A maior superfície de ataque hoje é a sua cloud.
Revisão de configuração, identidade e segmentação em AWS, Azure e GCP. A maior parte dos incidentes em nuvem não começa por uma falha do provedor: começa por uma permissão ampla demais, um recurso exposto sem intenção ou um segredo esquecido.
Em nuvem, o erro raramente está no provedor
O modelo de responsabilidade compartilhada divide as tarefas: o provedor cuida da infraestrutura, e a configuração é sua. É nessa metade que os incidentes acontecem — um bucket aberto para conveniência de um teste, um papel com permissão administrativa concedida às pressas, uma rede sem segmentação porque a entrega estava atrasada. Nada disso aparece como vulnerabilidade em uma varredura; aparece como decisão de configuração que ninguém revisitou.
- Permissão concedida em caráter temporário quase nunca é revogada depois.
- Recurso criado fora do processo padrão não herda as proteções que o processo aplica.
- Segredo em variável de ambiente e em repositório continua sendo o caminho mais curto para dentro.
- Sem segmentação, um único acesso alcança contas e ambientes que deveriam estar separados.
O que está incluído
Escopo abaixo é o padrão para um engajamento típico. Tudo é ajustável durante a call de scoping, sem custo.
- Políticas amplas e uso de curinga em ação e recurso
- Papéis assumíveis e cadeia de elevação de privilégio
- Chaves de acesso de longa duração e rotação
- Federação, provedor de identidade e sessão
- Contas de serviço e permissão de carga de trabalho
- Separação entre administração e operação
- Exposição pública de objeto e de contêiner
- Cifragem em repouso e gestão de chave
- Política de acesso e compartilhamento entre contas
- Versionamento, retenção e proteção contra remoção
- Cópia de segurança e teste de restauração
- Dado sensível fora do repositório previsto
- Regras de entrada abertas para toda a internet
- Segmentação entre ambientes e entre contas
- Balanceador, gateway e terminação de tráfego
- Serviço de gestão alcançável de fora
- Conexões privadas e emparelhamento de rede
- Superfície de contêiner e de orquestração
- Trilha de auditoria ativa em todas as regiões
- Retenção e proteção do próprio registro
- Cobertura de evento de plano de controle
- Alerta para mudança sensível de permissão
- Centralização em conta separada
- Integração com o monitoramento existente
- IAM, papéis, políticas e federação de identidade
- VPC, grupos de segurança, NACL, peering e exposição pública
- S3, RDS, DynamoDB, Blob Storage e Cloud Storage
- EC2, Lambda, ECS, EKS, AKS e GKE
- CloudTrail, AWS Config, Microsoft Sentinel e Security Command Center
- Provedores de identidade e SSO federado
Modalidades
ajustáveis ao escopoRevisão de configuração
Leitura sistemática do ambiente a partir de acesso de auditoria: identidade, rede, armazenamento, registro e proteção de dado, comparados com a documentação do próprio provedor e com referências públicas.
Teste de caminho
Em vez de listar configuração, partimos de uma posição plausível — credencial de aplicação, contêiner comprometido, usuário comum — e verificamos até onde ela chega dentro do ambiente.
Revisão contínua e de infraestrutura como código
Análise dos modelos e módulos que criam o ambiente, mais um ciclo recorrente de verificação. Corrigir na origem evita que o mesmo desvio volte a cada nova conta, projeto ou implantação.
Quando revisar o ambiente em nuvem
Configuração em nuvem muda todo dia, por muitas mãos. Alguns momentos concentram risco mais do que outros.
Ambiente movido às pressas costuma carregar permissão ampla concedida para destravar a virada, com a promessa de ajustar depois — e o depois raramente chega.
Cada time criou a sua, cada projeto abriu a sua. Sem padrão central, as proteções ficam desiguais e ninguém tem visão do conjunto.
Gasto anômalo às vezes é desperdício, às vezes é recurso criado por alguém que não deveria ter permissão para criá-lo. Vale saber qual dos dois.
Evidência de controle em nuvem é hoje item obrigatório na maioria dos questionários. Melhor encontrar a lacuna antes de quem vai avaliar.
Como conduzimos
[pipeline]Levantamento do ambiente
Começamos pelo que existe: contas, assinaturas, projetos, regiões ativas e recursos em uso. Ambiente em nuvem quase sempre é maior do que a documentação sugere, e recurso fora do inventário é o que costuma estar sem proteção.
Análise de identidade e permissão
Mapeamos quem pode fazer o quê, incluindo o que é possível por herança e por assunção de papel. O interesse não é a política escrita, e sim a permissão efetiva — que costuma ser bem mais ampla do que quem a concedeu imagina.
Revisão de configuração
Armazenamento, rede, cifragem, registro, cópia de segurança e serviços gerenciados são comparados com a documentação do provedor e com referências públicas de configuração segura, anotando cada desvio e a razão pela qual ele importa naquele ambiente.
Verificação de alcance
Simulamos posições realistas de partida e medimos o alcance de cada uma: o que uma credencial de aplicação consegue ler, o que um contêiner comprometido alcança, se é possível atravessar de um ambiente para outro. É o que separa uma lista de desvios de um risco demonstrado.
Avaliação de registro e alerta
Verificamos se as ações executadas deixaram rastro, se o rastro está protegido contra remoção e se mudanças sensíveis de permissão geram alerta. Ambiente sem trilha confiável não permite investigar um incidente depois.
Relatório e plano de correção
Os desvios saem agrupados por causa, e não por recurso: dez itens que vêm da mesma política valem uma correção, não dez. Cada grupo recebe orientação aplicável e uma sugestão de como impedir a reincidência na origem.
Referências públicas que guiam a execução
A revisão se apoia na documentação dos próprios provedores e em referências abertas de configuração, o que torna cada apontamento verificável de forma independente.
- CIS Benchmarks
- As referências de configuração para AWS, Azure e GCP dão uma linha de base objetiva e verificável, item a item, para comparar o estado do ambiente.
- Well-Architected (pilar de segurança)
- O material de arquitetura de cada provedor descreve a prática recomendada por eles mesmos, o que evita discussão sobre a origem da recomendação.
- Modelo de responsabilidade compartilhada
- Define com clareza onde termina a responsabilidade do provedor e começa a sua — a fronteira exata onde a maior parte dos incidentes acontece.
- MITRE ATT&CK for Cloud
- A matriz específica de nuvem dá nome às técnicas de abuso de identidade, persistência e coleta, e serve para avaliar a cobertura da detecção.
- NIST SP 800-53
- O catálogo de controles é a ponte entre o achado técnico e a linguagem que a área de governança e a auditoria usam.
- Princípio do menor privilégio
- Não é uma norma, é o critério que orienta a análise de permissão: cada identidade deveria alcançar apenas o necessário, e todo desvio precisa de justificativa explícita.
- Azure Security Benchmark
- A linha de base própria da Microsoft para Azure, usada quando o ambiente é majoritariamente Azure e a auditoria espera essa referência.
- CSA Cloud Controls Matrix
- A matriz de controles da Cloud Security Alliance mapeia os domínios de segurança em nuvem e cruza com outras normas, o que ajuda quando o questionário do cliente é longo.
- ISO/IEC 27017 e 27018
- As normas específicas de segurança em nuvem e de dado pessoal em nuvem, frequentemente citadas em contrato com cliente corporativo.
- Mapeamento para LGPD e PCI-DSS
- Quando o ambiente trata dado pessoal ou dado de cartão, cada achado sai também referenciado ao requisito correspondente, para servir direto à evidência.
Entregáveis
dupla visão · NDAInventário do que existe
A lista real de contas, projetos, regiões e recursos ativos. Para muitos times esta é a primeira entrega útil, porque revela ambiente que ninguém lembrava de ter.
Mapa de permissão efetiva
Quem alcança o quê na prática, incluindo caminhos indiretos por herança e assunção de papel. É a peça que costuma surpreender mais do que a lista de configuração.
Desvios agrupados por causa
Os apontamentos organizados pela origem comum, com a referência pública correspondente. Corrigir a causa fecha vários itens de uma vez e evita a reincidência.
Caminhos demonstrados
Para os riscos mais relevantes, o percurso concreto: de onde parte, o que alcança e por que aquilo importa. Transforma desvio de configuração em risco compreensível.
Avaliação de trilha e detecção
O que ficou registrado das ações executadas, o que estava desligado e quais mudanças sensíveis passariam despercebidas hoje.
Plano de correção priorizado
Ordem de trabalho considerando risco e esforço, separando o que dá para resolver na configuração do que precisa mudar na infraestrutura como código para não voltar.
Perguntas frequentes
Não. A revisão é feita com um perfil somente leitura de auditoria, que os três provedores oferecem de forma nativa. Para a verificação de alcance combinamos separadamente credenciais específicas e limitadas, com escopo e prazo definidos por escrito.
Não substitui, complementa. Ferramenta de postura cobre volume e acompanha desvio de forma contínua, o que é valioso. O que ela não faz é encadear permissões para mostrar que uma credencial de aplicação alcança um dado que deveria estar isolado — e é essa demonstração que muda prioridade.
Sim. Ambiente misto é o caso comum, e a comparação entre provedores costuma revelar desigualdade de proteção: o mesmo tipo de recurso protegido em um e exposto em outro, porque times diferentes o criaram.
A orquestração entra no escopo: papéis e vínculos de acesso, contexto de segurança dos contêineres, política de rede entre serviços, exposição do plano de controle, gestão de segredo e a ligação entre a identidade do cluster e a identidade da nuvem — caminho frequente de escalada.
O ambiente que atende produção, no mínimo. Contas de desenvolvimento e homologação valem a inclusão quando têm caminho de rede ou de identidade para produção, o que é mais comum do que se supõe — e é justamente aí que a proteção costuma ser mais frouxa.
Corrigindo na origem. Quando o ambiente nasce de infraestrutura como código, a correção vai para o módulo e vale para toda implantação futura. O relatório indica, para cada grupo de desvio, se ele deve ser tratado no recurso ou no modelo que o cria.
Sim. Cada apontamento traz a referência pública correspondente e a evidência da configuração observada, em formato que um auditor consegue conferir de forma independente, sem precisar refazer a análise.
Pronto para descobrir suas falhas?
Primeira call de scoping é gratuita e coberta por NDA. Em 48 horas você recebe proposta técnica, escopo e cronograma. Sem formulários burocráticos.