Como proteger ambientes de plataforma como serviço (PaaS)?

Você está usando PaaS para seus aplicativos, mas não sabe como protegê-los?

Uma plataforma como serviço (PaaS) é um modelo de computação em nuvem que fornece uma plataforma na qual os clientes podem desenvolver, proteger, executar e gerenciar aplicativos da web. Ele fornece um ambiente otimizado onde as equipes podem desenvolver e implantar aplicativos sem comprar e gerenciar a infraestrutura de TI subjacente e os serviços associados.

Geralmente, a plataforma fornece os recursos e a infraestrutura necessários para suportar todo o ciclo de vida do desenvolvimento e implantação de software, permitindo que desenvolvedores e usuários acessem de qualquer lugar na Internet. Os benefícios da PaaS incluem, entre outros, simplicidade, conveniência, custos mais baixos, flexibilidade e escalabilidade.

Normalmente, a proteção de uma PaaS difere do data center local tradicional, como veremos.

Um ambiente de PaaS depende de um modelo de segurança compartilhada. O provedor protege a infraestrutura enquanto os clientes PaaS têm a responsabilidade de proteger suas contas, aplicativos e dados hospedados na plataforma. Idealmente, a segurança muda do modelo de segurança local para o de perímetro de identidade.

Isso significa que o cliente PaaS deve se concentrar mais na identidade como o perímetro de segurança primário. Os problemas a serem focados incluem proteção, teste, código, dados e configurações, funcionários, usuários, autenticação, operações, monitoramento e logs.

Isso é muito o que fazer. Não é?

Não se preocupe; deixe-me guiá-lo passo a passo.

Proteja os aplicativos contra ataques comuns e inesperados

Uma das melhores abordagens é implantar uma solução de proteção automática em tempo real com a capacidade de detectar e bloquear automaticamente qualquer ataque . Os assinantes de PaaS podem usar as ferramentas de segurança fornecidas na plataforma ou procurar opções de terceiros que atendam aos seus requisitos.

Uma ferramenta ideal deve fornecer proteção em tempo real enquanto detecta e bloqueia automaticamente o acesso não autorizado, ataques ou violações.

Fonte: comodo.com

Ele deve ter a capacidade de verificar atividades incomuns, usuários mal-intencionados, logins suspeitos, bots ruins, invasões de contas e qualquer outra anomalia que possa levar a um comprometimento. Além do uso de ferramentas, há a necessidade de embutir segurança no aplicativo para que ele tenha sua proteção.

Proteja contas de usuário e recursos de aplicativos

Cada ponto de interação é geralmente uma superfície de ataque potencial. A melhor maneira de prevenir ataques é reduzir ou limitar a exposição das vulnerabilidades e recursos do aplicativo que usuários não confiáveis ​​podem acessar. Também é importante corrigir e atualizar regularmente e automaticamente os sistemas de segurança para reduzir os pontos fracos.

Embora o provedor de serviços proteja a plataforma, o cliente tem uma responsabilidade mais significativa de proteger a conta e os aplicativos. Isso significa que o uso de um conjunto de estratégias de segurança, como uma combinação de recursos de segurança de plataforma integrados, complementos e ferramentas de terceiros, aprimora a proteção de contas, aplicativos e dados. Além disso, garante que apenas usuários ou funcionários autorizados possam acessar o sistema.

Outra medida é reduzir ao mínimo o número de funcionários com direitos administrativos e estabelecer um mecanismo de auditoria para identificar atividades de risco por parte das equipes internas e usuários externos autorizados.

Os administradores também devem aplicar os privilégios mínimos de usuário. Com essa abordagem, os usuários devem ter apenas os privilégios mínimos que os permitem executar aplicativos ou desempenhar outras funções adequadamente. Isso reduz a superfície de ataque, o uso indevido dos direitos de acesso e a exposição de recursos privilegiados.

Examine o aplicativo em busca de vulnerabilidades de segurança

Realize uma avaliação de risco para identificar se existem ameaças ou vulnerabilidades de segurança nos aplicativos e suas bibliotecas. Use as descobertas para melhorar a proteção de todos os componentes. O ideal é estabelecer um digitalização regular e programe-o para ser executado diariamente automaticamente ou em qualquer outro intervalo, dependendo da sensibilidade do aplicativo e de possíveis ameaças à segurança.

Se possível, use uma solução que possa se integrar a outras ferramentas, como software de comunicação, ou que tenha um recurso embutido para alertar as pessoas relevantes sempre que identificar uma ameaça ou ataque à segurança.

Teste e corrija problemas de segurança nas dependências

Normalmente, os aplicativos dependem de dependências diretas e indiretas, que são principalmente de código aberto. Quaisquer falhas nesses componentes têm o potencial de introduzir vulnerabilidades de segurança no aplicativo se não forem corrigidas.

Uma boa prática é analisar todos os componentes internos e externos dos aplicativos, realizar testes de penetração de API, verificar redes de terceiros e muito mais. Alguns dos meios eficazes para corrigir as vulnerabilidades incluem atualizar ou substituir a dependência por uma versão segura, aplicar patches, etc.

Snyk valeria a pena tentar monitorar falhas de segurança nas dependências.

Realizar testes de penetração e modelagem de ameaças

Teste de penetração ajuda a identificar e resolver falhas de segurança ou vulnerabilidades antes que os invasores possam encontrá-los e explorá-los. Como os testes de penetração geralmente são agressivos, eles podem aparecer como ataques DDoS, e é essencial coordenar com outras equipes de segurança para evitar a criação de falsos alarmes.

A modelagem de ameaças envolve simulando possíveis ataques isso viria de limites confiáveis. Isso ajuda a verificar se há falhas de design que os invasores podem explorar. A modelagem equipa as equipes de TI com inteligência de ameaças, que elas podem usar para aumentar a segurança e desenvolver contramedidas para lidar com qualquer fraqueza ou ameaça identificada.

Monitorar atividades e acesso a arquivos

Monitorar as contas privilegiadas permite que as equipes de segurança ganhem visibilidade e entendam como os usuários estão usando a plataforma. Ele permite que as equipes de segurança determinem se as atividades de usuários privilegiados têm riscos potenciais de segurança ou problemas de conformidade.

Monitore e registre o que os usuários estão fazendo com seus direitos, bem como as atividades nos arquivos. Isso procura problemas como acesso suspeito, modificações, downloads ou uploads incomuns, etc. Um monitoramento de atividade de arquivo também deve fornecer uma lista de todos os usuários que acessaram um arquivo caso haja necessidade de investigar uma violação.

Uma solução certa deve ter a capacidade de identificar ameaças internas e usuários de alto risco, procurando problemas como logins simultâneos, atividades suspeitas e muitas tentativas de login com falha. Outros indicadores incluem login em horários estranhos, downloads ou uploads suspeitos de arquivos e dados etc.

Dados seguros em repouso e em trânsito

A melhor prática é criptografar os dados durante o armazenamento e quando em trânsito. Proteger os canais de comunicação evita possíveis ataques man-in-the-middle à medida que os dados trafegam pela Internet.

Se ainda não, implemente HTTPS habilitando o certificado TLS para criptografar e proteger o canal de comunicação e, consequentemente, os dados em trânsito.

Sempre valide os dados

Isso garante que os dados de entrada estejam no formato correto, válido e seguro.

Todos os dados, sejam de usuários internos ou de equipes de segurança externas confiáveis ​​e não confiáveis, precisam tratar os dados como componentes de alto risco. Idealmente, realizar a validação no lado do cliente e verificações de segurança antes do upload de dados garantirá que apenas dados limpos passem enquanto bloqueia arquivos comprometidos ou infectados por vírus.

Código de segurança

Analise o código em busca de vulnerabilidades durante o ciclo de vida do desenvolvimento. Isso começa nos estágios iniciais e os desenvolvedores só devem implantar o aplicativo na produção após confirmar que o código é seguro.

Aplicar autenticação multifator

Habilitar uma autenticação multifator adiciona uma camada extra de proteção que melhora a segurança e garante que apenas usuários autorizados tenham acesso aos aplicativos, dados e sistemas. Isso pode ser uma combinação de senha, OTP, SMS, aplicativos móveis, etc.

Aplique uma política de senha forte

A maioria das pessoas usa senhas fracas que são fáceis de lembrar e podem nunca alterá-las, a menos que sejam forçadas. Este é um risco de segurança que os administradores podem minimizar aplicando políticas de senha fortes.

Isso deve exigir senhas fortes que expiram após um período definido. Outra medida de segurança relacionada é parar de armazenar e enviar credenciais de texto simples. Idealmente, criptografe os tokens de autenticação, credenciais e senhas.

Usar autenticação e autorização padrão

A prática recomendada é usar mecanismos e protocolos de autenticação e autorização padrão, confiáveis ​​e testados, como OAuth2 e Kerberos. Embora você possa desenvolver códigos de autenticação personalizados, eles são propensos a erros e vulnerabilidades e, portanto, podem expor os sistemas a invasores.

Principais processos de gerenciamento

Use chaves criptográficas fortes e evite chaves curtas ou fracas que os invasores possam prever. Além disso, use mecanismos seguros de distribuição de chaves, alterne as chaves regularmente, sempre as renove no prazo, revogue-as quando necessário e evite codificá-las nos aplicativos.

O uso de uma rotação automática e regular de chaves melhora a segurança e a conformidade, ao mesmo tempo em que limita a quantidade de dados criptografados em risco.

Gerencie o acesso a aplicativos e dados

Desenvolva e aplique uma política de segurança gerenciável e auditável com regras de acesso rígidas. A melhor abordagem é conceder aos funcionários e usuários autorizados apenas os direitos de acesso necessários e nada mais.

Isso significa atribuir os níveis corretos de acesso apenas aos aplicativos e dados necessários para o desempenho de suas funções. Além disso, deve haver monitoramento regular de como as pessoas usam os direitos atribuídos e revogar aqueles que estão fazendo uso indevido ou não exigem.

Operação em andamento

Existem várias coisas para fazer.

• Realização de testes contínuos, manutenção regular, correção e atualização dos aplicativos para identificar e corrigir vulnerabilidades de segurança emergentes e problemas de conformidade.
• Estabelecer um mecanismo de auditoria para ativos, usuários e privilégios. As equipes de segurança devem revisá-los regularmente para identificar e resolver quaisquer problemas, além de revogar os direitos de acesso que os usuários estão usando indevidamente ou não exigem.
• Desenvolva e implante um plano de resposta a incidentes que mostre como lidar com ameaças e vulnerabilidades. Idealmente, o plano deve incluir tecnologias, processos e pessoas.

Colete e analise logs automaticamente

Os aplicativos, APIs e logs de sistemas fornecem muitas informações. Implantando uma ferramenta automática para coletar e analisar os logs fornece informações úteis sobre o que está acontecendo. Na maioria das vezes, os serviços de registro, disponíveis como recursos integrados ou complementos de terceiros, são ótimos para verificar a conformidade com políticas de segurança e outros regulamentos, bem como para auditorias.

Use um analisador de log que se integre ao sistema de alertas, suporte suas pilhas de tecnologia de aplicativos e forneça um painel, etc.

Manter e revisar uma trilha de auditoria

É uma prática recomendada armazenar uma trilha de auditoria das atividades do usuário e do desenvolvedor, como tentativas de login bem-sucedidas e malsucedidas, alterações de senha e outros eventos relacionados à conta. Um recurso automático pode usar contadores para proteger contra atividades suspeitas e inseguras.

A trilha de auditoria pode ser benéfica para investigar quando há uma violação ou suspeita de um ataque.

Conclusão

Um modelo de PaaS elimina a complexidade e o custo de aquisição, gerenciamento e manutenção de hardware e software, mas coloca a responsabilidade de proteger as contas, aplicativos e dados do cliente ou assinante. Isso requer uma abordagem de segurança centrada na identidade que difere das estratégias que as empresas usam em data centers locais tradicionais.

Medidas eficazes incluem a construção de segurança nos aplicativos, fornecendo proteção interna e externa adequada, bem como monitoramento e auditoria das atividades. Avaliar os logs ajuda a identificar vulnerabilidades de segurança, bem como oportunidades de melhoria. Idealmente, as equipes de segurança devem tentar lidar com qualquer ameaça ou vulnerabilidade antes que os invasores as vejam e as explorem.