Durante a BSides Floripa, Rodrigo Montoro, nosso CTO, apresentou a palestra “Desventuras em série em ambientes AWS”, trazendo uma visão prática sobre como riscos reais surgem no dia a dia de ambientes cloud.
A proposta da apresentação foi mostrar que, na nuvem, incidentes não acontecem necessariamente por falhas complexas, mas pela combinação de decisões comuns — muitas vezes invisíveis no início da operação.
Ao longo da palestra, ficou evidente que o problema não está apenas na tecnologia, mas na forma como ela é configurada, utilizada e monitorada.
O risco começa no padrão e evolui com o ambiente
Um dos primeiros pontos abordados foi o conceito de “The deFAULT Truth”, destacando como as configurações iniciais podem introduzir riscos relevantes desde o primeiro momento.
Ambientes AWS são projetados para agilidade. Isso significa que, ao criar uma conta ou subir recursos, diversas configurações vêm prontas, e nem sempre com foco em segurança. Em um cenário simples, com poucos serviços como IAM, EC2 e S3, já é possível observar:
- Permissões amplas sem restrição de contexto;
- Ausência de trilhas de auditoria ativas;
- Serviços críticos de análise e visibilidade desabilitados.
Esse ponto é importante porque quebra um mito comum de que o risco não surge apenas em ambientes complexos. Ele já está presente desde o início, muitas vezes de forma silenciosa.
O desafio do IAM: complexidade que vira risco
Se o risco começa pequeno, ele cresce rapidamente no gerenciamento de identidade.
A apresentação trouxe o conceito do “labirinto do IAM”, reforçando como a quantidade de políticas, ações e combinações possíveis torna o controle de acesso um dos maiores desafios em ambientes cloud.
Não se trata apenas de definir quem acessa o quê, mas de entender todas as possíveis interações entre identidades, recursos e condições. Mesmo permissões consideradas seguras podem gerar exposição quando analisadas fora de contexto.
Um exemplo citado foi o uso recorrente de políticas de leitura. Embora não permitam alterações, elas podem abrir caminho para:
- Mapeamento completo do ambiente;
- Acesso a dados sensíveis;
- Coleta de informações estratégicas.
Além disso, a apresentação trouxe um dado relevante: muitas organizações concedem acesso a terceiros sem visibilidade completa do impacto, o que amplia o risco de exposição indireta.
O perímetro mudou e isso mudou tudo!
Outro ponto central foi a mudança do conceito de perímetro. Em ambientes tradicionais, a segurança era baseada em rede. Na nuvem, esse modelo deixa de ser suficiente. Como destacado na palestra, a identidade passa a ser o novo perímetro.
Isso significa que o controle de acesso precisa considerar não apenas quem está acessando, mas também:
- De onde vem o acesso?
- Qual recurso está sendo utilizado?
- Em qual contexto a requisição acontece?
O conceito de data perimeter reforça essa visão ao mostrar que segurança depende da combinação entre identidade confiável, recurso confiável e contexto esperado. Na prática, isso aumenta a complexidade e exige uma abordagem mais estratégica.
O que você não monitora pode ser explorado
Um dos pontos mais interessantes da apresentação foi a discussão sobre serviços pouco utilizados dentro da AWS.
Apesar da grande quantidade de serviços disponíveis, apenas uma pequena parcela costuma ser monitorada pelas organizações. Em um exemplo apresentado, apenas cerca de 17,8% dos serviços entram efetivamente no radar de ferramentas de segurança.
Isso cria um cenário perigoso. Serviços menos conhecidos podem ser utilizados como vetores de ataque justamente por não estarem sendo observados. Esse tipo de risco não está em vulnerabilidades tradicionais, mas em lacunas de visibilidade.
O ponto de vista do atacante: combinação de possibilidades
Quando a análise muda para o lado ofensivo, o cenário fica ainda mais claro. O atacante não precisa explorar falhas complexas. Ele trabalha com o que o ambiente já oferece — permissões, serviços e integrações. A partir disso, diferentes caminhos podem ser explorados, como:
- Exfiltração de dados;
- Movimentação lateral;
- Escalonamento de privilégios;
- Persistência no ambiente.
O mais relevante aqui é que essas ações muitas vezes utilizam recursos legítimos. Isso torna a detecção mais difícil, já que o comportamento pode parecer normal à primeira vista.
Detecção em nuvem: o desafio não é falta de dados
Ambientes cloud geram uma quantidade massiva de eventos. Mudanças em IAM, por exemplo, podem produzir centenas ou milhares de registros em pouco tempo.
Detectar ataques nesse cenário exige olhar além de eventos isolados e focar em comportamento. Isso inclui:
- Sequências incomuns de ações;
- Padrões fora do esperado;
- Uso atípico de serviços.
Outro ponto relevante é que diferentes formas de interação com a AWS (console, CLI, ferramentas automatizadas) geram padrões distintos, o que impacta diretamente a análise.
Segurança em nuvem exige processo, não apenas configuração
Ao final, a mensagem da palestra é clara: segurança em cloud não é um estado, é um processo contínuo.
Ambientes evoluem rapidamente, novos serviços surgem, permissões mudam e integrações são criadas o tempo todo. Nesse cenário, confiar apenas em configurações iniciais não é suficiente. É necessário:
- Entender profundamente o ambiente;
- Revisar permissões continuamente;
- Monitorar comportamento em tempo real;
- Investir em visibilidade e resposta.
Mais do que evitar falhas, o objetivo passa a ser reduzir a janela entre exposição e detecção.
