AWS - Segurança e conformidade

• Responsabilidade da AWS: segurança da nuvem.
  • Proteger a infraestrutura de hardware, software, instalações e rede que executa os serviços AWS.
  • Serviços gerenciados como S3, DynamoDB e RDS.
• Responsabilidade do cliente: segurança na nuvem.
  • Em instâncias EC2, o cliente gerencia o sistema operacional convidado, incluindo correções e atualizações de segurança, firewall, configuração de rede e IAM.
  • Criptografar os dados da aplicação.
• Controles compartilhados:
  • Gestão de correções, gestão de configuração, conscientização e treinamento.

Exemplo com RDS

• Responsabilidade da AWS:
  • Gerenciar a instância EC2 subjacente e desabilitar o acesso SSH.
  • Aplicar correções automaticamente no banco de dados.
  • Aplicar correções automaticamente no sistema operacional.
  • Auditar a instância e os discos subjacentes e garantir seu funcionamento.
• Sua responsabilidade:
  • Conferir portas, IPs e regras de entrada no grupo de segurança do banco.
  • Criar usuários e permissões dentro do banco de dados.
  • Criar o banco com ou sem acesso público.
  • Garantir que os grupos de parâmetros ou o banco permitam apenas conexões SSL.
  • Configurar a criptografia do banco de dados.

Exemplo com S3

• Responsabilidade da AWS:
  • Garantir armazenamento ilimitado.
  • Garantir a disponibilidade de criptografia.
  • Assegurar a separação dos dados de clientes diferentes.
  • Assegurar que funcionários da AWS não possam acessar seus dados.
• Sua responsabilidade:
  • Configuração do bucket.
  • Política e configurações de acesso público do bucket.
  • Usuários e roles IAM.
  • Habilitar a criptografia.

Proteção contra DDoS na AWS

• AWS Shield Standard: protege sites e aplicações contra ataques DDoS, para todos os clientes e sem custo adicional.
• AWS Shield Advanced: proteção DDoS premium, 24/7.
• AWS WAF: filtra solicitações específicas com base em regras.
• CloudFront e Route 53:
  • Protegem a disponibilidade usando a rede global de borda.
  • Combinados ao AWS Shield, mitigam ataques na borda.

AWS Shield

• AWS Shield Standard:
  • Serviço gratuito ativado para todos os clientes AWS.
  • Protege contra ataques como SYN/UDP floods, reflexão e outros ataques nas camadas 3 e 4.
• AWS Shield Advanced:
  • Serviço opcional de mitigação de DDoS, por $3.000 por mês por organização.
  • Protege contra ataques mais sofisticados em Amazon EC2, Elastic Load Balancing (ELB), Amazon CloudFront, AWS Global Accelerator e Route 53.
  • Acesso 24/7 à equipe de resposta a DDoS da AWS (DRP).
  • Protege contra cobranças maiores durante picos de utilização causados por DDoS.

AWS WAF - Firewall de aplicações web

• Protege aplicações web contra explorações comuns na camada 7.
• A camada 7 corresponde ao HTTP, enquanto a camada 4 corresponde ao TCP.
• Implantação em Application Load Balancer, API Gateway e CloudFront.
• Defina uma Web ACL, lista de controle de acesso web:
  • As regras podem incluir endereços IP, cabeçalhos HTTP, corpo HTTP ou strings da URI.
  • Proteção contra ataques comuns, como SQL injection e Cross-Site Scripting (XSS).
  • Restrições de tamanho e correspondência geográfica para bloquear países.
  • Regras baseadas em taxa, que contam ocorrências de eventos, para proteção contra DDoS.

AWS Network Firewall

• Protege toda a Amazon VPC.
• Proteção da camada 3 à camada 7.
• Inspeção de tráfego em qualquer direção:
  • Entre VPCs.
  • Saída para a internet.
  • Entrada da internet.
  • De e para Direct Connect e Site-to-Site VPN.

AWS Firewall Manager

• Gerencia regras de segurança nas contas de uma organização AWS.
• Política de segurança: conjunto comum de regras.
  • Grupos de segurança VPC para EC2, Application Load Balancer e outros.
  • Regras do WAF.
  • AWS Shield Advanced.
  • AWS Network Firewall.
• As regras se aplicam aos novos recursos assim que são criados, ajudando na conformidade de todas as contas atuais e futuras da organização.

Testes de invasão na nuvem AWS

• Clientes AWS podem realizar avaliações de segurança ou testes de invasão em sua infraestrutura sem aprovação prévia para oito serviços:
  • Instâncias Amazon EC2, NAT Gateways e Elastic Load Balancers.
  • Amazon RDS.
  • Amazon CloudFront.
  • Amazon Aurora.
  • Amazon API Gateway.
  • Funções AWS Lambda e Lambda@Edge.
  • Recursos Amazon Lightsail.
  • Ambientes Amazon Elastic Beanstalk.
• Atividades proibidas:
  • Enumeração de zonas DNS por Hosted Zones do Amazon Route 53.
  • Negação de serviço (DoS), negação de serviço distribuída (DDoS) e simulações de DoS ou DDoS.
  • Inundação de portas.
  • Inundação de protocolos.
  • Inundação de solicitações, incluindo login e chamadas de API.

Dados em repouso e dados em trânsito

• Em repouso: dados armazenados ou arquivados em um dispositivo.
  • Em disco rígido, instância RDS ou S3 Glacier Deep Archive, por exemplo.
• Em trânsito: dados movidos de um local para outro.
  • Transferências do ambiente local para a AWS ou de EC2 para DynamoDB.
  • São os dados transferidos pela rede.

AWS KMS (Key Management Service)

• Ao ouvir sobre criptografia em um serviço AWS, provavelmente há KMS envolvido.
• KMS significa que a AWS gerencia as chaves de criptografia para nós.
• Criptografia opcional:
  • Volumes EBS: criptografia dos volumes.
  • Buckets S3: criptografia de objetos no servidor; SSE-S3 é habilitado por padrão e SSE-KMS é opcional.
  • Banco Redshift: criptografia dos dados.
  • Banco RDS: criptografia dos dados.
  • Unidades EFS: criptografia dos dados.
• Criptografia habilitada automaticamente:
  • Logs do CloudTrail.
  • S3 Glacier.
  • Storage Gateway.

CloudHSM

• KMS: a AWS gerencia o software de criptografia.
• CloudHSM: a AWS provisiona o hardware de criptografia.
• Hardware dedicado: HSM significa Hardware Security Module.
• Você gerencia suas próprias chaves de criptografia integralmente, sem a AWS.
• O dispositivo HSM resiste a adulterações e atende ao FIPS 140-2 Nível 3.

Tipos de chave KMS

• Customer Managed Key:
  • Criada, gerenciada e usada pelo cliente, que pode habilitá-la ou desabilitá-la.
  • Permite política de rotação: uma nova chave é gerada a cada ano e a anterior é preservada.
  • Permite trazer sua própria chave.
• AWS Managed Key:
  • Criada, gerenciada e usada pela AWS em nome do cliente.
  • Utilizada por serviços AWS, como aws/s3, aws/ebs e aws/redshift.
• AWS Owned Key:
  • Conjunto de CMKs pertencentes a um serviço AWS e gerenciadas por ele para uso em várias contas.
  • A AWS pode usá-las para proteger recursos na sua conta, mas você não consegue visualizar as chaves.
• Chaves CloudHSM, em um armazenamento de chaves personalizado:
  • Geradas pelo seu próprio dispositivo de hardware CloudHSM.
  • As operações criptográficas são realizadas dentro do cluster CloudHSM.

AWS Certificate Manager (ACM)

• Facilita provisionar, gerenciar e implantar certificados SSL/TLS.
• Usado para criptografar dados em trânsito de sites HTTPS.
• Compatível com certificados TLS públicos e privados.
• Certificados TLS públicos sem cobrança.
• Renovação automática dos certificados TLS.
• Integrações nas quais é possível carregar certificados TLS:
  • Elastic Load Balancers.
  • Distribuições CloudFront.
  • APIs no API Gateway.

AWS Secrets Manager

• Serviço mais recente voltado ao armazenamento de segredos.
• Permite exigir a rotação dos segredos a cada X dias.
• Automatiza a geração de segredos durante a rotação com Lambda.
• Integração com Amazon RDS: MySQL, PostgreSQL e Aurora.
• Os segredos são criptografados com KMS.
• Voltado principalmente à integração com RDS.

AWS Artifact (não é um serviço)

• Portal que oferece acesso sob demanda à documentação de conformidade e aos contratos da AWS.
• Artifact Reports: permite baixar documentos de segurança e conformidade produzidos por auditores independentes, como certificações ISO, relatórios PCI e relatórios System and Organization Control (SOC).
• Artifact Agreements: permite revisar, aceitar e acompanhar contratos AWS, como Business Associate Addendum (BAA) ou Health Insurance Portability and Accountability Act (HIPAA), para uma conta individual ou para a organização.
• Pode apoiar auditorias internas ou iniciativas de conformidade.

Amazon GuardDuty

• Detecção inteligente de ameaças para proteger a conta AWS.
• Usa algoritmos de machine learning, detecção de anomalias e dados de terceiros.
• Habilitado em um clique, com teste de 30 dias e sem instalação de software.
• Dados de entrada incluem:
  • Logs de eventos CloudTrail: chamadas de API incomuns e implantações não autorizadas.
    • Eventos de gerenciamento CloudTrail: criar uma sub-rede VPC ou uma trilha, por exemplo.
    • Eventos de dados S3 do CloudTrail: obter, listar ou excluir objetos.
  • VPC Flow Logs: tráfego interno ou endereços IP incomuns.
  • Logs DNS: instâncias EC2 comprometidas enviando dados codificados em consultas DNS.
  • Recursos opcionais: logs de auditoria EKS, RDS e Aurora, EBS, Lambda e eventos de dados S3.
  • Regras EventBridge podem notificar sobre descobertas.
  • As regras podem ter funções AWS Lambda ou SNS como destino.
  • Pode proteger contra ataques de criptomoedas, com uma descoberta específica para eles.

Amazon Inspector

• Avaliações automatizadas de segurança.
• Em instâncias EC2:
  • Usa o agente AWS Systems Manager (SSM).
  • Analisa a acessibilidade de rede não intencional.
  • Analisa vulnerabilidades conhecidas no sistema operacional em execução.
• Em imagens de contêiner enviadas ao Amazon ECR:
  • Avalia as imagens quando elas são enviadas.
• Em funções Lambda:
  • Identifica vulnerabilidades de software no código e nas dependências.
  • Avalia as funções durante a implantação.
• Relatórios e integração com o AWS Security Hub.
• Envia descobertas ao Amazon EventBridge.
• Lembrete: apenas para instâncias EC2, imagens de contêiner e funções Lambda.

AWS Config

• Ajuda a auditar e registrar a conformidade dos recursos AWS.
• Registra configurações e mudanças ao longo do tempo.
• Os dados de configuração podem ser armazenados no S3 e analisados pelo Athena.
• Perguntas que o AWS Config ajuda a responder:
  • Há acesso SSH irrestrito nos meus grupos de segurança?
  • Meus buckets têm acesso público?
  • Como a configuração do meu ALB mudou ao longo do tempo?
• É possível receber alertas de mudanças por notificações SNS.
• É um serviço regional.
• Os dados podem ser agregados entre Regiões e contas.

Amazon Macie

• Serviço totalmente gerenciado de segurança e privacidade de dados, que usa machine learning e correspondência de padrões para descobrir e proteger dados confidenciais na AWS.
• Ajuda a identificar dados confidenciais e gerar alertas, incluindo informações de identificação pessoal (PII).

AWS Security Hub

• Ferramenta central para gerenciar segurança em várias contas AWS e automatizar verificações.
• Painéis integrados mostram o estado atual de segurança e conformidade para agilizar as ações.
• Agrega automaticamente alertas em formatos de descoberta predefinidos ou personalizados, vindos de serviços AWS e ferramentas de parceiros:
  • Config.
  • GuardDuty.
  • Inspector.
  • Macie.
  • IAM Access Analyzer.
  • AWS Systems Manager.
  • AWS Firewall Manager.
  • AWS Health.
  • Soluções da AWS Partner Network.
• Primeiro é necessário habilitar o AWS Config.

Amazon Detective

• GuardDuty, Macie e Security Hub identificam possíveis problemas de segurança, chamados de descobertas.
• Algumas descobertas exigem análise aprofundada para isolar a causa raiz e agir, o que pode ser complexo.
• O Amazon Detective analisa, investiga e identifica rapidamente a causa raiz de problemas de segurança ou atividades suspeitas usando ML e grafos.
• Coleta e processa automaticamente eventos de VPC Flow Logs, CloudTrail e GuardDuty para criar uma visão unificada.
• Produz visualizações com detalhes e contexto para chegar à causa raiz.

AWS Abuse

• Canal para denunciar recursos AWS suspeitos de uso abusivo ou ilegal.
• Comportamentos abusivos e proibidos incluem:
  • Spam: e-mails indesejados enviados por IPs da AWS e spam em sites ou fóruns a partir de recursos AWS.
  • Varredura de portas: envio de pacotes às suas portas para descobrir quais estão desprotegidas.
  • Ataques DoS ou DDoS: IPs da AWS tentando sobrecarregar ou derrubar servidores ou software.
  • Tentativas de invasão: tentativas de login nos seus recursos.
  • Hospedagem de conteúdo impróprio ou protegido por direitos autorais: distribuição ilegal ou sem consentimento.
  • Distribuição de malware: recursos AWS distribuindo software para prejudicar computadores ou máquinas.

Privilégios do usuário root

• Usuário root é o proprietário da conta, criado junto com ela.
• Tem acesso completo a todos os serviços e recursos AWS.
• Guarde com segurança as chaves de acesso do usuário root.
• Não use a conta root nas tarefas cotidianas, nem mesmo administrativas.
• Ações que somente o usuário root pode executar:
  • Alterar configurações da conta.
  • Visualizar determinadas notas fiscais.
  • Encerrar a conta AWS.
  • Restaurar permissões de usuários IAM.
  • Alterar ou cancelar o plano de suporte AWS.
  • Registrar-se como vendedor no Reserved Instance Marketplace.
  • Configurar um bucket Amazon S3 para habilitar MFA.
  • Editar ou excluir uma política de bucket S3 que contenha um VPC ID ou VPC endpoint ID inválido.
  • Inscrever-se no GovCloud.

IAM Access Analyzer

• Identifica recursos compartilhados externamente:
  • Buckets S3.
  • Roles IAM.
  • Chaves KMS.
  • Funções e layers Lambda.
  • Filas SQS.
  • Segredos do Secrets Manager.
• Defina a zona de confiança: uma conta AWS ou organização AWS.
• Acessos fora da zona de confiança geram descobertas.