🇧🇷 O artigo está em PT-BR, fique à vontade para traduzir.
🇺🇲 The article is in PT-BR, feel free to translate it.
☁️☁️☁️
Acabei de terminar o lab Find and Remediate Vulnerable Cloud Resources with Cloud Security Misconfigurations do Datadog Learning Center. E dessa vez o assunto foi segurança, um tema que eu sempre achei meio abstrato até colocar a mão na massa.
Antes de começar, quero deixar claro que não sou especialista em segurança. Então esse curso foi um dos meus primeiros contatos reais com o lado de Cloud Security. Vou contar o que entendi, com a cabeça de quem estava aprendendo do zero.
Como o Datadog organiza tudo isso
A primeira coisa que me chamou atenção foi o dashboard de Misconfigurations. Num único lugar você vê: 364 recursos escaneados, 169 com alguma misconfiguration, 6 com severidade Critical ou High. Tem até um treemap mostrando a distribuição por tipo de recurso, dava pra ver de cara que aws_kms_alias tinha 137 ocorrências e aws_iam_role tinha 52.
Em vez de ficar caçando problema por problema, você tem uma visão de inventário: onde estão os riscos maiores, quais recursos são novos, o que mudou no último mês.
O Misconfigurations Explorer é onde você investiga cada item. Você filtra por severidade, cloud provider, tipo de recurso, status de triage. Quando abre uma misconfiguration específica, ela mostra: o que aconteceu, desde quando está falhando, em qual recurso exatamente, e o que eu achei mais útil, um botão de Remediation Steps com o passo a passo pra corrigir.
Tem ainda o Security Inbox, que funciona como uma fila priorizada das coisas mais urgentes pra resolver. Pensa como um backlog de segurança, onde o Datadog já fez a triagem inicial pra você. Bizarro haha
Detection Rules: onde mora a inteligência
Por baixo de tudo isso estão as Detection Rules,as regras que definem o que é considerado uma misconfiguration. O Datadog já vem com mais de 1.000 regras prontas, mantidas pela equipe deles. No lab, explorei as regras específicas pra S3 e vi que tinha desde uma regra CRITICAL ("bucket S3 publicamente acessível com dados sensíveis") até regras HIGH cobrindo wildcard principals, acesso entre contas, escrita pública.
O interessante é que você também pode criar regras customizadas. Se sua empresa tem uma política interna específica, tipo "todo bucket de produção precisa ter tag de owner" você pode escrever isso como uma regra e o Datadog passa a monitorar automaticamente.
O que ficou de lição
Segurança em nuvem sempre pareceu pra mim uma área separada, de especialistas. Depois desse lab, minha visão mudou um pouco. Não porque ficou fácil, mas porque ficou mais concreto.
Misconfiguration não é um problema abstrato. É o acúmulo de pequenas decisões que, juntas, criam uma oportunidade de ataque real.
O que o Datadog faz é tornar esse acúmulo visível e dar um caminho claro pra resolver. Pra quem está começando na área de DevOps ou SRE, entender que segurança também é responsabilidade do time de infraestrutura (e não só do time de segurança) foi a maior virada de chave desse lab.
SOCIAL SHARE CARD GENERATOR