Desafios de segurança em nuvem para um grande conglomerado varejista

Com o aumento dos pedidos online devido à pandemia, a escalabilidade de recursos de rede e TI tornou-se crítica para o negócio varejista da XXXXXXX. Diante dos diversos padrões de demanda dos clientes, o uso de uma plataforma baseada em nuvem para infraestrutura trouxe benefícios imensos. O provisionamento sob demanda de diversos recursos foi um fator-chave na adoção da nuvem e na escolha da Amazon AWS como plataforma preferencial.

No entanto, uma recente descoberta de um hack bem-sucedido de baixo nível nos servidores em nuvem trouxe à tona novos desafios e ameaças à segurança para o Cliente. A organização havia falhado claramente em proteger os serviços em nuvem e garantir que os riscos associados à computação em nuvem fossem gerenciados adequadamente. A descoberta do ataque durante uma auditoria reforçou a necessidade de expertise profissional para avaliar e implementar melhores práticas de segurança em nuvem.

Os especialistas em segurança em nuvem da NobleProg identificaram três áreas-chave a serem priorizadas:

• Identidade e autenticação baseadas em políticas.
• Controles de segurança de rede em nuvem com modelo zero trust.
• Uso de firewall de aplicação web de próxima geração para proteger todas as aplicações web.

Em colaboração com as equipes de TI e o negócio, identificamos grupos e funções claros para o acesso e gerenciamento dos recursos em nuvem, concedendo apenas os privilégios mínimos necessários para que cada grupo desempenhasse suas atividades. Realizou-se uma revisão completa das políticas de segurança para garantir a boa higiene de IAM, como políticas de senhas e outras medidas preventivas, além de implementar autenticação multifator para qualquer acesso administrativo.

Usando VPCs (Virtual Private Clouds) na AWS, segmentamos microsserviços para isolar aplicações críticas do negócio de outras cargas de trabalho. As sub-redes foram planejadas para adicionar uma camada extra de isolamento. Implementou-se também um firewall de próxima geração na nuvem para proteger todos os servidores de aplicações web contra ameaças.

Durante o engajamento, como parte das boas práticas de segurança em nuvem, descobrimos buckets de armazenamento mal configurados que estavam expondo acidentalmente alguns dados. Além disso, foi necessário reposicionar os firewalls de aplicação web para ficarem mais próximos dos microsserviços que executam as aplicações. Esses foram contratempos menores, mas lições valiosas. Vários outros controles foram propostos para garantir uma melhor segurança em nuvem, como soluções de inteligência contra ameaças e adição de controles de segurança de dados, mas, considerando as prioridades do negócio e o preparo da TI, foram inseridos no roadmap futuro.

Neste engajamento, a NobleProg avaliou com sucesso os riscos de segurança em nuvem para um cliente varejista e, utilizando nossa expertise, realizou a implementação da segurança em nuvem. Os principais resultados foram:

• Redução do risco de comprometimento de contas administrativas.
• Limitação do risco proveniente de ameaças às aplicações.
• Desenho seguro da infraestrutura em nuvem, limitando os danos caso ocorra um comprometimento.
• Um roadmap claro de controles e prioridades de implementação.
• Garantia de que o negócio possa continuar aproveitando as capacidades da nuvem, minimizando os riscos.