O que é uma CNAPP e porque é essencial na segurança da cloud?

Atualmente é fácil e relativamente comum utilizar serviços na cloud, quer seja para programação avançada ou simplesmente para “testar umas coisas”. Mas, mesmo os testes e as pessoas menos profissionais nesta área, precisam de estar protegidas.

De um ponto de vista profissional, um problema de segurança pode significar comunicação à CNPD por violação do RGPD e aos seus utilizadores, enquanto para uma pessoa que está a dar os primeiros passos pode significar uma desmotivação extrema, e acabar por deixar de programar ou virar-se para outra coisa.

A verdade é que a tecnologia cloud, bem como as suas grandes vantagens, é cada vez um potencial maior em termos de rapidez, fiabilidade e facilidade de acesso. Muitas empresas com infraestrutura cloud como a Amazon, Azure, entre outras, oferecem serviços que devem ser geridos pelos próprios utilizadores que os compram. Mas será que os sabem gerir? E será que sabem acautelar problemas de segurança?

A diferença de uma cloud para um servidor de "ferro"

Um servidor físico tem recursos específicos e máximos, e para o aumentar é preciso mudar de servidor. O processo de mudança pode implicar downtime de aplicações, o que nunca é boa ideia. No entanto, aqui há controlo de tudo, como a RAM, tipo de servidor, etc. Normalmente já vem configurado com “acesso à rede”.

Por outro lado, a cloud é do fornecedor que está a usar. Mas toda a configuração está do lado do utilizador, e quando dizemos toda, é mesmo toda: IAM, storage, networking, políticas, backups e segurança. Podemos, por isso, dizer que a maioria dos incidentes em cloud são provocados não por hacking, mas por configurações erradas.

Depois temos a escalabilidade. Se precisar de mais recursos, o servidor dedicado não vai poder dar mais do que tem. A cloud, por outro lado, com alguns cliques pode dar mais RAM, CPU, etc. A escalabilidade é boa, mas é preciso saber usá-la, para não pagar muito por algo que não é necessário.

O preço da cloud: será que compensa?

Vamos pensar num projeto que está a crescer. Num servidor fixo paga o que há a pagar por mês, e mais nada. Num servidor cloud, o pagamento é “pay as you go”, ou paga à medida que vai usando, e pode reduzir ou aumentar recursos.

Mas, o modelo cloud exige vigilância constante, porque uma má configuração ou abusos de segurança (por exemplo, tokens expostos) podem significar um aumento significativo da fatura no final do mês.

A configuração de segurança para uma cloud

Um projeto grande exige escalabilidade. E deve concentrar-se em gerir várias funcionalidades, tais como buckets, roles, policies, funções serverless, containers, bases de dados geridas, redes virtuais, load balancers. É complicado, mas não é impossível.

Para ajudar a gerir tudo isso, existe o CNAPP. Uma plataforma que protege serviços na nuvem e se integra diretamente com essa mesma nuvem. Ou seja, funciona em vários fatores ou camadas, nomeadamente em detetar configurações erradas, analisar permissões e acessos, verificar vulnerabilidades em imagens e containers, monitorizar workloads, auditar a infraestrutura, controlar APIs e endpoints e integrar com pipelines.

Ou seja, em bom português, faz tudo de "fio a pavio" numa cloud, garantindo a compliance, segurança e fiabilidade.

É importante referir que o CNAPP não substitui conhecimento técnico. Antes pelo contrário, ajuda o conhecimento técnico a não cair no erro humano. Ou seja, a plataforma alerta e recomenda, mas é o utilizador da cloud que deve implementar. É como uma ferramenta de auditoria, que dá sugestões, sem as implementar.

E a facilidade prática é notória, porque deixa de andar em vários dashboards ao mesmo tempo a procurar informação, tendo tudo num único local e pronto a ser visualizado.

O conceito de servidor físico morreu?

Apesar de todas as vantagens da cloud e da presença massiva de soluções modernas de segurança como o CNAPP, a verdade é que não faz sentido declarar a morte do servidor físico. Ainda é bom e vantajoso para projetos simples ou médios, que podem beneficiar de soluções simples e previsíveis. Aliás, para quem está a começar, pode até ser mais seguro, mas a longo prazo, pode tornar-se insustentável.

Mudar de servidor a cada três meses para um melhor retira o foco no crescimento de um site ou aplicação e coloca-o na transição contínua de perpetuar uma perda de tempo na migração em vez de existir foco no crescimento.

A decisão pelo melhor serviço

No fundo, a decisão não é entre servidor físico e cloud, mas sim aquilo que o projeto precisa. Mas, se no servidor físico temos WAF (Web Application Firewall) na cloud temos definitivamente o CNAPP, muito mais versátil e com uma visão 360º.

Não existe uma resposta universal, mas sabemos que quanto mais complexidade existir, mais uma cloud terá vantagem, e para usar cloud deve ter inevitavelmente o CNAPP, sob pena de se arriscar a incidentes de segurança por configurações incorretas e não por vulnerabilidades aplicacionais.