Cobertura do Cloud Security por provedor
Os recursos que o Cloud Security lê, como ele resolve a exposição à internet, o que cada perfil de identidade traz e como as mudanças chegam em tempo real, na AWS, no Google Cloud e no Azure.
O Cloud Security funciona do mesmo jeito em todo provedor: cada recurso guarda a sua configuração com histórico de versões, as suas tags ou labels, o dono, o ambiente e a criticidade, e os relacionamentos que o ligam aos demais. Esta página lista o que muda de um provedor para outro: os recursos lidos, os elementos que decidem a exposição à internet, o perfil de identidade e como uma mudança chega em tempo real.
AWS
Recursos
| Área | Recursos |
|---|---|
| Identidade | Usuários, roles, grupos, policies e access keys |
| Rede | VPCs, subnets, gateways, tabelas de rota, security groups, load balancers, API gateways e CloudFront |
| Computação | Instâncias, launch templates, containers, funções Lambda e clusters EKS |
| Armazenamento e dados | S3, RDS, DynamoDB, EFS, snapshots, chaves KMS e secrets |
| Logging e detecção | CloudTrail, Config, GuardDuty e Security Hub |
| Serviços de IA | Bedrock e SageMaker |
Exposição
O caminho a partir da internet é resolvido pelo gateway, pela tabela de rota, pela subnet, pelo security group, pela network ACL e pelo endereço. Atrás de um network load balancer, é o security group do workload que decide quem passa. Uma porta que o seu security group admite só de origens nomeadas aparece com essas origens e a descrição de cada regra, não é contada como aberta para a internet e não é sondada; uma porta administrativa liberada assim é um risco baixo de higiene, ou médio quando uma das origens é uma faixa pública ampla.
Perfil de identidade
O privilégio efetivo de cada principal, os caminhos de escalada que ele detém (passar uma role a um serviço de computação, reescrever uma policy, assumir qualquer role), a confiança que ele estende para fora da sua organização, credenciais dormentes e MFA ausente.
Mudanças em tempo real
Uma regra do EventBridge, criada por região a partir do template de eventos, envia apenas eventos de configuração. Uma mudança é avaliada em segundos, com o ator e a ferramenta que a fizeram (console, API, CloudFormation, uma ferramenta de IaC, um pipeline).
Google Cloud
Recursos
| Área | Recursos |
|---|---|
| Identidade | O projeto e a sua política IAM, service accounts e chaves, custom roles, chaves de API, e workload identity pools e providers |
| Rede | Redes VPC, sub-redes, regras de firewall, rotas, Cloud Router, balanceamento de carga e Cloud Armor, Cloud DNS, Cloud VPN e Interconnect, backend buckets do Cloud CDN e Certificate Manager |
| Computação | Instâncias e grupos do Compute Engine, GKE, Cloud Functions, Cloud Run, App Engine, Dataproc, Composer, Dataflow, triggers do Cloud Build, jobs do Cloud Scheduler e Artifact Registry |
| Armazenamento e dados | Cloud Storage, Cloud SQL, Spanner, Bigtable, Firestore, BigQuery, Memorystore, Filestore, Pub/Sub, discos, snapshots e imagens, Cloud KMS e Secret Manager |
| Logging e detecção | Sinks e métricas de logging, políticas de alerta do monitoring, os sinais do Security Command Center e do Sensitive Data Protection, e as configurações do Access Approval |
| Governança | A organization policy efetiva das constraints do CIS |
| Serviços de IA | Vertex AI Workbench e endpoints |
Exposição
O caminho a partir da internet é resolvido pelo endereço externo, pela rede VPC e pelas regras de firewall que admitem a internet até as network tags ou a service account da instância, pelas authorized networks de uma instância do Cloud SQL ou de um control plane do GKE, pelos vínculos IAM de um bucket, e pelo ingress e pelo invoker de um serviço do Cloud Run ou de uma função.
Perfil de identidade
Uma service account recebe os papéis que detém no projeto, Owner ou Editor e os papéis de token creator ou service account user como caminhos de escalada, os membros de outros projetos que podem personificá-la como confiança externa, e as suas chaves gerenciadas pelo usuário com a idade de cada uma.
Mudanças em tempo real
Uma mudança administrativa chega à WASViking em até um minuto pelo Cloud Audit Logs, por meio de uma subscription no seu projeto.
Azure
Recursos
| Área | Recursos |
|---|---|
| Identidade | A assinatura e os seus resource groups, role assignments e roles personalizadas, managed identities, e, com o consentimento do diretório, os usuários, grupos, service principals e aplicações do Entra ID |
| Rede | Redes virtuais, network security groups, interfaces e endereços públicos, load balancers e application gateways, Azure Firewall, Bastion, VPN gateways, private endpoints, route tables e NAT gateways, Network Watcher e flow logs, e zonas DNS |
| Computação | Máquinas virtuais e scale sets, AKS, Container Registry e App Service |
| Armazenamento e dados | Storage accounts, discos gerenciados, snapshots e imagens, key vaults, Azure SQL, os servidores flexíveis PostgreSQL e MySQL, Cosmos DB, Azure Cache for Redis, Event Hubs e Service Bus |
| Logging e detecção | A exportação e os alertas do Activity Log, Log Analytics, e os sinais do Microsoft Defender for Cloud e do Azure Policy |
| Serviços de IA | Azure AI services e Azure Machine Learning |
Exposição
O caminho a partir da internet é resolvido pelo endereço público, pelos network security groups da sub-rede e da interface (os dois precisam admitir uma porta), pelos load balancers e application gateways na frente, pelas regras de firewall de um servidor SQL ou flexível, pelos containers anônimos de uma storage account, pelas restrições de acesso e pela autenticação de um site do App Service, e pelas faixas autorizadas do API server de um AKS.
Perfil de identidade
Uma pessoa, um grupo, uma aplicação ou uma managed identity recebe as suas role assignments e o seu escopo; Owner, User Access Administrator, Managed Identity Operator ou uma role personalizada que escreve role assignments como caminhos de escalada; e uma aplicação registrada em outro tenant como confiança externa. Quando o consentimento do diretório é concedido, o perfil também traz o registro de MFA, o último login e a idade dos secrets de uma aplicação.
Mudanças em tempo real
Embutido: uma mudança é lida do Activity Log da assinatura pela delegação, minutos depois que o Azure a registra, sem nada a implantar.