# AWS a prova de ataque Uma implantação de Amazon Web Services (AWS) é tão segura quanto suas configurações. Com a adoção da nuvem aumentando a cada ano, os ataques a instâncias críticas da AWS estão aumentando. A violação de dados da Capital One, que se estima ter custado à empresa mais de US $ 300 milhões em danos, aconteceu devido a uma configuração incorreta na plataforma AWS. O invasor conseguiu explorar o firewall mal configurado para acessar os números da Previdência Social, pontuações de crédito e dados de transações de cartão de crédito de mais de 100 milhões de clientes. Aprenda as práticas recomendadas que o mantêm longe de configurações incorretas da AWS lendo este e-book. Ele fornece uma visão geral das configurações e práticas recomendadas da AWS que podem ajudá-lo a se defender contra ataques e também oferece algumas dicas importantes para eliminar brechas de segurança. ## Introdução Com a adoção da nuvem aumentando a cada ano, proteger os recursos nas plataformas de nuvem contra ataques é algo com que os administradores de segurança lidam todos os dias. Como muitas organizações têm algumas ou todas as suas aplicações críticas para os negócios na nuvem, os ataques estão se tornando mais comuns. Uma das maiores violações de dados em 2019 aconteceu na plataforma Amazon Web Services (AWS). O invasor conseguiu explorar um firewall de aplicativo da Web mal configurado para acessar números de Previdência Social, pontuações de crédito e dados de transações de cartão de crédito de mais de 100 milhões de clientes. Estima-se que esta violação de dados tenha custado à Capital One mais de US$ 300 milhões em danos. Como demonstrou a violação de dados da Capital One, uma configuração incorreta das configurações da AWS pode ser desastrosa para qualquer organização. No modelo de responsabilidade compartilhada adotado pela AWS, a segurança é tratada conjuntamente pelo cliente e pela AWS. A AWS assume a responsabilidade pela segurança na nuvem, como armazenamento, bancos de dados e infraestrutura. A segurança da nuvem, que inclui configurações de IAM (gerenciamento de identidades e acesso), rede e firewall, é de responsabilidade do cliente. Isto destaca o fato de que a nuvem é tão segura quanto configurada. Este e-book fornece uma visão geral das configurações e práticas recomendadas que podem ajudá-lo a se defender contra ataques e também oferece algumas dicas importantes sobre como eliminar brechas de segurança. ## A arquitetura de segurança da AWS Compreender a arquitetura de segurança da AWS é essencial para implantar com eficácia as ferramentas que ela oferece para proteger a rede virtual integrando seus recursos locais e da AWS. ### Listas de controle de acesso à rede As listas de controle de acesso à rede (NACLs) ajudam a regular o tráfego de entrada e saída de cada sub-rede. Ter uma NACL com um conjunto de regras granulares garante apenas o fluxo de tráfego autorizado entre sub-redes. Elas operam com uma lista de regras numeradas. Por padrão, todos os NACLs personalizados negam o tráfego de entrada e saída. Você pode adicionar regras específicas para permitir apenas o tráfego necessário de entrada e saída da sub-rede. A imagem abaixo mostra um exemplo de como as regras configuradas funcionam em NACLs. ![Network ACL](https://www.manageengine.com/br/log-management/cloud/aws/images/aws-cloud-security-tab2-ss1.png) A última regra afirma que todo o tráfego de saída é negado, exceto o tráfego definido pelas regras acima. Esta regra estará presente por padrão quando você criar uma NACL. A regra 103 afirma que o tráfego HTTPS é negado especificamente para os IPs que se enquadram no intervalo; `ip_address_1/15`. A regra 102 afirma que a porta 5432 usada para acessar o PostgreSQL é permitida para os IPs que estão na faixa `ip_address_2/32`. Da mesma forma, a regra 101 afirma que o acesso HTTP usando a porta 80 é permitido para qualquer IP. ### Nuvem privada virtual e sub-redes Uma nuvem privada virtual (VPC) protege suas instâncias do Amazon Elastic Cloud Compute (EC2) contra acesso direto pela Internet. Com a VPC, você pode definir regras para restringir o tráfego que entra e sai da sua rede virtual. Por padrão, quando uma VPC é criada pela primeira vez para sua conta, ela inclui uma sub-rede pública que permite tráfego de entrada e saída. É aconselhável alterar isso e criar uma sub-rede pública e outra privada em sua VPC. Por exemplo, você gostaria que o servidor web fosse acessível à Internet, mas não aos bancos de dados. Uma maneira de conseguir isso é colocar o servidor web em uma sub-rede pública e os bancos de dados em uma sub-rede privada em sua VPC. ![Virtual Private Cloud](https://www.manageengine.com/br/log-management/cloud/aws/images/aws-cloud-security-tab2-ss2.png) Dessa forma, uma VPC também permite que você tenha partições lógicas entre os diferentes tipos de recursos que você possui em uma plataforma de nuvem. Uma única conta AWS permite a criação de até cinco VPCs. Além de um servidor web e um servidor de banco de dados, se você quiser usar AWS para armazenamento de objetos não estruturados, como imagens ou arquivos de texto, poderá criar outra VPC com apenas uma sub-rede privada. Isso garantirá que os dados armazenados na VPC permaneçam isolados da Internet e sejam acessíveis apenas para sua organização. O particionamento dos recursos na sua conta da AWS, com base no tráfego que você prefere permitir ou negar, traz mais estrutura às suas operações na nuvem. Isso também garantirá que os dados que deveriam estar acessíveis pela Internet sejam facilmente acessíveis, enquanto aqueles que são essenciais para suas operações permaneçam isolados da Internet e privados para sua organização. ## Configurações para proteger seu ambiente AWS A adoção de configurações críticas de segurança pode ajudar muito a fortalecer aplicativos vitais em suas plataformas de nuvem. Aqui estão alguns exemplos: 1. Permitir acesso ao Secure Socket Shell (SSH) e ao Remote Desktop Protocol (RDP) da Microsoft apenas para os administradores de uma sub-rede específica. Você poderia fazer isso definindo o intervalo de IP na seção de origem do NACL. Além disso, você também pode negar o tráfego de uma origem ou porta específica. ![Network ACL](https://www.manageengine.com/br/log-management/cloud/aws/images/aws-cloud-security-tab3-ss1.png) Pode ser desastroso se você acidentalmente definir `ip_address_3/0` como fonte sem definir o intervalo de portas. Por exemplo, considere uma regra que declara o tipo de tráfego como "Todo o tráfego", o protocolo e o intervalo de portas são definidos como "TODOS", e a origem é `ip_address_3/0` e a opção é "PERMITIR". Isso significa que qualquer pessoa na Internet pode acessar seus recursos críticos, como um banco de dados. 2. Criptografe os objetos em seu bucket do Simple Storage Service (Amazon S3). Ao selecionar a opção de criptografar objetos em seu bucket do Amazon S3, seus dados ainda estarão protegidos em caso de violação. Os buckets do Amazon S3 não são criptografados por padrão. Você pode alterar isso selecionando a opção criptografar. ![Amazon S3](https://www.manageengine.com/br/log-management/cloud/aws/images/aws-cloud-security-tab3-ss2.png) 3. Defina o acesso aos buckets do Amazon S3 como privado. Não definir o acesso como privado é um erro de configuração comum que resulta na exposição de dados confidenciais. ![Set access to Amazon S3 buckets to private](https://www.manageengine.com/br/log-management/cloud/aws/images/aws-cloud-security-tab3-ss3.png) 4. Use gateways Network Address Translator (NAT) para fornecer acesso seguro à Internet a recursos em uma sub-rede privada. Caso você precise de acesso à Internet para recursos críticos como o DynamoDB da Amazon, configurar um gateway NAT é considerado uma das maneiras mais seguras de fazer isso. ![Network Address Translator](https://www.manageengine.com/br/log-management/cloud/aws/images/aws-cloud-security-tab3-ss4.png) 5. Caso você esteja usando AWS para desenvolvimento e teste de aplicações, certifique-se de usar VPCs separados para desenvolvimento, preparação e produção. 6. Garantir que o princípio do privilégio mínimo seja utilizado para funções de gerenciamento de identidade e acesso (IAM). Privilégios excessivos para um usuário são uma vulnerabilidade. No console do IAM, você pode verificar quais ações um usuário pode realizar com seu nível de acesso. Esta pode ser uma ótima ferramenta para analisar e ajustar permissões. ![Identity and Access Management](https://www.manageengine.com/log-management/cloud/aws/images/aws-cloud-security-tab3-ss5.png) 7. Certifique-se de que o CloudTrail, que permite que os clientes da AWS registrem chamadas de interface de programação de aplicativos (API) e arquivos de log em buckets do Amazon S3 para armazenamento, esteja habilitado. Você também pode integrar o CloudTrail ao Amazon CloudWatch para monitorar eventos, recursos e aplicações de clientes em sua AWS. 8. Um usuário root é uma função criada quando sua conta da AWS é estabelecida. É aconselhável criar funções de administrador para tarefas diárias, em vez de usar a conta de usuário root. Isso ocorre porque a conta do usuário root vem com privilégios completos. Restringir o uso desta conta pode ajudar a protegê-la contra uso indevido. ## Como uma solução SIEM em nuvem pode ajudar a proteger seu ambiente AWS O Log360 Cloud da ManageEngine, uma solução de gerenciamento de eventos e informações de segurança (SIEM) na nuvem, pode ajudá-lo a gerenciar, monitorar e assumir o controle da segurança da AWS. Ele oferece suporte à coleta de logs do CloudTrail, logs de acesso ELB e logs S3; agrega essas informações; e apresenta-o na forma de relatórios acionáveis. ### Algumas áreas principais que o Log360 Cloud pode ajudar você a monitorar - Gerenciamento de logs do Amazon S3 - Registro de bucket do Amazon S3 - Relatórios de atividades do AWS IAM - Configuração automática da AWS - Análise de tráfego AWS ELB - Auditoria de alterações de grupos de segurança da AWS - Relatórios de atividades do Amazon RDS - Análise forense usando logs do CloudTrail Para eventos que exigem atenção imediata, o Log360 Cloud permite configurar alertas para notificações instantâneas por e-mail ou SMS. Ele também possui um recurso de gerenciamento de incidentes de ponta a ponta com rastreamento de status integrado e encaminhamento de tickets para facilitar a detecção e resolução de incidentes sem problemas.