Para obter segurança consistente para nuvem híbrida, olhe para a nuvem

Já em 2009, quando a nuvem estava apenas começando a ganhar força como a tecnologia com maior probabilidade de revolucionar, bem, tudo, muitos de nós começamos a olhar para o problema da consistência no nível da infraestrutura. Sob o apelido de “infraestrutura 2.0”, analisamos o papel da programabilidade – APIs, modelos, modelos de configuração – e a questão de alcançar provisionamento e aplicação de políticas consistentes no que então chamávamos de um mundo “intercloud” .

Hoje chamamos isso de híbrido ou multi-nuvem, e a questão ainda permanece: como alcançar consistência de política em um ambiente que incorpora modelos de infraestrutura tradicionais com computação em nuvem?

E isso ainda é um problema. A CloudPassage, uma provedora de segurança em nuvem gerenciada, encomendou uma pesquisa que obteve mais de 1.000 respostas sobre o tópico de nuvem e segurança, descobrindo que "consistência em toda a infraestrutura de TI" e "proteção contínua" foram os fatores mais importantes para proteger a infraestrutura de nuvem, com 60% e 58% dos entrevistados concordando, respectivamente. Quando questionados sobre métodos para fechar a lacuna de segurança na nuvem que continua a atormentar as organizações, o método número um citado foi a “capacidade de aplicar políticas de segurança consistentes e contínuas”. 

Esse desejo por paridade de políticas entre a nuvem e o local se mostrou novamente quando Nós (o Nós corporativo) conduzimos nossa pesquisa anual State of Application Delivery deste ano, na qual 48% dos mais de 3.000 entrevistados citaram “paridade de segurança e auditoria com o local” como um dos três principais requisitos de segurança para adoção da nuvem.

O problema que buscamos abordar em 2009 continua: como alcançar a paridade de políticas em toda a infraestrutura local e na nuvem sem reduzir a segurança ao mínimo necessário para oferecer suporte ao mais amplo conjunto de opções possível? Afinal, os modelos de configuração entre fornecedores já variam muito. Adicionar computação em nuvem à mistura apenas aumenta a variedade de modelos e métodos usados para gerenciar e controlar a segurança. Uma política de segurança de aplicativo padrão usada para implementar uma política de firewall de aplicativo da Web (WAF) no local, por exemplo, não pode ser simplesmente reutilizada por um provedor de nuvem. Uma política distinta deve ser criada, a qual deve ser mantida, gerenciada e auditada. Alcançar a paridade em tais situações exige atenção diligente para garantir que ambas as políticas estejam aplicando a mesma segurança em ambos os ambientes.

Isso é insustentável. É operacionalmente difícil, administrativamente caro e repleto de potencial para erros. Erros dispendiosos.

Uma das maneiras de atingir a consistência desejada é realmente olhar para a própria nuvem, para aqueles serviços de segurança que podem ser oferecidos como um serviço , na nuvem. Esses serviços geralmente podem ser identificados como sendo upstream do aplicativo e responsáveis pela inspeção e limpeza antes que as solicitações do aplicativo possam chegar ao aplicativo. Prevenção de DDoS, serviços WAF, mitigação de SPAM e detecção de malware estão todos na categoria de serviços de aplicativos upstream que podem ser efetivamente transferidos para um serviço baseado em nuvem para garantir a consistência da política em todos os aplicativos, independentemente de estarem na nuvem ou no local. Da mesma forma que uma CDN descarrega serviços de cache, essas opções de segurança como serviço fornecem consistência para ambientes de várias nuvens porque podem usar as mesmas políticas ou políticas básicas em vários aplicativos e ambientes.

A necessidade de aplicação consistente de políticas, especialmente aquelas relacionadas à segurança, só tende a crescer à medida que a Internet das Coisas se torna mais predominante e as organizações continuam a expandir sua presença não apenas na nuvem, mas em muitas nuvens. A variedade pode ser o tempero da vida, mas, por segurança, muitos cozinheiros estragam a sopa. E se eu pudesse encontrar mais uma expressão idiomática para misturar com minhas metáforas, eu o faria porque ela ilustra existencialmente o desafio que precisa ser enfrentado.

A segurança já é difícil o suficiente. Adicionar mais ambientes, mais sistemas e mais políticas diferentes à mistura só torna tudo mais difícil. E em um mundo onde há escassez de talentos em segurança, faz sentido buscar e aproveitar qualquer solução que facilite não apenas a implantação e o gerenciamento, mas também a aplicação de políticas de segurança em um mundo cada vez mais multifacetado.