Para a maioria das grandes corporações, o processo de auditoria de conformidade (seja SOC 2, ISO 27001 ou avaliações de privacidade sob a LGPD) assemelha-se a uma peça de teatro trimestral. Engenheiros correm para extrair capturas de tela, administradores de banco de dados exportam logs manualmente e a equipe de GRC compila planilhas estáticas. A fragilidade desse modelo é gritante: no instante em que o relatório é assinado, a postura real de segurança já mudou. A evidência manual não passa de uma foto desatualizada de um alvo em movimento.
No Virtual Officer, partimos de uma premissa fundamental: a confiança não pode ser baseada em autodeclarações ou amostragens manuais. Ela deve ser um reflexo contínuo, dinâmico e criptograficamente verificável da sua infraestrutura operacional.
1. Auditoria Contínua Bilateral: Perímetro Externo (Mantis ASM) e Postura Interna (Prowler CSPM)
A primeira camada de uma auditoria contínua eficaz reside na visibilidade ininterrupta e bidirecional. O Virtual Officer estabelece essa defesa através de duas frentes complementares de monitoramento contínuo da sua infraestrutura: o mapeamento do perímetro externo (Mantis ASM) e a auditoria de postura interna em nuvem (Prowler CSPM).
A. Monitoramento de Perímetro Ativo via Mantis ASM
Para a visibilidade do perímetro externo exposto à internet, o Virtual Officer integra o motor de varredura Mantis ASM por meio do serviço dedicado vo-api-asm.
Esta arquitetura conecta-se ao banco de dados central da plataforma (VODB) e a uma instância separada do Mantis (MANTISDB) hospedada no MongoDB Atlas (através de assets_collection e findings_collection). Por meio de consultas assíncronas direcionadas a APIs baseadas em AWS Lambda autenticadas via Bearer token, o sistema cataloga continuamente os ativos externos da organização:
- Domínios de Nível Superior (TLDs) e subdomínios expostos.
- Portas de rede abertas e tecnologias web ativas.
- Certificados de segurança e servidores expostos à internet.
Para garantir que grandes corporações com múltiplas subsidiárias mantenham a separação lógica absoluta de seus dados, o Virtual Officer impõe um isolamento de tenant rigoroso por meio do campo identificador único org diretamente nas coleções de ativos e achados do MantisDB.
B. Auditoria de Postura em Nuvem (CSPM) via Prowler
Complementando a análise externa, a visibilidade interna deve cobrir as configurações de infraestruturas sob múltiplos provedores de nuvem (AWS, Azure e GCP). Essa tarefa é orquestrada pelo microsserviço vo-api-cspm por meio da integração nativa com a API do Prowler SaaS.
A segurança e a integridade dessa integração residem no modelo de autenticação seguro para cada provedor, estruturado para mitigar o vazamento de credenciais persistentes:
- AWS (Role Delegation): Em vez de chaves de API fixas, o Virtual Officer utiliza delegação de privilégio temporário via IAM Role ARN (
role_arn) e um ID Externo gerado dinamicamente (external_idviarandomUUID), eliminando credenciais estáticas de infraestrutura nas políticas de acesso. - Azure: Autenticação via Client ID, Client Secret e Tenant ID.
- GCP: Credenciamento baseado em arquivos de chaves de conta de serviço (Service Account JSON).
No momento do cadastro da conta e da garantia da organização do cliente via ScannerTenantService.ensureOrganization, uma varredura inicial é imediatamente enfileirada (prowler.triggerScan), sendo mantida sob cronogramas de auditoria recorrentes.
O diferencial analítico está no consumo dos resultados (listFindings). O Prowler gera um identificador exclusivo (UID) para cada conformidade sob o formato prowler-{provider}-{check_id}-{account_id}-{region}-{resource_name}. No backend do Virtual Officer, o microsserviço realiza um parse estruturado dessa string para extrair e expor como atributos estruturados de primeira classe o ID da conta cloud (account_uid), a região geográfica (region) e o nome exato do recurso vulnerável (resource_name). Isso permite que os times de GRC façam a triagem e a resolução exata das vulnerabilidades diretamente no nível do ativo afetado, em vez de lidar com checklists conceituais e genéricos.
2. A Cadeia de Custódia Digital: Do Upload ao S3 Vault Permanente
O recolhimento de evidências regulatórias exige garantias rígidas contra fraudes e adulterações. No Virtual Officer, a coleta de evidências de fornecedores e de infraestrutura técnica segue um fluxo de validação e custódia blindado:
- Validação e Hashing SHA-256 Imediatos: Assim que um documento de evidência é enviado ao microsserviço
vo-api-vendor, o backend gera instantaneamente seu hash SHA-256. Esse identificador criptográfico único é comparado no banco de dados para evitar a duplicidade de arquivos e rastrear a integridade exata do documento desde o primeiro segundo. - Ingestão em Zona de Trânsito Efêmera: O arquivo é depositado temporariamente em um bucket S3 de entrada (
virtualofficer-evidence-inbound). Este bucket possui uma política de ciclo de vida restrita que expira e elimina automaticamente qualquer arquivo após 24 horas. - Escaneamento Anti-Malware com Amazon GuardDuty: Antes que o arquivo seja aceito no repositório de governança permanente, a proteção contra malware do Amazon GuardDuty realiza uma varredura profunda no arquivo em trânsito.
- Segregação Automatizada por Eventos: Se o arquivo for sinalizado com ameaças (
THREATS_FOUND), ele é expurgado imediatamente do bucket temporário. Somente arquivos validados como limpos (NO_THREATS_FOUND) são transferidos para o repositório definitivo pela Lambda de custódia (MoverLambda), mantendo intactos seus metadados originais de criação. - Custódia Permanente WORM (Write Once, Read Many): Uma vez aprovado, o arquivo reside no S3 Vault permanente (
virtualofficer-evidence-vault). Este bucket opera obrigatoriamente com versionamento ativado e com a funcionalidade S3 Object Lock ativada por padrão sob o parâmetro de retenção física de 5 anos.
A imutabilidade no Object Lock do S3 garante que nenhum usuário, administrador do sistema ou mesmo o Virtual Officer possa apagar ou alterar o documento histórico antes do fim do período de custódia física de 5 anos. Uma vez gravada, a evidência é definitiva.
3. Alimentando a Governança Real-Time
A evidência estocada, os achados de perímetro mapeados pelo Mantis ASM e as vulnerabilidades internas de postura detectadas pelo Prowler CSPM não são apenas dados frios em um log de auditoria. Eles alimentam nativamente e de maneira dinâmica a Análise de Gaps (Gap Analysis) e os programas de conformidade do Virtual Officer.
No Virtual Officer, a correlação entre as vulnerabilidades ativas (tanto externas do Mantis ASM quanto internas do Prowler CSPM) e a aderência aos controles regulatórios — como o Secure Controls Framework (SCF), ISO 27001 ou as normas da ANPD — é viabilizada pelo assistente Jarvis AI via MCP (Model Context Protocol), que cruza esses dados de forma contextualizada (RAG-driven), ou de forma assistida para o operador humano. Em vez de pontuações subjetivas em planilhas frias, os times de GRC contam com uma ponte inteligente que vincula as evidências físicas coletadas e as vulnerabilidades reais de nuvem às lacunas do Gap Analysis, fornecendo um painel dinâmico cujas provas são auditáveis na origem.
A confiança corporativa moderna não é construída com promessas de segurança; ela é demonstrada através de provas matemáticas e arquitetura de dados inviolável.