Mon, 07 Sep 2026
← VoltarAs configurações incorretas da nuvem variam amplamente entre AWS, Azure e Google Cloud, complicando o gerenciamento de segurança.
Se o gerenciamento da segurança em vários provedores de nuvem não fosse difícil o suficiente, cada um deles falharia de uma maneira diferente. Para o Índice de segurança na nuvem de 2026, a Intruder analisou dados de configuração incorreta de 3.000 organizações na AWS, Azure e Google Cloud e descobriu que os perfis de risco entre os provedores não têm quase nada em comum. Esta é a aparência dos dados. O Intruder agrupou cada configuração incorreta em uma das seis categorias: gerenciamento fraco de identidade e acesso (IAM), registro ausente, serviços mal configurados, firewalls permissivos, serviços expostos e criptografia fraca.
Para cada categoria, eles compararam quantas contas apresentavam pelo menos um problema nos três provedores. Controles fracos de IAM e falta de registro são quase universais, afetando entre 80% e 98% das contas, independentemente do provedor. As outras quatro categorias são onde as coisas divergem: a maior lacuna são os serviços expostos, com 76% na AWS versus 8% no Google Cloud. Firewalls permissivos e criptografia fraca seguem o mesmo padrão com AWS mais alto e Google Cloud mais baixo.
Serviços mal configurados são a exceção a esse padrão: o Azure lidera com 80%, com o Google Cloud com 37%. Uma explicação para a liderança da AWS em prevalência em cinco das seis categorias é que ela é o maior fornecedor em gama de serviços. Mais serviços significam mais opções de configuração e mais oportunidades para configurações incorretas. O Google Cloud tem a prevalência mais baixa em cinco categorias e também oferece o menor número de serviços.
A menor prevalência também pode ser explicada pela abordagem diferente à responsabilidade partilhada, com um modelo de destino partilhado que fornece incumprimentos mais seguros imediatamente - especialmente em relação à exposição e encriptação da rede. Veja como essas categorias se parecem com configurações incorretas reais em cada plataforma. Onde as contas da AWS dão errado com mais frequência: buckets S3 que não impõem HTTPS são o problema que afeta a maioria das contas da AWS. O S3 é um dos serviços de armazenamento em nuvem mais usados e, embora os ataques man-in-the-middle contra ele sejam raros, há poucos motivos para deixar o HTTP simples disponível.
As políticas IAM que permitem o escalonamento de privilégios afetam 83% das contas. O AWS IAM é notoriamente complexo, e uma política gerenciada que parece segura ainda pode conceder permissões mais amplas do que o pretendido. Em um incidente recente, um invasor passou de credenciais expostas a privilégios administrativos em menos de 10 minutos, comprometendo 19 entidades principais da AWS. As configurações incorretas mais comuns nas contas do Azure: os três principais problemas estão relacionados às contas de armazenamento do Azure, que frequentemente contêm dados confidenciais, como informações de identificação pessoal (PII).
Todos os três afetam uma parcela semelhante de contas, o que sugere que, onde as contas de armazenamento não são reforçadas, vários controles tendem a faltar ao mesmo tempo. Mais da metade das contas também possuem usuários Entra ID sem autenticação multifator (MFA). Vale a pena notar isso porque o Entra ID rege o acesso além dos recursos da nuvem – abrange o Microsoft 365, aplicativos SaaS de terceiros e sistemas locais. A violação da própria rede da Microsoft pela Midnight Blizzard em 2024 começou com um ataque de pulverização de senha contra uma conta de teste herdada sem MFA.
Quase todos os principais problemas do Google Cloud se resumem ao gerenciamento de identidade e acesso: mais de três quartos das contas não possuem controles de login do sistema operacional, que fornecem uma alternativa mais segura ao SSH tradicional. Para a maioria das categorias, a prevalência cai à medida que as organizações crescem. As empresas maiores têm menos probabilidade de ter firewalls permissivos, serviços expostos ou criptografia fraca. A exceção é o IAM.
Os controles fracos de IAM afetam 87% das PMEs (menos de 250 funcionários), 95% das organizações de médio porte (251 a 10 mil funcionários) e 98% das grandes empresas (10 mil a 100 mil funcionários ou mais). Isso é significativo, pois muitas vezes basta uma única identidade superprivilegiada para contornar os controles que foram reforçados em outros lugares. As organizações de médio porte também demoram mais para remediar problemas de nuvem, em média 35 dias, em comparação com 8 a 16 para pequenas empresas e 10 para grandes empresas. ises.
Isso sugere que as equipes de médio porte estão gerenciando a complexidade da nuvem de nível empresarial sem os recursos dedicados correspondentes. Para as equipes que gerenciam vários fornecedores, a parte difícil é entender quais riscos são mais importantes em todo o conjunto, para que o tempo e os recursos limitados sejam direcionados aos lugares certos. As equipes de segurança precisam de uma maneira consistente de avaliar a postura entre os provedores, mantendo ao mesmo tempo os detalhes específicos da plataforma necessários para realmente corrigir as coisas. O relatório completo, incluindo as 10 principais configurações incorretas por plataforma e a postura de segurança na nuvem por tamanho da organização, está no Índice de Segurança na Nuvem 2026 da Intruder.
Veja como testar novos CVEs em seu ambiente, confirmar o que os invasores podem realmente explorar e corrigir as exposições que representam o maior risco. Aprenda como identificar riscos exploráveis com mais rapidez, priorizar o que é mais importante e reduzir a exposição antes que ataques alimentados por IA acelerem a ameaça. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.