--- title: "CSPM: as 12 configurações erradas mais comuns na AWS, Azure e Google Cloud" description: "As configurações incorretas que mais causam incidentes em nuvem, como detectá-las com CSPM e como corrigir cada uma na AWS, no Azure e no Google Cloud." url: "https://security.transitax.com/blog/cspm-aws-azure-gcp" --- Nuvem # CSPM: as 12 configurações erradas mais comuns na AWS, Azure e Google Cloud As configurações incorretas que mais causam incidentes em nuvem, como detectá-las com CSPM e como corrigir cada uma na AWS, no Azure e no Google Cloud. [Equipe de Pesquisa TransiTax Security](https://security.transitax.com/sobre#pesquisa)Publicado em 17 de junho de 2026Atualizado em 8 de julho de 20264 min de leitura Resumo - A maior parte dos incidentes em nuvem não explora falhas do provedor, e sim configurações feitas pelo cliente. - Armazenamento público, identidades com permissão excessiva e logs desligados lideram a lista. - CSPM avalia a configuração de forma contínua; IaC previne o problema antes do deploy. Os dois se complementam. - Priorize pelo caminho de ataque: uma configuração errada só é crítica quando combina com exposição e dado sensível. Neste artigo 1. [1\. Armazenamento de objetos público](#1-armazenamento-de-objetos-publico) 2. [2\. Identidades com permissão excessiva](#2-identidades-com-permissao-excessiva) 3. [3\. Usuários sem MFA e chaves de acesso antigas](#3-usuarios-sem-mfa-e-chaves-de-acesso-antigas) 4. [4\. Banco de dados acessível pela internet](#4-banco-de-dados-acessivel-pela-internet) 5. [5\. Security groups e firewalls abertos para o mundo](#5-security-groups-e-firewalls-abertos-para-o-mundo) 6. [6\. Trilhas de auditoria desligadas](#6-trilhas-de-auditoria-desligadas) 7. [7\. Criptografia em repouso desativada](#7-criptografia-em-repouso-desativada) 8. [8\. Snapshots e imagens compartilhados publicamente](#8-snapshots-e-imagens-compartilhados-publicamente) 9. [9\. Acesso a metadados da instância sem proteção](#9-acesso-a-metadados-da-instancia-sem-protecao) 10. [10\. Clusters Kubernetes com API pública e RBAC amplo](#10-clusters-kubernetes-com-api-publica-e-rbac-amplo) 11. [11\. Funções serverless com variáveis sensíveis em texto claro](#11-funcoes-serverless-com-variaveis-sensiveis-em-texto-claro) 12. [12\. Recursos órfãos](#12-recursos-orfaos) 13. [CSPM e IaC: prevenir e detectar](#cspm-e-iac-prevenir-e-detectar) 14. [Priorize pelo caminho de ataque](#priorize-pelo-caminho-de-ataque) No modelo de responsabilidade compartilhada, o provedor de nuvem protege a infraestrutura física e os serviços base, e o cliente é responsável por como configura e usa esses serviços. É nessa segunda parte que mora a maioria dos incidentes. Um dos vazamentos mais conhecidos da história da nuvem combinou um firewall de aplicação mal configurado, uma falha de SSRF e um papel com permissão ampla demais para ler buckets, expondo dados de mais de 100 milhões de pessoas. CSPM (*Cloud Security Posture Management*) é a prática de avaliar continuamente essas configurações. Abaixo estão as doze falhas que mais aparecem, com o que verificar em cada provedor. ## [1\. Armazenamento de objetos público](#1-armazenamento-de-objetos-publico) Buckets S3, contêineres do Azure Blob e buckets do Cloud Storage acessíveis por qualquer pessoa na internet. - **AWS:** ative o bloqueio de acesso público no nível da conta, não só do bucket. - **Azure:** desative o acesso anônimo a blobs na conta de armazenamento. - **GCP:** use a prevenção de acesso público em nível de organização. ## [2\. Identidades com permissão excessiva](#2-identidades-com-permissao-excessiva) Políticas com `"Action": "*"` ou `"Resource": "*"`, papéis de proprietário atribuídos a contas de serviço, usuários com acesso administrativo que nunca usam. ```json { "Effect": "Allow", "Action": "s3:*", "Resource": "*" } ``` Troque por ações e recursos específicos e use as ferramentas de análise de acesso do provedor para remover permissões não usadas nos últimos 90 dias. ## [3\. Usuários sem MFA e chaves de acesso antigas](#3-usuarios-sem-mfa-e-chaves-de-acesso-antigas) Contas humanas sem MFA e chaves de acesso estáticas com mais de 90 dias. Chaves antigas são as que acabam em repositórios. Veja o que fazer quando uma [vaza no Git](https://security.transitax.com/blog/vazamento-de-secrets-no-git). ## [4\. Banco de dados acessível pela internet](#4-banco-de-dados-acessivel-pela-internet) Instâncias RDS, Azure SQL ou Cloud SQL com IP público e regra de firewall aberta. Bancos devem ficar em sub-redes privadas, acessados por bastion, VPN ou conexão privada. ## [5\. Security groups e firewalls abertos para o mundo](#5-security-groups-e-firewalls-abertos-para-o-mundo) Portas 22 (SSH), 3389 (RDP), 5432, 3306, 6379 e 9200 abertas para `0.0.0.0/0`. Use acesso via gerenciador de sessões do provedor em vez de SSH exposto. ## [6\. Trilhas de auditoria desligadas](#6-trilhas-de-auditoria-desligadas) CloudTrail, Activity Log e Cloud Audit Logs desativados, sem retenção adequada ou sem proteção contra exclusão. Sem esses logs, não dá para investigar um incidente nem cumprir o prazo de comunicação da [LGPD](https://security.transitax.com/blog/lgpd-seguranca-de-aplicacoes). ## [7\. Criptografia em repouso desativada](#7-criptografia-em-repouso-desativada) Volumes, snapshots, bancos e backups sem criptografia, ou com chaves gerenciadas sem rotação. Hoje a maioria dos serviços criptografa por padrão, mas recursos antigos e snapshots compartilhados escapam. ## [8\. Snapshots e imagens compartilhados publicamente](#8-snapshots-e-imagens-compartilhados-publicamente) Snapshots de disco e de banco marcados como públicos por engano, muitas vezes com cópia completa de produção. ## [9\. Acesso a metadados da instância sem proteção](#9-acesso-a-metadados-da-instancia-sem-protecao) Na AWS, o IMDSv1 permite que uma falha de SSRF na aplicação leia credenciais temporárias da instância. Exija IMDSv2 em todas as instâncias. SSRF agora faz parte da categoria de controle de acesso quebrado no [OWASP Top 10 2025](https://security.transitax.com/blog/owasp-top-10-2025). ## [10\. Clusters Kubernetes com API pública e RBAC amplo](#10-clusters-kubernetes-com-api-publica-e-rbac-amplo) Plano de controle exposto, `cluster-admin` atribuído a contas de serviço, pods privilegiados. Veja o [checklist de Kubernetes](https://security.transitax.com/blog/seguranca-containers-kubernetes-checklist). ## [11\. Funções serverless com variáveis sensíveis em texto claro](#11-funcoes-serverless-com-variaveis-sensiveis-em-texto-claro) Credenciais de banco e chaves de API em variáveis de ambiente de funções, visíveis para quem tem leitura no console. Use o gerenciador de segredos do provedor. ## [12\. Recursos órfãos](#12-recursos-orfaos) Máquinas de teste esquecidas, ambientes de homologação antigos, registros DNS apontando para recursos excluídos (que permitem [sequestro de subdomínio](https://security.transitax.com/funcionalidades/superficie-de-ataque)). Tudo que não tem dono vira porta de entrada. ## [CSPM e IaC: prevenir e detectar](#cspm-e-iac-prevenir-e-detectar) A configuração correta deveria nascer no código. A [análise de infraestrutura como código](https://security.transitax.com/funcionalidades/infraestrutura-como-codigo) avalia Terraform, CloudFormation, Bicep e manifestos Kubernetes no pull request, antes do deploy. Mas nem toda mudança passa pelo código: ajustes manuais no console, recursos criados em incidentes e contas legadas só aparecem no [CSPM](https://security.transitax.com/funcionalidades/cspm). | Situação | IaC detecta | CSPM detecta | | --- | --- | --- | | Bucket público declarado no Terraform | Sim, antes do deploy | Sim, depois do deploy | | Porta aberta manualmente no console | Não | Sim | | Recurso criado antes de adotar IaC | Não | Sim | | Diferença entre código e realidade (drift) | Com contexto de nuvem | Sim | ## [Priorize pelo caminho de ataque](#priorize-pelo-caminho-de-ataque) Um CSPM bem configurado encontra centenas de desvios numa conta média. Nem todos importam igualmente. Um bucket público vazio é menos grave do que um bucket privado lido por um papel que está anexado a um container exposto com uma CVE alcançável. Esse encadeamento é o que a análise de [caminhos de ataque](https://security.transitax.com/funcionalidades/caminhos-de-ataque-na-nuvem) mostra, e é por onde a correção deve começar. Priorize nesta ordem: 1. Recursos com **dados sensíveis** (use [DSPM](https://security.transitax.com/funcionalidades/dspm) para saber quais são) 2. Recursos **expostos à internet** 3. Identidades com **permissão de escrita ou administração** 4. O restante, por severidade e esforço Quer ver isso rodando no seu código? Em 30 minutos mostramos a TransiTax Security num repositório seu, separando o que é explorável do que é ruído. [Falar com um especialista](https://security.transitax.com/contato) Escrito por Equipe de Pesquisa TransiTax Security Engenheiros de segurança de aplicações e de nuvem que acompanham registros de pacotes, bases de vulnerabilidades e técnicas de ataque. [Conheça a equipe](https://security.transitax.com/sobre#pesquisa). Neste artigo 1. [1\. Armazenamento de objetos público](#1-armazenamento-de-objetos-publico) 2. [2\. Identidades com permissão excessiva](#2-identidades-com-permissao-excessiva) 3. [3\. Usuários sem MFA e chaves de acesso antigas](#3-usuarios-sem-mfa-e-chaves-de-acesso-antigas) 4. [4\. Banco de dados acessível pela internet](#4-banco-de-dados-acessivel-pela-internet) 5. [5\. Security groups e firewalls abertos para o mundo](#5-security-groups-e-firewalls-abertos-para-o-mundo) 6. [6\. Trilhas de auditoria desligadas](#6-trilhas-de-auditoria-desligadas) 7. [7\. Criptografia em repouso desativada](#7-criptografia-em-repouso-desativada) 8. [8\. Snapshots e imagens compartilhados publicamente](#8-snapshots-e-imagens-compartilhados-publicamente) 9. [9\. Acesso a metadados da instância sem proteção](#9-acesso-a-metadados-da-instancia-sem-protecao) 10. [10\. Clusters Kubernetes com API pública e RBAC amplo](#10-clusters-kubernetes-com-api-publica-e-rbac-amplo) 11. [11\. Funções serverless com variáveis sensíveis em texto claro](#11-funcoes-serverless-com-variaveis-sensiveis-em-texto-claro) 12. [12\. Recursos órfãos](#12-recursos-orfaos) 13. [CSPM e IaC: prevenir e detectar](#cspm-e-iac-prevenir-e-detectar) 14. [Priorize pelo caminho de ataque](#priorize-pelo-caminho-de-ataque) 15. [Perguntas frequentes](#perguntas-frequentes) ## Perguntas frequentes Respostas diretas às dúvidas mais comuns sobre o tema. ### O que é CSPM? Cloud Security Posture Management é a avaliação contínua das configurações de contas de nuvem contra boas práticas e normas de segurança, para encontrar recursos expostos, permissões excessivas, criptografia desligada e logs ausentes. ### CSPM precisa de agente? Não. O CSPM usa as APIs do provedor com um papel somente leitura, sem instalar nada nas máquinas. ### Qual a diferença entre CSPM e CIS Benchmark? O CIS Benchmark é um conjunto de recomendações de configuração. O CSPM é a ferramenta que verifica continuamente se a sua conta segue essas e outras recomendações. ### Com que frequência a nuvem deve ser avaliada? Continuamente. A infraestrutura muda a cada deploy, e uma configuração errada deve ser notada em minutos, não no próximo trimestre. ### CSPM substitui a análise de Terraform? Não. A análise de IaC evita o problema antes do deploy; o CSPM encontra o que escapou ou foi feito fora do código. Os dois se complementam. ## Continue lendo - [Segurança de containers e Kubernetes: checklist com 25 itens20 de maio de 2026Nuvem](https://security.transitax.com/blog/seguranca-containers-kubernetes-checklist) - [O que é SAST: guia completo de análise estática de código16 de setembro de 2026Fundamentos](https://security.transitax.com/blog/o-que-e-sast) - [Pentest com IA: como funciona e quando substituir o pentest manual10 de setembro de 2026Pentest](https://security.transitax.com/blog/pentest-com-ia) ## Veja o que é explorável no seu código Em 30 minutos mostramos a plataforma num repositório seu, separamos o risco real do ruído e montamos uma proposta em reais. [Falar com um especialista](https://security.transitax.com/contato) Resposta em até 1 dia útil.