Implementando Gerenciamento de Postura de Segurança na Nuvem

Quando Usar

• Ao estabelecer monitoramento contínuo de segurança nos ambientes AWS, Azure e GCP
• Quando requisitos de conformidade exigem avaliação automatizada de postura contra CIS, SOC 2 ou PCI DSS
• Quando equipes de segurança precisam de visibilidade sobre configurações incorretas na nuvem em várias contas e assinaturas
• Ao construir um fluxo de trabalho de operações de segurança que detecta e remedia desvios de linhas de base de segurança
• Ao migrar cargas de trabalho para a nuvem e precisar impor "guardrails" de segurança

Não use para proteção de carga de trabalho em tempo de execução (use ferramentas CWPP como Falco ou Aqua), para testes de segurança de aplicativos (use ferramentas DAST/SAST) ou para detecção de intrusão de rede (use IDS nativos da nuvem como GuardDuty ou Network Watcher).

Pré-requisitos

• Credenciais multi-nuvem com permissões de auditoria de segurança somente leitura em todos os ambientes de destino
• Prowler v3+ instalado (pip install prowler)
• ScoutSuite instalado (pip install scoutsuite)
• AWS Config, Azure Policy e GCP Organization Policy habilitados nos respectivos ambientes
• Destino de log centralizado (bucket S3, Log Analytics Workspace ou Cloud Storage) para agregação de descobertas
• Canais de notificação configurados (Slack, PagerDuty, e-mail) para alertas de descobertas críticas

Fluxo de Trabalho

Etapa 1: Implantar Serviços Nativos de CSPM na Nuvem

Habilite os recursos de CSPM integrados em cada provedor de nuvem para avaliação de postura de linha de base.

# AWS: Enable Security Hub with FSBP and CIS standards
aws securityhub enable-security-hub --enable-default-standards
aws securityhub batch-enable-standards --standards-subscription-requests \
  '[{"StandardsArn":"arn:aws:securityhub:::standards/cis-aws-foundations-benchmark/v/1.4.0"}]'

# Azure: Enable Microsoft Defender for Cloud (CSPM tier)
az security pricing create --name CloudPosture --tier standard
az security auto-provisioning-setting update --name default --auto-provision on

# GCP: Enable Security Command Center Premium
gcloud services enable securitycenter.googleapis.com
gcloud scc settings update --organization=ORG_ID \
  --enable-asset-discovery

Etapa 2: Executar Prowler para Avaliação Multi-Nuvem

Execute o Prowler para realizar verificações de segurança abrangentes em todos os três provedores de nuvem.

# AWS assessment with all CIS checks
prowler aws \
  --profile production \
  -M json-ocsf csv html \
  -o ./prowler-results/aws/ \
  --compliance cis_1.4_aws cis_1.5_aws

# Azure assessment
prowler azure \
  --subscription-ids SUB_ID_1 SUB_ID_2 \
  -M json-ocsf csv html \
  -o ./prowler-results/azure/ \
  --compliance cis_2.0_azure

# GCP assessment
prowler gcp \
  --project-ids project-1 project-2 \
  -M json-ocsf csv html \
  -o ./prowler-results/gcp/ \
  --compliance cis_2.0_gcp

# View summary across all providers
prowler aws --list-compliance

Etapa 3: Executar ScoutSuite para Comparação entre Nuvens

Use o ScoutSuite para uma avaliação unificada de segurança multi-nuvem com relatórios visuais.

# Scan AWS
python3 -m ScoutSuite aws --profile production \
  --report-dir ./scoutsuite/aws/

# Scan Azure
python3 -m ScoutSuite azure --cli \
  --all-subscriptions \
  --report-dir ./scoutsuite/azure/

# Scan GCP
python3 -m ScoutSuite gcp --user-account \
  --all-projects \
  --report-dir ./scoutsuite/gcp/

# Each produces an HTML report with risk-scored findings

Etapa 4: Construir Pipeline Automatizado de Monitoramento de Conformidade

Crie um pipeline agendado que execute verificações de CSPM diariamente e encaminhe as descobertas para os canais apropriados.

# Create a daily Prowler scan with EventBridge + CodeBuild (AWS)
cat > buildspec.yml << 'EOF'
version: 0.2
phases:
  install:
    commands:
      - pip install prowler
  build:
    commands:
      - prowler aws -M json-ocsf -o s3://security-findings-bucket/prowler/$(date +%Y%m%d)/
      - prowler aws --compliance cis_1.5_aws -M csv -o s3://security-findings-bucket/prowler/compliance/
  post_build:
    commands:
      - |
        CRITICAL=$(cat output/*.json | grep -c '"CRITICAL"')
        if [ "$CRITICAL" -gt 0 ]; then
          aws sns publish --topic-arn arn:aws:sns:us-east-1:ACCOUNT:security-alerts \
            --subject "Prowler: $CRITICAL critical findings" \
            --message "Review at s3://security-findings-bucket/prowler/$(date +%Y%m%d)/"
        fi
EOF

# Schedule with EventBridge
aws events put-rule \
  --name daily-prowler-scan \
  --schedule-expression "cron(0 6 * * ? *)" \
  --state ENABLED

…