Um time de segurança em nuvem descobre, durante uma investigação pós-incidente, que o servidor comprometido nunca teve o agente de proteção instalado. Ele existia havia meses, criado para um teste que nunca foi desligado, fora do inventário monitorado. Esse cenário não é exceção.
Segundo o relatório 2025 State of Cloud Security, da Orca Security, 32% dos ativos de nuvem analisados estavam em estado negligenciado. O dado reforça a importância de identificar recursos esquecidos e acompanhar sua manutenção e postura de segurança.
É esse tipo de lacuna que arquitetos de nuvem, engenheiros de segurança e gestores de TI enfrentam ao avaliar fornecedores ou revisar do zero a estratégia de proteção multi-nuvem da empresa. Este artigo explica o que caracteriza a categoria CNAPP, como a Orca Security se diferencia por meio de uma abordagem sem agentes e quais capacidades compõem esse tipo de plataforma na prática.
O ponto cego do modelo tradicional de segurança em nuvem
A proteção de workloads tradicionalmente utiliza agentes e sensores para coletar telemetria de execução. A forma de implantação varia conforme o ambiente, podendo envolver máquinas virtuais, nós de Kubernetes ou mecanismos específicos para serviços serverless. A efetividade dessa cobertura depende da implantação correta, da compatibilidade e da manutenção desses componentes.
Na prática, isso raramente acontece de forma completa. Ambientes crescem por autosserviço, times de desenvolvimento sobem workloads sem passar pelo checklist de segurança, e cada agente adicional consome recursos e cria mais um ponto de manutenção. O resultado documentado pela própria Orca Security em relatórios técnicos é que, em média, soluções baseadas em agente cobrem menos da metade dos ativos de um ambiente de nuvem, deixando de fora exatamente as cargas de trabalho esquecidas e menos monitoradas.
O que é CNAPP e por que a categoria se consolidou
CNAPP é a sigla para Cloud-Native Application Protection Platform. Segundo a definição do Gartner, trata-se de um conjunto unificado e fortemente integrado de capacidades de segurança e conformidade, projetado para proteger infraestrutura e aplicações nativas de nuvem ao longo de todo o ciclo de vida, da criação do código à execução em produção. Isso inclui varredura de artefatos, gestão de configuração, detecção e priorização de risco, e análise comportamental, tudo dentro de uma única plataforma.
Essa consolidação resolve um problema concreto de mercado. Até poucos anos atrás, uma organização precisava contratar ferramentas separadas para gestão de postura de configuração, proteção de workloads, gestão de identidades em nuvem e varredura de vulnerabilidades, cada uma com painel, lógica de alerta e curva de aprendizado próprios. O Gartner projeta que, até 2026, 80% das empresas terão consolidado essas ferramentas em três fornecedores ou menos, ante uma média de dez fornecedores distintos em 2022. O tamanho do mercado reflete essa tendência: segundo a Grand View Research, o mercado global de CNAPP foi avaliado em US$ 9,8 bilhões em 2023 e deve alcançar US$ 16,8 bilhões em 2026, crescendo a uma taxa composta anual de 21,8%.
Quem é a Orca Security e como nasceu a abordagem agentless
A Orca Security foi fundada em 2019 por Avi Shua e Gil Geron, ambos ex-executivos da Check Point, com sede em Portland, nos Estados Unidos, e centro de pesquisa e desenvolvimento em Tel Aviv. A empresa nasceu de uma pergunta específica: era possível obter cobertura completa de um ambiente de nuvem sem repetir o modelo de instrumentação usado em data centers tradicionais? A resposta foi a SideScanning, tecnologia patenteada que dispensa agentes para gerar um perfil de risco completo do ambiente.
Desde então, a companhia levantou aproximadamente US$ 640 milhões em rodadas de investimento, atingindo avaliação de US$ 1,8 bilhão, e foi reconhecida pelo Gartner como fornecedor representativo de CNAPP em seus Market Guides de 2023, 2024 e 2025. A Orca também recebeu o título de parceira global de segurança da AWS, concedido a um número restrito de fornecedores entre milhares de soluções integradas à nuvem da Amazon.
Como o SideScanning enxerga o ambiente sem tocar nos workloads
A diferença entre os dois modelos pode ser resumida em duas perguntas distintas. O agente instalado dentro do workload pergunta: “o que está acontecendo aqui dentro, agora?” Já a abordagem agentless da Orca pergunta: “o que existe neste ambiente e como está configurado, sem que eu precise estar dentro dele?“
Tecnicamente, a SideScanning se conecta às contas de nuvem do cliente por meio de uma função com permissão de leitura, sem exigir regras de firewall de entrada nem credenciais privilegiadas. A partir daí, lê snapshots da camada de armazenamento em bloco dos workloads (como EBS na AWS, discos gerenciados no Azure e discos persistentes no Google Cloud) e reconstrói, em uma visão somente leitura, o sistema de arquivos completo: sistema operacional, pacotes, configurações e registros. Esses dados são combinados com metadados obtidos diretamente das APIs dos provedores de nuvem, sem que um único pacote de rede seja enviado ou qualquer código seja executado no ambiente de produção.
A coleta utiliza APIs e serviços de nuvem, sem depender de uma varredura de rede direcionada às aplicações. Também é necessário distinguir a descoberta de um recurso da inspeção de seu conteúdo: a profundidade da análise depende do serviço, das permissões concedidas e da compatibilidade com os mecanismos de coleta.
A análise agentless identifica riscos a partir dos dados disponíveis nas coletas, mas não equivale, por si só, à observação contínua de processos, memória e eventos de execução. Para complementar essa visibilidade, a Orca oferece o Orca Sensor, baseado em eBPF, com capacidades de detecção e proteção em runtime nos ambientes compatíveis. A combinação deve considerar a criticidade dos workloads e os requisitos de resposta.
Esse desenho tem duas consequências práticas para quem avalia a tecnologia. A primeira é a velocidade: a conexão inicial leva minutos por conta da nuvem, e um perfil de risco completo costuma ficar disponível em até 24 horas, contra semanas de projeto para distribuir agentes em centenas de workloads. A segunda é o impacto zero em performance, já que a varredura ocorre fora do runtime do workload, sem competir por CPU ou memória com a aplicação em produção. Na prática, é a diferença entre depender do que foi lembrado de instrumentar e enxergar, desde o primeiro dia, tudo o que realmente existe no ambiente.
As capacidades que compõem a plataforma CNAPP da Orca
A cobertura ampla obtida pela SideScanning serve de base para um conjunto de módulos que, juntos, formam a proposta de CNAPP da Orca. O CSPM (Cloud Security Posture Management) monitora continuamente a configuração dos ambientes de AWS, Azure e Google Cloud em busca de desvios das melhores práticas, enquanto o CWPP (Cloud Workload Protection Platform) foca na proteção das cargas de trabalho propriamente ditas, incluindo máquinas virtuais, contêineres e funções serverless.
Outro componente relevante é o DSPM (Data Security Posture Management), voltado à descoberta de dados sensíveis e à avaliação de sua exposição e das permissões de acesso. Associar essas informações às vulnerabilidades e configurações ajuda a priorizar riscos conforme o impacto potencial sobre os dados.
A gestão de vulnerabilidades identifica falhas conhecidas em sistemas operacionais, bibliotecas e pacotes de código, cruzando essa informação com o contexto de exposição de cada ativo. Já a detecção de segredos expostos varre repositórios de código e sistemas de arquivos em busca de chaves de API, senhas e tokens deixados em texto plano, um risco mais comum do que se costuma supor: de acordo com o relatório 2025 State of Cloud Security, da própria Orca, 85% das organizações analisadas tinham segredos em texto plano embutidos em repositórios de código-fonte, e o mesmo levantamento mostra que um segredo exposto pode ser localizado e explorado por um atacante em cerca de dois minutos, enquanto o tempo médio de remediação por parte das equipes de segurança gira em torno de 94 dias.
O módulo de CIEM (Cloud Infrastructure Entitlement Management) endereça outro ponto sensível: a gestão de permissões concedidas a identidades humanas e não humanas dentro do ambiente de nuvem, incluindo contas de serviço com privilégios excessivos, um risco amplificado pela adoção de Kubernetes e automações. Por fim, a priorização de risco da plataforma não trata cada achado de forma isolada. Em vez de ranquear vulnerabilidades apenas pela pontuação CVSS, o mecanismo combina múltiplos sinais de contexto, como exposição à internet, presença de dados sensíveis e caminhos de ataque possíveis a partir daquele ponto, para apontar o que realmente representa risco de comprometimento. O próprio Orca Research Pod identificou que, em 13% das organizações analisadas, um único ativo mal configurado era capaz de originar mais de mil caminhos de ataque distintos, o tipo de achado que só se torna visível quando os riscos são correlacionados, e não apenas listados.
Por exemplo, uma máquina exposta à internet, com uma vulnerabilidade explorável e uma identidade autorizada a acessar dados sensíveis, pode exigir prioridade maior do que um ativo isolado com pontuação CVSS superior. O objetivo é identificar combinações que viabilizem um ataque e definir quais correções interrompem esses caminhos. Um caminho de ataque identificado representa uma possibilidade técnica, e não a confirmação de que houve exploração.
Por que esse tema entra na pauta do CISO agora
A migração para arquiteturas multi-nuvem, a expansão de integrações via API e a adoção acelerada de inteligência artificial dentro dos ambientes corporativos têm ampliado a superfície de ataque de forma mais rápida do que a maioria das equipes de segurança consegue instrumentar manualmente. O mesmo relatório da Orca aponta que 84% das organizações já utilizam IA em algum ponto do ambiente de nuvem, o que introduz uma nova categoria de vulnerabilidades associadas a pacotes e modelos de IA, um risco identificado em 62% das organizações analisadas.
Esse crescimento de complexidade acompanha um movimento regulatório que já discutimos em outros artigos deste blog, como a expansão de APIs no Open Finance brasileiro. Para instituições que operam sob exigências da LGPD e de reguladores setoriais, ter visibilidade documentada e contínua sobre a postura de configuração da nuvem deixou de ser diferencial técnico e passou a ser parte da evidência de conformidade esperada em auditorias.
Da ferramenta à operação: o papel da Asper
Entender o que é a Orca Security e como funciona a SideScanning é o ponto de partida. Operar essa visibilidade de forma contínua, cruzando os riscos identificados na nuvem com o restante da postura de segurança da organização, é outro processo.
É nesse ponto que entra a atuação da Asper. Como parceira responsável por operar a Orca Security dentro do seu Cyber Fusion Center, a Asper não se limita a implantar a plataforma: correlaciona os achados de configuração e exposição na nuvem com sinais de identidade, monitorados via SailPoint e Palo Alto, e com a telemetria de endpoint do CrowdStrike Falcon Complete, construindo uma visão única de risco em vez de mais um painel isolado. Essa integração é o que transforma a promessa de visibilidade completa da nuvem em resposta priorizada e ação concreta diante de cada risco identificado.
Para transformar os achados em redução de risco, a operação deve definir responsáveis, prazos de tratamento por criticidade e procedimentos de validação após as correções. Indicadores como cobertura dos ativos em escopo, tempo de remediação e reincidência de configurações inseguras ajudam a acompanhar a efetividade do serviço. A automação das respostas deve seguir playbooks e permissões previamente acordados com o cliente.
Compreender o modelo agentless é o primeiro passo para reavaliar como sua organização enxerga a própria superfície de ataque em nuvem. O passo seguinte é garantir que essa visibilidade esteja sendo, de fato, operada, monitorada e correlacionada com o restante do ambiente corporativo. Quer entender como a Asper pode estruturar e operar a segurança da sua nuvem com a Orca Security dentro do Cyber Fusion Center? Fale com o nosso time de especialistas.
