Segmentação de cargas de trabalho na nuvem

A segmentação de cargas de trabalho na nuvem é uma prática de segurança que controla o tráfego entre cargas de trabalho individuais dentro de uma rede na nuvem, como uma VPC ou VNet. Ele define políticas no nível da carga de trabalho, de modo que, se uma carga de trabalho for comprometida, o invasor não poderá acessar livremente as outras ao seu redor. Quando essa política se torna suficientemente granular para isolar cargas de trabalho ou processos individuais, chamamos isso de microsegmentação de cargas de trabalho na nuvem.

Qual a diferença entre o tráfego norte-sul e o tráfego leste-oeste na nuvem?

A segurança na nuvem geralmente divide o tráfego em duas direções. O tráfego norte-sul entra e sai do ambiente de nuvem em sua borda. O tráfego leste-oeste se move lateralmente, entre cargas de trabalho dentro da mesma rede.

Os controles nativos da nuvem lidam bem com a orientação norte-sul. Os Grupos de Segurança da AWS e os Grupos de Segurança de Rede (NSGs) do Azure definem o que pode acessar uma carga de trabalho externamente. Mas fazem muito menos para controlar os caminhos leste-oeste dentro de uma VPC ou VNet. As cargas de trabalho na mesma sub-rede geralmente podem se comunicar livremente entre si, independentemente das regras de perímetro.

Essa diferença entre o leste e o oeste é importante porque a maioria dos ataques não para na primeira máquina. Um atacante que consegue atingir uma carga de trabalho procura uma maneira de alcançar a próxima e a seguinte. As equipes de segurança chamam isso de movimento lateral. O ransomware se comporta da mesma maneira, se espalhando de host para host assim que entra no sistema. A segmentação de cargas de trabalho na nuvem é uma forma de prevenção de movimentação lateral na nuvem e é fundamental para conter a movimentação lateral de ransomware: ela limita o alcance da infecção.

Por que os Grupos de Segurança da AWS e os Grupos de Segurança de Rede do Azure não são suficientes para impedir a movimentação lateral?

Grupos de segurança e NSGs são controles de acesso. Eles decidem o que pode ser conectado a uma carga de trabalho. Essa é uma tarefa útil, mas é diferente de conter uma invasão depois que o invasor já está dentro do sistema.

Eis a lacuna em termos práticos. Os controles nativos não impõem restrições entre instâncias ou sub-redes em grande escala dentro da VPC, portanto, duas cargas de trabalho na mesma sub-rede geralmente podem se comunicar sem restrições. Eles também não se unificam entre as nuvens. AWS, Azure e GCP têm cada um seu próprio plano de controle, sintaxe de regras e console, portanto, uma equipe que gerencia os três acaba tendo que lidar com vários modelos de política simultaneamente. E não oferecem nenhuma maneira segura de testar o impacto de uma regra antes que ela entre em vigor. Você só descobre o que uma alteração quebra depois de enviá-la.

Migrações do tipo "lift-and-shift" pioram a situação. Quando as equipes migram aplicativos diretamente do data center para a nuvem, as antigas conexões leste-oeste são transferidas junto. Ninguém as verifica novamente, e elas permanecem abertas por padrão.

A resposta é a segmentação dentro da própria VPC. Essa segmentação interna da VPC vai além dos grupos de segurança, adicionando controle no nível da carga de trabalho. Isso proporciona contenção de violações na nuvem: uma vez que um invasor esteja dentro do sistema, a política limita sua mobilidade.

A segmentação de cargas de trabalho na nuvem é o mesmo que um firewall na nuvem?

Não. Um firewall em nuvem, assim como um grupo de segurança ou NSG, é um controle de acesso perimetral que decide o que pode acessar uma carga de trabalho externamente. A segmentação de cargas de trabalho na nuvem adiciona uma camada de políticas entre as cargas de trabalho dentro do perímetro, permitindo conter uma violação já existente, algo que um firewall sozinho não consegue fazer.

Como funciona, na prática, a segmentação de cargas de trabalho na nuvem?

A maioria das ferramentas de segmentação em nuvem compartilha algumas ideias centrais, mesmo que os detalhes variem.

Política ao nível da carga de trabalho. Em vez de depender apenas dos limites da rede, a segmentação coloca um ponto de controle em cada carga de trabalho. Algumas ferramentas fazem isso com um agente leve no sistema operacional. Outros leem os logs do CloudFlow e gravam regras diretamente em controles nativos, como NSGs e grupos de segurança, sem nenhum agente na carga de trabalho. Muitas plataformas suportam ambos os caminhos, permitindo que as equipes escolham o mais adequado para cada carga de trabalho.

Política baseada na identidade. Os endereços IP mudam constantemente na nuvem. As cargas de trabalho aumentam, diminuem, são movidas e são reimplantadas. As regras relacionadas a endereços IP deixam de funcionar quando isso acontece. Assim, a segmentação moderna vincula a política à identidade da carga de trabalho, usando rótulos como "camada web", "produção" ou "banco de dados". A política então acompanha a carga de trabalho aonde quer que ela vá.

Modelagem de políticas antes da implementação. Ativar a aplicação da lei é a parte arriscada. Uma regra incorreta pode bloquear o tráfego necessário para uma aplicação real. Ferramentas melhores permitem que você escreva políticas em modo de rascunho primeiro, para depois testá-las com base no tráfego real observado. Você pode ver quais fluxos uma regra bloquearia e quais aplicativos ela afetaria, tudo antes de qualquer coisa entrar em produção. Isso permite que as equipes trabalhem durante o horário normal, em vez de esperar por uma janela de mudança.

Aplicação gradual da lei. As equipes raramente mudam diretamente para a estratégia de "bloquear tudo". Uma estratégia comum é começar removendo alguns serviços de risco ou em texto não criptografado e, em seguida, adotar um modelo de negação padrão que permita apenas tráfego comprovadamente seguro. Esse resultado final está alinhado com os princípios de Zero Trust: privilégio mínimo e nenhuma confiança implícita entre as cargas de trabalho.

Será que a segmentação de cargas de trabalho na nuvem consegue impedir ataques de IA com alta velocidade e movimentação lateral?

Os atacantes ficaram mais rápidos. Ferramentas com auxílio de IA os ajudam a mapear o ambiente e encontrar um caminho através dele em questão de minutos. Trata-se de um ataque de IA com movimento lateral em velocidade de máquina, o que altera o problema do defensor. Se o sistema de contenção depende de um humano para identificar a ameaça e criar uma nova regra, geralmente o atacante já passou para outra solução.

É aí que a segmentação sempre ativa se torna útil. Trata-se de uma forma de contenção de violações em velocidade de IA: controle automatizado em nível de carga de trabalho que já está em vigor antes de um incidente. Quando uma política é definida antecipadamente, ela permanece válida independentemente de como o invasor conseguiu entrar. Não precisa reconhecer a vulnerabilidade específica. Independentemente de o invasor ter usado uma credencial roubada, uma ferramenta de acesso remoto ou uma vulnerabilidade de dia zero, a segmentação ainda limita o alcance de sua disseminação. Algumas equipes chamam isso de contenção agnóstica à vulnerabilidade, porque o controle se preocupa com o caminho, não com a falha.

Para um exemplo do mundo real, veja a Microsoft. Após o ataque terrorista Midnight Blizzard, orquestrado por um estado-nação, a Microsoft implementou o Illumio em dezenas de milhões de cargas de trabalho para detectar e conter a movimentação lateral em sua infraestrutura híbrida. Foi a primeira vez que a empresa mencionou publicamente uma plataforma de segurança de terceiros como parte de suas defesas internas.

Qual a diferença entre segmentação de cargas de trabalho na nuvem, microsegmentação, CDR e Zero Trust?

A segmentação de cargas de trabalho na nuvem está intimamente ligada a alguns termos que as pessoas costumam confundir.

Segmentação de rede versus microsegmentação. A segmentação de redes tradicional divide uma rede em grandes zonas, geralmente ao longo de linhas norte-sul. A microsegmentação torna-se ainda mais precisa, definindo políticas entre cargas de trabalho individuais. A microsegmentação é uma forma de criar políticas de acesso mais granulares e dinâmicas do que a segmentação de rede tradicional.

Segmentação versus detecção e resposta em nuvem (CDR). O CDR monitora ameaças que já estão se movendo dentro do ambiente e alerta a equipe. A segmentação limita inicialmente para onde essas ameaças podem se mover. Os dois funcionam bem juntos: a detecção informa se há alguém dentro do local, e a segmentação limita o quão longe essa pessoa pode chegar.

Segmentação e Zero Trust. Zero Trust é um modelo de segurança baseado no princípio do menor privilégio e na ausência de confiança implícita. A segmentação de cargas de trabalho Zero Trust é uma das principais maneiras pelas quais as equipes colocam esse modelo em prática, aplicando a política de privilégio mínimo entre cargas de trabalho individuais.

Como a Illumio aborda a segmentação de cargas de trabalho na nuvem?

A Illumio é uma empresa de contenção de violações de segurança, e a segmentação de cargas de trabalho na nuvem é uma parte essencial do que sua plataforma faz. Algumas informações específicas para leitores que estejam avaliando opções nessa área.

O Illumio aplica políticas baseadas em rótulos em AWS, Azure, GCP, data centers, contêineres e endpoints a partir de um único plano de controle. Ele oferece suporte à implantação sem agente, que lê os logs de fluxo de VPC e VNet e grava políticas em controles nativos da nuvem. Ele também oferece um modo baseado em agente para cargas de trabalho que precisam de controle em nível de sistema operacional. Esse agente é executado no espaço do usuário. Não acompanha o tráfego nem inspeciona pacotes, e a política se mantém mesmo após reinicializações e reinícios do sistema. A modelagem em modo rascunho permite que as equipes testem as regras em tráfego real antes que a aplicação entre em vigor.

No início de 2026, a Illumio foi nomeada Escolha dos Clientes no relatório Gartner Peer Insights Voice of the Customer para Microsegmentação de Segurança de Rede, sendo uma das duas únicas fornecedoras a receber essa distinção naquele período.

Perguntas frequentes

O que é segmentação de cargas de trabalho na nuvem?

É a prática de controlar o tráfego entre cargas de trabalho individuais dentro de uma rede em nuvem, como uma VPC ou VNet. Isso adiciona uma camada de política no nível da carga de trabalho, por meio de um agente do sistema operacional ou gravando regras em controles nativos da nuvem, para que uma carga de trabalho comprometida não possa alcançar livremente outras na mesma sub-rede. Quando a política se torna suficientemente granular para isolar cargas de trabalho individuais, chamamos isso de microsegmentação.

Qual a diferença entre o tráfego norte-sul e o tráfego leste-oeste?

O tráfego norte-sul entra e sai de um ambiente de nuvem em sua borda. O tráfego leste-oeste se move lateralmente, entre cargas de trabalho dentro da mesma rede. Os firewalls nativos da nuvem focam na comunicação norte-sul. O tráfego de leste a oeste é a direção que os atacantes seguem depois de conseguirem entrar, e é esse tráfego que a segmentação em nuvem visa controlar.

A segmentação de cargas de trabalho na nuvem é o mesmo que um firewall na nuvem?

Não. Um firewall em nuvem, assim como um grupo de segurança ou NSG, é um controle de acesso perimetral que decide o que pode acessar uma carga de trabalho externamente. A segmentação de cargas de trabalho na nuvem adiciona uma camada de políticas entre as cargas de trabalho dentro do perímetro, permitindo conter uma violação já existente, algo que um firewall sozinho não consegue fazer.

Como proteger o tráfego leste-oeste em uma VPC ou VNet na nuvem?

Você adiciona segmentação em nível de carga de trabalho. Isso significa colocar um ponto de controle em cada carga de trabalho, seja com um agente leve no sistema operacional ou lendo os logs do Cloud Flow e gravando políticas em controles nativos, como NSGs e grupos de segurança. Boas ferramentas permitem modelar o impacto de uma regra no tráfego real antes de aplicá-la, evitando assim quebrar acidentalmente uma aplicação em funcionamento.

Por que os Grupos de Segurança da AWS e os Grupos de Segurança de Rede do Azure não são suficientes por si só?

São controles de acesso, não ferramentas de contenção de violações. Eles decidem o que pode alcançar uma carga de trabalho externamente, mas não impedem que uma carga de trabalho comprometida alcance seus vizinhos na mesma sub-rede. Além disso, não são unificadas entre diferentes nuvens e não oferecem uma maneira segura de testar uma regra antes que ela entre em vigor. A segmentação acrescenta a falta de controle leste-oeste.

Qual a diferença entre detecção e resposta em nuvem (CDR) e microsegmentação?

O CDR detecta ameaças que já estão se movendo dentro do ambiente e alerta a equipe. A microsegmentação limita, em primeiro lugar, para onde essas ameaças podem se mover. Os dois são complementares. Quando um ataque se propaga mais rápido do que uma pessoa consegue reagir, as medidas de contenção já implementadas tornam-se ainda mais importantes.

A microsegmentação pode impedir ataques impulsionados por IA?

Sim. Embora não impeça um invasor de entrar, limita o quanto ele se espalha depois de conseguir, e faz isso sem esperar que alguém identifique a ameaça primeiro. Ataques com auxílio de IA se propagam por uma rede em questão de minutos, mais rápido do que uma resposta manual consegue acompanhar. Como a política de segmentação já está em vigor, ela contém o raio de impacto, independentemente da vulnerabilidade ou credencial usada pelo invasor, e sem esperar que alguém identifique a ameaça primeiro.

Termos relacionados

Microsegmentação, Movimento Lateral, Confiança Zero, Contenção de Violações, tráfego leste-oeste, detecção e resposta em nuvem (CDR).

‍