Em ambientes de nuvem, cada serviço, integração e escolha de configuração pode introduzir o seu próprio conjunto de riscos. À medida que a adoção da nuvem aumenta, também aumenta a superfície de ataque.
Nesta publicação, destacaremos sete segurança na nuvem que as equipas enfrentam atualmente. Analisaremos como cada uma delas funciona, o impacto e o que pode fazer para mitigá-las ou preveni-las completamente.
segurança na nuvem 7 principais segurança na nuvem em resumo:
- Vulnerabilidade do IMDS
- Vulnerabilidades do Kubernetes
- Segmentação de rede fraca
- Vulnerabilidades do FluentBit
- Vulnerabilidades Container
- Firewalls mal configurados
- Funções sem servidor mal configuradas
O que são vulnerabilidades Cloud ?
As vulnerabilidades Cloud são pontos fracos ou configurações incorretas no seu ambiente de nuvem que os invasores podem explorar para comprometer a infraestrutura subjacente na qual as suas aplicações são executadas ou qualquer outra parte da sua configuração de nuvem.
Cloud evoluiu como resposta à mudança das implementações locais para ambientes nativos da nuvem. No passado, cada empresa tinha o seu próprio padrão de implementação, o que significava que nem todos os vetores de ataque se aplicavam a todos. Isso já não é o caso.
A nuvem cria condições equitativas. As equipas utilizam serviços semelhantes, predefinições semelhantes e padrões de implementação semelhantes. Isto significa que muitas organizações acabam por cometer os mesmos erros. Por exemplo, as empresas frequentemente divulgam informações confidenciais devido a um armazenamento de objetos mal configurado, e os atacantes aprenderam a identificar isso em vários alvos.
Para compreender quais serviços e configurações podem se tornar vetores de ataque, é necessário começar por avaliar a sua própria infraestrutura e como cada componente está exposto.
Motivos comuns para a ocorrência de vulnerabilidades Cloud
A seguir estão algumas razões pelas quais continuamos a ter eventos recorrentes de segurança na nuvem :
- Velocidade do desenvolvedor: as equipas são pressionadas a entregar rapidamente, e a velocidade muitas vezes prevalece sobre a segurança. Usar a versão «mais recente» de uma container ou pacote container é rápido, mas num mundo de ataques à Supply chain crescentes ataques à Supply chain, a versão «mais recente» pode facilmente ser uma versão infetada ou comprometida.
- Falta de proteções: agir rapidamente não deve criar falhas de segurança, mas sem os controlos adequados, as equipas introduzem riscos involuntariamente no ambiente.
- Ferramentas de segurança não integradas: os programadores podem ter ferramentas para digitalização de imagens ou análise estática, mas essas ferramentas raramente fazem parte de um fluxo de trabalho repetível e automatizado. Isso torna a segurança inconsistente e fácil de ignorar.
- Propriedade pouco clara: a segurança ainda é tratada como uma caixa de seleção ou algo que uma equipa separada lida. Com responsabilidades difusas e sem uma compreensão clara do que é uma «boa segurança», especialmente em relação ao IAM, as vulnerabilidades passam despercebidas.
Como os invasores exploram as vulnerabilidades Cloud
Como verá em breve, os invasores costumam aproveitar um serviço legítimo para ganhar espaço na sua infraestrutura, seja através de um bucket S3 público com acesso de escrita ou um endpoint público e, posteriormente, pivotar escalando privilégios através do abuso de funções IAM ou recursos mal configurados.
Para um invasor, trata-se de aproveitar os recursos menos suscetíveis de levantar suspeitas e usá-los para extrair o máximo de dados possível. Entramos em mais detalhes nas seções abaixo.
As 7 principais vulnerabilidades Cloud
Com uma compreensão do que são segurança na nuvem , aqui estão as sete principais segurança na nuvem :
1. Vulnerabilidade do IMDS
O Serviço de Metadados de Instância (IMDS) é um serviço executado em todos os provedores de nuvem que fornecem um serviço de computação que permite que credenciais temporárias sejam utilizadas por aplicações em execução na computação em nuvem. Isso permite que os serviços acessem com segurança outros serviços em nuvem sem a necessidade de codificar credenciais na máquina.
Como seria de esperar, recentemente isso tem sido alvo de abusos. Um exemplo disso é o CVE-2025-51591, que afetou sistemas que executavam o Pandoc, um utilitário de conversão de documentos.
The attacker submitted crafted HTML documents containing <iframe> elements whose src attributes targeted the AWS IMDS endpoint at 169.254.169.254. The objective was to render and exfiltrate the content of sensitive paths, specifically /latest/meta-data/iam/info and /latest/meta-data/iam.
The vulnerability in panic has since been patched. However, the attack was neutralized by the mandatory use of IMDSv2, which invalidates stateless GET requests, such as those initiated by an <iframe>. If the application were running in an environment still dependent on the IMDSv1 protocol, this attack vector would likely have resulted in credential compromise.
Embora o Pandoc seja uma exploração específica de um serviço legítimo, é importante estar atento à forma como as suas aplicações interagem com o host, uma vez que o Pandoc é um utilitário Linux que teve de ser instalado na instância, o que destaca como mesmo ferramentas aparentemente benignas podem tornar-se vetores de ataque quando interagem com serviços sensíveis na nuvem.
Gravidade: Média → Alta
2. Vulnerabilidades do Kubernetes
Divulgada através do programa de recompensa por bugs do Kubernetes, a CVE-2020-8559 é uma vulnerabilidade que abusa do token da conta de serviço padrão para permitir a escalação de privilégios dentro dos clusters do Kubernetes.
A exploração bem-sucedida desta vulnerabilidade pode levar ao aumento de privilégios de um nó comprometido para acesso ao nível do cluster. Se vários clusters partilharem a mesma autoridade certificadora confiável pelo cliente e credenciais de autenticação, um invasor poderia redirecionar o cliente para outro cluster, levando a um comprometimento total do cluster.
Se já executou o Kubernetes em produção, compreenderá por que razão isto é um problema. As atualizações de cluster raramente são tão simples quanto clicar em «atualizar» e pronto. Quando se tem processos definidos, é difícil quebrá-los. O CVE-2020-8559 exigia que os utilizadores atualizassem o kube-apiserver para as versões corrigidas: v1.18.6, v1.17.9 ou v1.16.13.
Quando ocorre uma aquisição total do cluster, não é difícil perceber como os nós comprometidos podem ser usados indevidamente em conjunto com o IMDS para avançar ainda mais no seu ambiente de nuvem, acessando credenciais e movendo-se lateralmente para outros serviços.
Gravidade: Alta → Crítica
3. Segmentação de rede fraca
Nem todos os ataques são sofisticados; às vezes, o não cumprimento das regras básicas é o que faz com que muitas organizações acabem nas notícias, e um exemplo disso é a segmentação das suas redes.
Embora a segmentação de rede não seja específica da nuvem, a complexidade da nuvem torna a segmentação adequada muito mais difícil e impactante quando feita de forma incorreta. Cloud torna as falhas de segmentação extremamente comuns.
Para equipas pequenas com um ou dois serviços em algumas máquinas virtuais, isso pode ser um exagero, mas para equipas mais experientes que executam vários serviços em zonas de disponibilidade ou mesmo em várias nuvens, ter uma estrutura plana em que todos os serviços estão na mesma rede, com pouca ou nenhuma política de segurança, é uma receita para o desastre.
A violação da Target em 2013 é um exemplo clássico do que acontece quando as redes não são segmentadas adequadamente. Os invasores comprometeram inicialmente um fornecedor terceirizado de HVAC com acesso à rede da Target e, em seguida, moveram-se lateralmente pela arquitetura de rede plana para alcançar os sistemas de cartões de pagamento, roubando, no final, 40 milhões de números de cartões de crédito e 70 milhões de registos de clientes. Uma segmentação adequada da rede teria contido a violação de dados aos sistemas de climatização, impedindo o acesso à infraestrutura de pagamentos sensível, ao mesmo tempo que continuaria a cumprir os requisitos de conformidade.
Aproveitar as ferramentas de gestão da postura Cloud (CSPM) permitirá que compreenda rapidamente o layout do seu ambiente de nuvem e descubra quais partes da sua rede requerem uma segunda análise da sua arquitetura de nuvem para evitar ataques de movimento lateral semelhantes. Tudo isso está ligado ao conceito de segurança zero trust como o novo padrão paraa sua arquitetura de nuvem, o que pode ajudar nos seus esforços de conformidade.
Gravidade: Média -> Alta
4. Vulnerabilidades do FluentBit
Embora este seja um novo conjunto de vulnerabilidades, o Fluent Bit tem sido um componente central do ecossistema nativo da nuvem há muito tempo, fornecendo um agente leve para enviar registos e métricas da nuvem para back-ends remotos. Isso é fundamental para microsserviços que exigem registos centralizados ou backups de registos em grande escala.
In a series of vulnerabilities disclosed in early 2025, CVE-2025-12972, CVE-2025-12970, CVE-2025-12978, CVE-2025-12977, and CVE-2025-12969, attackers can exploit path traversal flaws, buffer overflows, tag spoofing, and authentication bypasses to execute arbitrary code, tamper with logs, and inject malicious telemetry. These vulnerabilities affect versions 4.1.x < 4.1.1 and 4.0.x < 4.0.12.
Na pior das hipóteses, essas falhas podem comprometer totalmente o ambiente de nuvem, especialmente quando o Fluent Bit é executado com privilégios elevados ou tem acesso a credenciais confidenciais.
A falha na autenticação (CVE-2025-12969) é particularmente preocupante para configurações que utilizam Security.Users sem uma Shared_Key, o que pode desativar completamente a autenticação. Isso permite que invasores remotos ocultem atividades maliciosas ou extraiam registos enquanto os operadores acreditam que os seus sistemas estão seguros.
O CVE-2025-12972 também é crítico porque permite acesso remoto total devido aos valores de tags não sanitizados usados para gerar nomes de ficheiros de saída, permitindo que invasores gravem ficheiros no disco.
Assim como a vulnerabilidade SSH, o Fluent Bit é normalmente implementado em uma frota de instâncias em ambientes de nuvem. Por esse motivo, é essencial utilizar uma ferramenta que ofereça visibilidade total das suas instâncias e ajude a priorizar quais devem ser corrigidas primeiro.
Gravidade: Alta -> Crítica
5. Vulnerabilidades Container
Container poderiam ser um artigo inteiro, o que fizemos, confira aqui. Ao longo dos anos, container tiveram uma adoção em massa graças ao Docker e ao ecossistema nativo da nuvem mais amplo. Essa popularidade também as torna um alvo atraente para invasores, como visto com o Fluent Bit, que foi baixado 4,7 milhões de vezes em uma única semana de novembro.
Uma vulnerabilidade crítica ou comprometedora, como a CVE-2025-12972, pode significar um desastre para muitas organizações.
Gerenciar várias container em escala é um desafio. As equipas geralmente dependem de diferentes versões da mesma imagem, e nem todos os avisos de segurança são acionáveis. O monitoramento Container é, portanto, um processo contínuo, não uma tarefa pontual.
Aqui na Aikido que manter container não é tão simples quanto «apenas atualizar». Qualquer pessoa que já tentou fazer isso em produção sabe como isso está longe de ser fácil. Simplesmente atualizar para a imagem mais recente pode destruir a sua compilação, quebrar dependências de tempo de execução e introduzir bugs sutis que só aparecem em produção. É por isso que nos unimos ao pessoal da Root.io para oferecer o Autofix, que permite atualizar a sua imagem base com um clique.
Gravidade: Média -> Alta
6. Firewalls mal configurados
Em 2019, a Capital One sofreu uma segurança na nuvem significativa segurança na nuvem , afetando mais de 100 milhões de clientes. O ataque foi um exemplo caro de como uma única configuração incorreta pode se transformar numa violação de dados em grande escala.
O agente malicioso explorou uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) no firewall de aplicação web firewall de aplicação WAF) da Capital One para aceder ao Serviço de Metadados de Instância da AWS. A SSRF permite que um invasor redirecione a sua solicitação web para qualquer IP de sua escolha, e é uma vulnerabilidade bem conhecida.
A violação resultou na exposição de informações pessoais de aproximadamente 100 milhões de indivíduos nos Estados Unidos e 6 milhões no Canadá, incluindo nomes, endereços, pontuações de crédito e números de Segurança Social.
O que torna isso particularmente preocupante é que o WAF, uma ferramenta de segurança projetada para proteger aplicações, tornou-se ele próprio o vetor de ataque. Se o WAF tivesse sido configurado corretamente ou se o IMDSv2 tivesse sido aplicado, o ataque teria sido significativamente mais difícil de executar. A lição a tirar daqui é que mesmo os recursos destinados à infraestrutura podem ser um vetor de ataque se forem configurados incorretamente.
Gravidade: baixa -> média
7. Funções sem servidor mal configuradas
As funções sem servidor conquistaram o coração de muitos programadores devido à sua facilidade de implementação, amplo suporte a linguagens e ausência de servidores para gerir. Isso cria a ilusão de que as funções sem servidor são seguras por padrão.
Na realidade, as funções sem servidor criam uma oportunidade única para os invasores explorarem funções de gestão de identidade e acesso excessivamente permissivas e operarem quase sem serem detetados.
Por exemplo, um invasor poderia explorar uma função Lambda com uma política IAM s3:* excessivamente permissiva para extrair dados confidenciais de todos os buckets S3 da sua conta, enquanto a função aparenta estar a desempenhar as suas funções legítimas.
Gravidade: baixa -> média (dependendo das políticas IAM da função sem servidor)
Como obter visibilidade das vulnerabilidades Cloud
Entre segurança na nuvem modernas segurança na nuvem , Aikido destaca-se como a opção mais completa e fácil de usar para os programadores. Ela oferece às equipas visibilidade total da sua nuvem, desde configurações incorretas até VMs vulneráveis, container , cargas de trabalho do Kubernetes e IaC, tudo numa única visualização unificada, sem ruído ou duplicação.
Aikido integração sem agente, varredura de máquinas virtuais, CSPM, Kubernetes e varreduracontainer , controles IaC e até mesmo AI Autofix para container . As equipas podem começar com a gestão da postura da nuvem e expandir para código, container ou segurança de API à medida que crescem, sem adotar várias ferramentas.
Quer esteja a proteger um ambiente enxuto ou a gerir milhares de recursos, Aikido concentrar-se nos riscos mais importantes, reduzir rapidamente a sua superfície de ataque e evitar completamente a proliferação de ferramentas, tudo a partir de uma única plataforma criada para equipas de segurança e engenharia.
Conclusão
Cloud não se resume apenas a corrigir vulnerabilidades, mas sim a obter visibilidade completa da sua infraestrutura, código e dependências, e agir sobre os riscos mais importantes.
Com Aikido, as equipas podem unificar a monitorização da nuvem, a verificação de código e a segurança da cadeia de abastecimento numa única plataforma, priorizar ameaças com base no risco real e tomar medidas proativas antes que os atacantes ataquem.
Se está pronto para dar o próximo passo na proteção do seu ambiente de nuvem, comece gratuitamente e veja como segurança na nuvem ser simples, fácil de usar para programadores e eficaz!
FAQ
Como as configurações incorretas contribuem para segurança na nuvem e como podem ser evitadas?
Cloud , como buckets de armazenamento abertos, permissões excessivas ou configurações de rede defeituosas, podem expor dados ou sistemas confidenciais a invasores. A prevenção envolve auditar regularmente os ambientes de nuvem, aplicar o princípio do privilégio mínimo, usar ferramentas automatizadas de gestão de configuração e monitorar continuamente os desvios. Plataformas como Aikido ajudam a detectar configurações incorretas em ambientes multicloud.
Como as ameaças internas afetam segurança na nuvem e como podem ser mitigadas
Ameaças internas, sejam elas maliciosas ou acidentais, podem comprometer segurança na nuvem vazar dados, criar backdoors ou usar indevidamente privilégios de acesso. As estratégias de mitigação incluem a implementação de controlos de acesso rigorosos, o monitoramento da atividade do utilizador, a aplicação de autenticação multifatorial e a educação dos funcionários sobre as melhores práticas de segurança. Plataformas avançadas, como Aikido , podem monitorar comportamentos incomuns dos utilizadores para alertar as equipas sobre possíveis riscos internos.
Quais ferramentas e tecnologias detectam e resolvem eficazmente segurança na nuvem principais segurança na nuvem ?
Gestão da postura Cloud (CSPM), plataformas de proteção Cloud (CWPP), plataformas de proteção de aplicaçõesCloud(CNAPP), scanners de vulnerabilidades e ferramentas de conformidade automatizadas ajudam a detetar e corrigir vulnerabilidades. As soluções baseadas em IA podem rastrear caminhos de ataque complexos e priorizar ameaças. Aikido integra esses recursos, fornecendo deteção e correção assistidas por IA em tempo real em códigos, dependências e recursos na nuvem.
Qual é o papel das APIs inseguras na segurança na nuvem e como elas podem ser protegidas?
APIs inseguras podem expor dados confidenciais, permitir acesso não autorizado ou servir como pontos de entrada para ataques. As melhores práticas incluem autenticação e autorização rigorosas, validação de entradas, rate limiting, encriptação e monitoramento contínuo. Incorporar segurança de API plataforma de segurança mais ampla, como a Aikido , garante que as APIs sejam continuamente analisadas quanto a vulnerabilidades e atividades maliciosas.
Você também pode gostar:
Proteja seu software agora
.avif)
