Estudo de Caso
Ânima Educação usa Orca Security para fortalecer segurança na nuvem
Com aproximadamente 390 mil alunos e 18 mil educadores, a Ânima Educação é uma das maiores organizações privadas de ensino superior do Brasil. A missão da empresa é construir uma rede nacional de instituições educacionais comprometidas com a qualidade, inovação e avaliação do processo de aprendizagem que seja integrado à cultura regional. As atividades da Ânima são divididas em dois segmentos: ensino superior e gestão vertical. Fundada em maio de 2003, a Ânima Educação está sediada em São Paulo, Brasil.
Carlos Silva é um dos três engenheiros de segurança em nuvem entre uma equipe de 15 profissionais de segurança na Ânima Educação. Silva se juntou à Anima por meio da aquisição em 2020 dos ativos brasileiros do Laureate Group. A empresa cresceu significativamente por meio de aquisições nos últimos anos e agora está passando por uma transformação digital que inclui mover todos os seus servidores e aplicativos para a nuvem. A maioria dos servidores está na AWS, mas também há alguns no GCP e no Azure.
A Ânima precisava de uma nova plataforma de segurança em nuvem
“Nosso principal desafio é com a AWS porque temos cerca de 30 contas nesta plataforma”, diz Silva. “Muitas pessoas têm acesso a essas contas e a equipe de segurança precisa ver o que está acontecendo. Temos uma mistura de tecnologias – VMs, contêineres, serverless – e precisamos de uma única solução de segurança para ver todas as contas de nuvem, cargas de trabalho e problemas de segurança.”
A empresa usava anteriormente um fornecedor conhecido no espaço de segurança em nuvem, mas a equipe de segurança começou a investigar outras ferramentas de segurança que pudessem atender melhor às suas necessidades. Vários requisitos estavam em primeiro lugar quando eles olharam para ferramentas alternativas. O mais importante era a capacidade de ver todo o seu ambiente de nuvem e todas as suas contas em uma plataforma. Outra necessidade importante era considerar o processo DevSecOps da empresa e a oportunidade de executar varreduras em seu pipeline do Azure para garantir que quaisquer problemas descobertos retornassem ao processo de correção antes de transformá-lo em uma compilação de produção.
A solução da Orca se destacou entre outras plataformas testadas pelo time da Ânima
A equipe testou mais de 5 soluções diferentes. Após discussões com a equipe de vendas da Orca Security, Silva organizou um projeto de Prova de Conceito em seu ambiente. “Os representantes da Orca nos mostraram todos os recursos que precisávamos para que pudéssemos escolher a solução certa. O PoC me convenceu de que a Orca Platform é a melhor para nós”, ele diz.
Sem agentes para instalar, o processo de implantação foi rápido e fácil, e o Orca funciona em todas as três plataformas de nuvem em uso na Anima Educação. “Acho que o que mais gosto no Orca é a capacidade de verificar vulnerabilidades”, diz Silva. “Isso é muito importante para nós. Também achamos a varredura e a identificação de malware muito valiosas. O Orca nos alertou sobre malware em uma instância do WordPress, o que permitiu que a equipe o isolasse e corrigisse rapidamente.”
Com as informações privadas de quase 400.000 alunos e educadores em jogo, a Anima Educação está especialmente atenta à conformidade da nuvem com os requisitos regulatórios em torno da privacidade de dados. A empresa faz todos os esforços para cumprir a Lei Geral de Proteção de Dados Brasileira, conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD). Esta lei é semelhante, embora ligeiramente diferente, do Regulamento Geral de Proteção de Dados da União Europeia. A Anima Educação foi recentemente reconhecida como líder em conformidade pelo Finance & Law Summit Awards 2022. “É importante que a Orca apoie nossos esforços em direção à conformidade com a privacidade”, diz Silva. “As estruturas de conformidade de nuvem integradas nos ajudam com isso.”
Silva também acha o Orca Security Score muito útil ao discutir segurança com seu Conselho de Administração. O score é encontrado no Risk Dashboard do Orca e é atualizado diariamente. Essencialmente, é uma medida composta de um conjunto de métricas de desempenho orientadas por dados nas áreas de atividade suspeita, configurações incorretas de IAM, dados em risco, ativos vulneráveis e capacidade de resposta a riscos. O Orca Security Score permite que a Anima Educação acompanhe seu próprio progresso, bem como compare seu desempenho de segurança na nuvem com outras empresas e entre unidades de negócios dentro da organização.
Risk dashboard
Além do Security Score, o Risk Dashboard é um ótimo lugar para a equipe obter outras informações importantes de segurança e detalhes sobre a postura de segurança da empresa a partir de uma única visualização. “O dashboard é muito útil para nós porque no Prisma, não tínhamos esse tipo de visibilidade. Com esse produto, tivemos que exportar os dados para uma ferramenta de inteligência de negócios para obter informações significativas”, diz Silva. “Com o Orca, todas as informações estão simplesmente lá no dashboard.”
Ele também aprecia o recurso de inventário de API do Orca. “Tivemos alguns problemas ao inventariar todas as nossas URLs e APIs e, na plataforma Orca, podemos ver se um recurso e as APIs correspondentes estão expostos à Internet. É muito conveniente porque está tudo em um só lugar”, de acordo com Silva.
A equipe de segurança usa a Análise de Caminho de Ataque da Orca quando sente que precisa. Esta é uma representação visual de um caminho de ataque, juntamente com informações detalhadas sobre cada etapa dentro da cadeia. A Orca atribui uma pontuação geral a cada caminho de ataque que é baseada em múltiplos fatores encontrados dentro do caminho, como a gravidade subjacente de uma vulnerabilidade específica e sua acessibilidade, risco de movimento lateral e impactos comerciais.
A Orca tem várias integrações cruciais que ajudam a equipe de segurança a avançar nas atividades de detecção e remediação de ameaças. Eles estão atualmente avaliando soluções SIEM e, uma vez que uma ferramenta é escolhida e implantada, os dados das varreduras da Orca serão alimentados no SIEM para uma análise mais ampla das ameaças. A empresa usa o ServiceNow como seu sistema de tickets e fluxo de trabalho para resolução de problemas que a Orca descobre. A integração pronta para uso da Orca com o ServiceNow torna a obtenção de dados no sistema um processo simples.
A Orca oferece suporte aos processos DevSecOps da Anima Educação fornecendo Shift Left Security com reconhecimento de contexto para infraestrutura e aplicativos em nuvem. Isso permite que as equipes de DevOps entendam o impacto potencial de problemas de segurança em ambientes de produção de aplicativos em nuvem e corrijam esses problemas mais cedo no ciclo de vida de desenvolvimento de software (SDLC). Ele também fornece à equipe de segurança remediação automatizada para evitar que problemas de segurança progridam no SDLC.
“O Orca nos dá mais capacidades e cobertura em riscos do que nossa solução anterior nos dava”, diz Silva. “Nós realmente gostamos do roteiro de onde este produto está indo.”