Lição 4 de 4 · 8 min

Reforçar as suas contas na nuvem

Uma revisão curta e repetível: quem tem sessão iniciada, que apps conseguem aceder à sua conta, se as suas cópias de segurança existem, e se repararia se algo corresse mal.

As três lições anteriores deste curso abordaram quem é responsável pelo quê, porque é que a identidade é o verdadeiro perímetro, e o que acontece aos seus dados depois de serem guardados. Esta lição transforma isso numa revisão curta e periódica — o tipo de manutenção que uma pequena organização consegue realisticamente manter, em vez de uma configuração feita uma única vez que fica lentamente desatualizada.

Reveja as sessões e dispositivos ativos

Todos os grandes fornecedores de contas mantêm uma lista dos dispositivos e sessões atualmente com sessão iniciada, e um registo da atividade recente. Revê-la periodicamente responde a uma pergunta simples: há mais alguém nesta conta além das pessoas que deveriam lá estar? Um dispositivo desconhecido, um início de sessão a partir de um local inesperado, ou uma sessão que nunca terminou num dispositivo que já não possui, são todos motivos para agir de imediato — terminar a sessão e mudar a palavra-passe. Isto liga-se diretamente à lição sobre identidade anterior neste curso: uma palavra-passe roubada só continua a ser útil a um atacante enquanto a sessão resultante passar despercebida.

Reveja o acesso de apps de terceiros

A lição sobre identidade também abordou o OAuth: cada ligação "continuar com" ou integração de calendário é uma concessão de acesso permanente que persiste até ser revogada. A maioria dos fornecedores lista todas as apps ligadas nas definições de segurança ou privacidade da conta, mostrando o que cada uma recebeu — ler e-mail, gerir o calendário, aceder a ficheiros — muitas vezes de um serviço que experimentou uma vez há anos e esqueceu. Uma limpeza ocasional e repetida desta lista, removendo tudo o que não é usado ou não reconhece, reduz o número de formas de entrar numa conta sem sequer tocar na palavra-passe.

Confirme que as cópias de segurança realmente existem, e onde

Uma falha na conta na nuvem — um bloqueio de acesso, uma eliminação acidental, uma interrupção do serviço — é em si um risco que a lição sobre responsabilidade partilhada colocou do lado do cliente da linha. O guia de segurança na nuvem publicado no GitHub, contra o qual esta lição faz uma verificação cruzada, lista "cópias de segurança, recuperação testada" entre as práticas essenciais de resiliência que recomenda, a par da rotação regular de credenciais e das revisões de acesso; isto está em linha com a orientação equivalente que os grandes fornecedores publicam para os seus próprios clientes. Para um indivíduo ou pequena organização, isso traduz-se em dois hábitos concretos: saber onde é que a sua cópia de segurança realmente vive (um segundo serviço de nuvem, um disco externo encriptado, ou ambos), e testar de facto a restauração a partir dela de vez em quando, já que uma cópia de segurança que ninguém abriu é apenas uma esperança, não um plano.

Ative registos e alertas onde existirem

A maioria das contas na nuvem para consumidores e pequenas empresas oferece alguma forma de notificação de segurança — um e-mail ou alerta push para um novo início de sessão, uma mudança de palavra-passe, ou um novo dispositivo adicionado. Estas são normalmente opcionais ou estão escondidas nas definições em vez de virem ativadas por defeito. Ativá-las não custa nada e reduz diretamente o intervalo entre uma conta ser comprometida e alguém dar por isso, o que é muitas vezes o fator isolado mais importante na quantidade de dano que uma invasão causa.

Reveja isto	O que está a verificar	Onde isto se liga neste curso
Sessões e dispositivos ativos	Um início de sessão que não reconhece	A identidade é o perímetro — uma sessão ativa e despercebida é uma porta aberta
Acesso de apps de terceiros (OAuth)	Uma permissão concedida de que já não precisa ou nunca quis dar	O mesmo risco de acesso permanente abordado na lição sobre identidade
Cópias de segurança	Se existe uma, onde, e se alguma vez foi testada	A responsabilidade de resiliência do lado do cliente, da lição sobre responsabilidade partilhada
Registos e alertas	Se seria de facto notificado de um início de sessão ou alteração suspeita	Reduz o tempo entre o comprometimento e a deteção

Fazer disto um hábito, não uma tarefa única

Nenhuma destas quatro verificações demora mais do que alguns minutos individualmente, e nenhuma exige formação em segurança. O que as torna eficazes é a repetição: uma passagem trimestral pelas sessões, apps ligadas, estado das cópias de segurança e definições de alerta apanha a lenta acumulação de acessos esquecidos que uma única sessão de configuração nunca apanhará. Isto fecha o ciclo que este curso abriu com o modelo de responsabilidade partilhada: o fornecedor protege a infraestrutura uma vez e mantém-na continuamente; o lado do cliente desse mesmo acordo é um hábito, não uma tarefa a terminar.

A reter

Reveja periodicamente as sessões ativas e os dispositivos com sessão iniciada, e termine de imediato tudo o que não reconheça.
Reveja e limpe o acesso de apps de terceiros (ligações OAuth); cada uma é uma concessão permanente que sobrevive ao motivo que a criou.
Confirme que as cópias de segurança existem, saiba onde vivem, e teste ocasionalmente a restauração a partir delas em vez de assumir que funcionam.
Ative as notificações de segurança para novos inícios de sessão, mudanças de palavra-passe e novos dispositivos — reduzem o intervalo entre o comprometimento e a deteção.
Estas revisões funcionam como um hábito repetido, não como uma configuração única; os acessos esquecidos acumulam-se silenciosamente entre revisões.

Teste-se

1. Porque vale a pena rever periodicamente as sessões ativas e os dispositivos com sessão iniciada numa conta na nuvem?
- Melhora a quota de armazenamento da conta
- Revela se está atualmente ativa uma sessão não autorizada, que pode ser terminada antes de causar mais danos — Certo.
- É exigido por lei para todas as contas
- Bloqueia permanentemente todas as futuras tentativas de início de sessão
Uma sessão ativa e despercebida dá a um atacante acesso contínuo mesmo depois de a palavra-passe ser mudada noutro lugar; rever as sessões apanha isto.
2. Porque deve o acesso de apps de terceiros (ligações OAuth) ser revisto periodicamente em vez de configurado uma única vez?
- As concessões OAuth expiram automaticamente ao fim de um dia
- Cada app ligada é uma concessão de acesso permanente que persiste até ser manualmente revogada, e pode ser esquecida com o tempo — Certo.
- Rever isto é obrigatório para manter a conta ativa
- As apps de terceiros não conseguem aceder a nenhum dado da conta
Uma permissão concedida anos antes a uma app já não usada continua ativa até alguém a revogar, por isso a revisão periódica é a única forma de a detetar e remover.
3. O que torna uma cópia de segurança verdadeiramente útil, para além de simplesmente existir?
- Nunca deve ser testada, para evitar corrompê-la
- Deve ser testada restaurando-a de facto de vez em quando — Certo.
- Só precisa de existir no mesmo dispositivo que os dados originais
- As cópias de segurança são desnecessárias se o fornecedor de nuvem encriptar os dados em repouso
Uma cópia de segurança da qual nunca se restaurou nada não está verificada; testar o processo de restauração confirma que vai realmente funcionar quando for necessário.

Praticar com o FireAI

Ponha esta lição em prática no seu próprio Mac.

Fontes

Ponha em prática no seu Mac

Experimente todas as funcionalidades grátis durante 17 dias, sem cartão.

Transferir para Mac Docs