Seis dicas para reforçar a segurança de projetos em nuvem

Previsões mostram que as empresas querem explorar mais esses serviços, mas precisarão investir na segurança de suas redes e evitar falhas primárias.

Começou o ano, com ele as inevitáveis previsões quanto às prioridades do CIO e uma interrogação padrão: O que esperar da TI em 2014? Algumas pesquisas apontam novidades, como a impressão 3D; outras envolvem tendências que vêm despontando há algum tempo, como Big Data; outras, finalmente, se referem à evolução de tecnologias nossas conhecidas há alguns anos, a virtualização.
 
No grupo de evolução de tecnologias que o mercado já vem adotando amplamente, a computação em nuvem (contando evoluções como a nuvem híbrida e a nuvem pessoal) e segurança ainda figuram o topo da maioria das listas sobre tendências e prioridades dos CIOs para 2014.
 
As empresas tendem a utilizar cada vez mais a cloud computing diante das vantagens e economia que ela proporciona, e, ainda, para fazer frente às demandas relativas, por exemplo, à colaboração e BYOD (em inglês, Traga Seu Próprio Dispositivo). A tendência é de que as organizações explorem cada vez mais seu potencial, mas, para muitos, a segurança ainda paira como uma questão complicada, um desafio para 2014.
 
Alguns fatores devem ser levados em consideração para garantir a segurança na nuvem, já que o processo engloba pessoas, processos e tecnologia. Três áreas devem aparecer como prioritárias na TI em 2014. São elas: tecnologia em segurança, computação em nuvem e virtualização do data center inteiro, e não mais somente dos servidores. 
 
Com investimentos voltados nestas áreas, evitar algumas falhas primárias pode garantir aos gestores ainda mais sucesso nos projetos, afirma Sérgio Leandro, especialista em segurança e cloud computing e CEO da OS&T Informática, consultoria especializada em segurança de ambientes virtualizados e alta disponibilidade da informação.
 
Veja a seguir seis recomendações do especialista para reforçar a segurança dos projetos em nuvem da sua empresa:
 
1) Ausência da equipe de segurança nos processos de virtualização 
 
Segundo levantamento do Gartner, cerca de 40% dos projetos de desenvolvimento em virtualização foram colocados em prática sem envolver a equipe de segurança de dados nas fases iniciais de arquitetura e planejamento. 
 
Embora colaboradores argumentem que não há alterações significativas que justifiquem o envolvimento da área de segurança, os projetos ignoram que há uma nova camada de software introduzida quando as cargas de trabalho são virtualizadas e que deve ser protegida.
 
2) Empenho da camada de virtualização pode afetar todos os fluxos hospedados
 
A camada de virtualização representa outra importante plataforma na infraestrutura de TI e assim como outros softwares desenvolvidos por pessoas, contém vulnerabilidades embutidas que podem ser exploradas. Invasores já começaram a ter como alvo a camada de máquinas virtuais para comprometer todas as cargas de trabalho abaixo dela. 
 
Da perspectiva de segurança de TI e gerenciamento, é importante que esta camada seja corrigida e guias de configuração sejam estabelecidas.
 
3) Ausência de controle sobre redes virtuais internas deixam a segurança às cegas
 
O tráfego gerado na comunicação entre máquinas virtuais (VMs) por meio de redes virtuais de software e switches inseridos nos equipamentos físicos pode ficar invisível para dispositivos de segurança de rede, como sistemas de prevenção de intrusos. 
 
Para evitar o problema, recomenda que as mesmas políticas de segurança aplicadas às redes físicas envolvam os ambientes virtuais.
 
4) Cargas de trabalho de diferentes níveis de acesso são consolidadas sem as devidas divisões
 
O crescimento do nível de virtualização em sistemas críticos e cargas de trabalho mais sensíveis pode tornar-se um problema quando cargas de trabalho de diferentes áreas de segurança são consolidadas em um mesmo servidor físico, sem uma separação adequada.  
 
As organizações devem tratar cargas de trabalho hospedadas virtualmente como inseguras e isolá-las fortemente do restante do data center físico.
 
 5)  Carência de controle de acesso e ferramentas de administração da camada de máquinas virtuais
 
Tendo em vista o suporte crítico que a camada hypervisor/Virtual Machine Mode (VMM) oferece, o acesso administrativo a este ambiente deve ser altamente controlado. 
 
A missão é complicada, porém, pelo fato de que a maior parte das plataformas de virtualização dispõe de muitos caminhos para a administração desta camada. 
 
A recomendação é restringir o acesso à camada de virtualização assim como se faz com qualquer sistema mais sensível, além de avaliar a adoção de ferramentas de terceiros para blindar o controle administrativo.
 
6) Perda potencial de separação de funções de rede e controles de segurança
 
Quando servidores físicos são consolidados em uma única máquina, aumenta o risco de que administradores de sistemas e usuários ganhem acesso. É preciso definir qual grupo configura e dá suporte ao switch virtual interno. 
 
Neste caso, o aconselhável é que o mesmo grupo responsável pela configuração da topologia física da rede – incluindo LANs virtuais – seja responsável pelo ambiente virtual.
 
*Sérgio Leandro é  especialista em segurança e cloud computing e CEO da OS&T Informática
 
Fonte:  Computer World