A segurança de nuvem híbrida trata-se do conjunto de práticas, procedimentos e tecnologias usados para proteger um ambiente de nuvem híbrida.
A segurança da nuvem híbrida protege dados, aplicações e infraestruturas em uma combinação de ambientes de TI, incluindo hardware local, nuvens privadas e nuvens públicas. Para garantir a confidencialidade, integridade e disponibilidade de dados e aplicações à medida que o tráfego do cliente passa entre os ambientes, há a necessidade de acomodar as características únicas dos recursos de nuvem pública e privada e fornecer uma estrutura de segurança articulada.
A nuvem híbrida é um ambiente de computação que combina infraestrutura de computação da nuvem pública, como AWS, Microsoft Azure ou Google Cloud Platform, com a nuvem privada ou um data center local. A principal vantagem de uma nuvem híbrida é a agilidade: as organizações podem expandir os recursos conforme necessário e escolher onde as cargas de trabalho são processadas com base nos requisitos de segurança de dados, conformidade, sensibilidade da carga de trabalho ou desempenho.
A nuvem pública permite às empresas hospedar aplicações e dados em recursos de computação compartilhados de propriedade de um provedor de serviços terceirizados. Além disso, ela oferece acesso a recursos de computação quase ilimitados em um modelo “pague conforme o uso”, fornecendo economias significativas de dimensionamento sem a necessidade de investir em hardware de data center. A nuvem privada, por sua vez, é dedicada (não se trata de uma infraestrutura de nuvem compartilhada controlada pela empresa) e pode ser operada por um provedor de colocalização terceirizado ou hospedada em um data center privado e gerenciada pela organização.
As nuvens privadas podem oferecer maior controle e segurança mais robusta do que as nuvens públicas, tornando-as mais adequadas para processar ou armazenar dados confidenciais ou aplicações de missão crítica que exigem altos níveis de segurança, conformidade e personalização.
A multinuvem é outro tipo de nuvem, na qual as organizações costumam usar vários serviços de computação em nuvem de diferentes provedores de nuvem para atender às necessidades específicas de negócios e às demandas dos clientes. A segurança multinuvem fornece proteção consistente e abrangente para dados e aplicações implantados em várias plataformas de computação em nuvem de vários provedores de serviços na nuvem.
Existem diferenças fundamentais entre as seguranças de nuvem híbrida e multinuvem. A primeira concentra-se na proteção consistente de recursos em nuvens públicas e privadas. A segunda, por outro lado, está atrelada normalmente ao uso de serviços de vários provedores de nuvem e requer uma estratégia de segurança mais ampla para proteger contra a configuração incorreta, a exploração e a disseminação lateral de ameaças. A segurança de nuvem híbrida é, portanto, um subconjunto da segurança multinuvem.
O modelo de segurança de nuvem híbrida permite que as organizações protejam dados e aplicações confidenciais mantendo-os no local enquanto usam a nuvem pública para cargas de trabalho menos confidenciais. Ao isolar os dados e aplicações confidenciais da nuvem pública, é possível gerenciar melhor os riscos de segurança, reduzindo as consequências de violações de dados ou a probabilidade de ataques cibernéticos.
Essa abordagem de segurança oferece benefícios em termos de conformidade regulatória, pois permite às organizações manter dados confidenciais ou protegidos no local e, ao mesmo tempo, usar a nuvem pública para dados e cargas de trabalho menos confidenciais. O modelo de segurança de nuvem híbrida também permite que as organizações usem a nuvem pública como um local de recuperação de desastres no caso de uma interrupção, ou para expandir para a nuvem pública e, assim, lidar com picos de tráfego.
Implementar uma estratégia de segurança de nuvem híbrida pode trazer diversos benefícios para as organizações; no entanto, há também os desafios e riscos associados, como:
Um ambiente de nuvem híbrida seguro e compatível requer uma abordagem holística que inclua políticas e práticas de segurança consistentes, visibilidade de ponta a ponta e medidas fortes de governança e conformidade para garantir que as organizações possam colher os benefícios oferecidos pela nuvem híbrida sem comprometer sua postura de segurança.
A arquitetura da segurança de nuvem híbrida inclui proteção para aplicações, APIs, infraestrutura subjacente e cadeias de suprimentos de software. Como os dados são acessados ou disponibilizados por meio de data centers e ambientes na nuvem, eles devem ser criptografados para garantir que apenas usuários e aplicações válidos possam ter acesso e usá-los, normalmente por meio de um modelo de segurança Zero Trust que é o que determina que todas as solicitações de acesso a recursos, sejam originárias de dentro ou de fora da rede, devem ser verificadas, autenticadas e continuamente avaliadas para cada solicitação.
No perímetro da arquitetura, os servidores de nuvem de borda e os contêineres de aplicações passam pela microssegmentação [inserir link para a nova página do glossário de microssegmentação], uma técnica de segurança que envolve a divisão de uma rede em segmentos menores, cada um com suas próprias políticas e controles de segurança, para isolar e proteger ativos críticos de possíveis ameaças à segurança. Eles criam “zonas desmilitarizadas”, ou DMZs, que restringem o acesso a dados e servidores confidenciais e limitam o raio de “bursting” de um ataque. Essas DMZs servem como um buffer que permite que as organizações exponham determinados serviços à Internet pública, mantendo o resto da rede segura.
Os firewalls adicionam mais camadas de proteção, separando ainda mais os ambientes de nuvem dos recursos locais.
A segurança da nuvem híbrida consiste em três componentes: físico, técnico e administrativo.
Os controles físicos visam a proteção do equipamento em si, enquanto os controles técnicos protegem os sistemas de TI e de processamento. Os controles administrativos são implementados para tomar conta das ações humanas ou fatores naturais que podem afetar a segurança.
Os controles físicos são um aspecto vital da segurança da nuvem híbrida, pois protegem a infraestrutura física que suporta o ambiente de nuvem híbrida. As nuvens híbridas podem abranger vários locais, o que torna a segurança física um desafio especial e uma responsabilidade crítica.
Estes controles incluem restrições de acesso a data centers, espaços para servidores e outras áreas que contêm infraestrutura crítica. Sistemas de vigilância como câmeras de CFTV, detectores de movimento e sistemas de monitoramento do acesso à infraestrutura crítica e de detecção de atividades não autorizadas também são considerados controles físicos.
Eles também podem incluir sistemas de energia de backup, como uma fonte de alimentação ininterrupta (UPS) e geradores de backup, para garantir que o ambiente de nuvem híbrida continue operando durante quedas de energia.
As organizações devem celebrar acordos de nível de serviço (SLAs) com provedores de nuvem para definir como os padrões de segurança física serão atendidos.
Os controles técnicos são fundamentais para a segurança da nuvem híbrida e incluem:
A segurança é responsabilidade de todos os usuários, e os controles administrativos ajudam as pessoas a agir de maneira a aumentar a segurança.
As organizações devem fornecer programas de treinamento e conscientização para funcionários, contratados e outros usuários do ambiente de nuvem híbrida. Este treinamento deve abranger tópicos como práticas recomendadas de segurança na nuvem, classificação de dados, controle de acesso e resposta a incidentes, e deve ser adaptado às funções e responsabilidades específicas de cada parte interessada.
A arquitetura de nuvem híbrida oferece vantagens significativas para recuperação de dados e planejamento e preparação para desastres. Como as nuvens híbridas envolvem nuvens privadas e públicas, as organizações podem empregar a nuvem pública como um failover para dados e aplicações locais, permitindo backups, redundância e cenários de preparação e recuperação de desastres.
A segurança de nuvem híbrida é complexa e requer planejamento meticuloso, implementação e gerenciamento contínuo. Confira algumas práticas recomendadas que organizações que estão começando a desenvolver sua abordagem de segurança de nuvem híbrida não podem deixar de lado.
Gerenciar a conformidade e a governança em um ambiente de nuvem híbrida pode ser complexo e inclui as seguintes considerações.
Seguem abaixo soluções, serviços e ferramentas a serem considerados ao avaliar e selecionar recursos voltados a nuvens híbridas.
Confira algumas tendências de segurança de nuvem híbrida que estão surgindo, que mostram como ela pode evoluir nos próximos anos.
A nuvem híbrida já provou ser uma tecnologia revolucionária para muitas empresas, proporcionando a flexibilidade, dimensionamento e economia necessários para se manterem competitivas. No entanto, proteger a nuvem híbrida pode ser complexo e requer a estratégia de segurança de nuvem híbrida certa para garantir que dados confidenciais e cargas de trabalho sejam protegidos em todos os momentos.
Para ajudar a simplificar sua estratégia de nuvem híbrida, a F5 oferece um conjunto abrangente de ferramentas de segurança e gerenciamento que permanecem consistentes entre as nuvens e protegem dados e aplicações em vários ambientes de TI.
ARTIGO TÉCNICO
Nuvem híbrida na prática: F5, Azure e Azure Stack ›