buckets públicos são a causa mais comum de violações de dados no armazenamento em nuvem; SSE-KMS oferece o controle de criptografia mais forte, com registro de auditoria por meio do CloudTrail; e o versionamento de objetos combinado com Object Lock protege contra ransomware e exclusão interna de dados críticos. A seguir, exploraremos a identidade na nuvem com funções do IAM e contas de serviço.