Gerenciamento da Postura de Segurança na Nuvem (CSPM)

O gerenciamento da postura de segurança na nuvem avalia continuamente as configurações da infraestrutura de nuvem em relação a referências de segurança e estruturas de conformidade. As ferramentas de CSPM descobrem recursos automaticamente, detectam configurações incorretas e priorizam correções em ambientes multinuvem.

Os verificadores tradicionais de vulnerabilidades avaliam o software em execução nos hosts. As ferramentas de CSPM avaliam o plano de controle da nuvem — políticas do IAM, configurações de rede, permissões de armazenamento e configurações de registro — identificando riscos de configuração antes que sejam explorados.

O Security Hub agrega descobertas de serviços da AWS (GuardDuty, Inspector, Macie) e de ferramentas de terceiros. Ele relaciona as descobertas às referências do CIS, ao NIST e ao PCI-DSS, oferecendo um painel unificado com classificação de gravidade e orientações de correção.

O Prowler é uma ferramenta de CSPM gratuita e de código aberto que executa mais de 400 verificações em ambientes da AWS. Execute-a pela CLI ou por um fluxo de CI/CD para gerar relatórios HTML/JSON/CSV conforme o CIS, o NIST, o SOC2 e outras estruturas.

O Azure Defender for Cloud fornece CSPM para ambientes do Azure, da AWS e do GCP. O Secure Score mede a postura de conformidade, as recomendações são priorizadas pelo impacto e as opções de correção automática reduzem o esforço manual para configurações incorretas comuns.

O SCC centraliza as descobertas de segurança nos serviços do GCP. Os detectores integrados encontram depósitos públicos, regras de firewall abertas e lacunas nos registros de auditoria. A camada Premium acrescenta detecção de ameaças e avaliação de vulnerabilidades para máquinas virtuais GCE e imagens de contêiner.

As referências do CIS fornecem orientações prescritivas de reforço de segurança para AWS, Azure e GCP. O NIST 800-53 corresponde aos controles de nuvem. As ferramentas de CSPM avaliam a conformidade com base nessas referências, criando métricas mensuráveis da postura de segurança ao longo do tempo.

Nem todas as descobertas têm a mesma importância. Priorize com base na criticidade do ativo, na explorabilidade, na exposição (voltada para a internet ou interna) e na sensibilidade dos dados. Um depósito S3 público contendo PII recebe uma pontuação muito mais alta do que uma lacuna de registros em uma conta de desenvolvimento.

As ferramentas de CSPM detectam desvios de configuração — quando um recurso era seguro, mas uma alteração o tornou não conforme. O monitoramento contínuo identifica alterações manuais de configuração que ignoram os fluxos de IaC. Emita alertas sobre desvios para aplicar os princípios da infraestrutura imutável.

Antecipe o CSPM para as etapas iniciais verificando modelos do Terraform e do CloudFormation antes da implantação com ferramentas como Checkov, tfsec ou cfn-nag. Identificar curingas do IAM ou grupos de segurança abertos durante a revisão de PR impede que configurações incorretas cheguem à produção.

Prisma Cloud, Wiz e Orca Security oferecem CSPM unificado nos ambientes da AWS, do Azure e do GCP. A visibilidade centralizada é essencial para organizações que utilizam vários provedores de nuvem, evitando pontos cegos e a aplicação inconsistente de políticas.

Qual é a principal diferença entre CSPM e a verificação tradicional de vulnerabilidades?

As ferramentas de CSPM auditam continuamente a infraestrutura de nuvem em relação a referências de segurança, detectam configurações incorretas antes da exploração e fornecem orientações priorizadas de correção. Combinado à verificação antecipada no CI/CD, o CSPM cria uma postura proativa de segurança na nuvem.