AWS Builder Center

Builder Center

Segurança na nuvem AWS: 6 fundamentos para acertar desde a primeira conta

Um guia prático para quem está começando: o que é responsabilidade sua na AWS e as configurações de identidade, rede, dados e monitoramento que evitam os incidentes mais comuns.

A maioria dos incidentes de segurança na nuvem não vem de ataques sofisticados, e sim de configurações erradas: uma chave de acesso exposta no GitHub, um bucket público, uma porta aberta para o mundo. A boa notícia é que poucos hábitos resolvem a maior parte desses problemas.

1. Entenda o modelo de responsabilidade compartilhada

A AWS cuida da segurança da nuvem: data centers, hardware, rede e a camada de virtualização. Você cuida da segurança na nuvem: identidades, dados, configuração de rede, sistema operacional e aplicações.
Na prática, se um bucket está público ou uma senha vazou, a responsabilidade é sua. Saber onde fica essa linha é o primeiro passo.

2. Proteja a identidade antes de tudo

Identidade é o novo perímetro. Comece por aqui:
  • Ative MFA no usuário root e não o use no dia a dia.
  • Não crie chaves de acesso para o root.
  • Prefira credenciais temporárias (IAM roles e IAM Identity Center) a chaves de longa duração.
  • Aplique o princípio do menor privilégio: comece sem permissões e libere apenas o necessário.
Um exemplo de política que permite apenas leitura em um único bucket:
1
2
3
4
5
6
7
8
9
10
11
12
13
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": ["s3:GetObject", "s3:ListBucket"],
"Resource": [
"arn:aws:s3:::meu-bucket",
"arn:aws:s3:::meu-bucket/*"
]
}
]
}
O IAM Access Analyzer ajuda a encontrar permissões excessivas e recursos compartilhados fora da sua conta.

3. Feche a rede por padrão

  • Security groups negam todo tráfego de entrada por padrão. Mantenha assim e abra apenas o que for preciso.
  • Evite 0.0.0.0/0 em portas de administração como 22 (SSH) e 3389 (RDP). O Systems Manager Session Manager permite acessar instâncias sem abrir essas portas.
  • Coloque bancos de dados e serviços internos em sub-redes privadas.
  • Exija IMDSv2 nas instâncias EC2 para reduzir o risco de roubo de credenciais via SSRF.

4. Proteja os dados

  • Mantenha o S3 Block Public Access ativado na conta inteira.
  • Use criptografia em repouso com AWS KMS e em trânsito com TLS.
  • Nunca coloque segredos no código. Use AWS Secrets Manager ou Parameter Store.
  • Ative versionamento e backups para o que for crítico.

5. Registre e monitore

Você não consegue responder ao que não consegue ver.
  • AWS CloudTrail registra as chamadas de API da conta. Crie uma trilha enviando os logs para um bucket protegido.
  • Amazon GuardDuty detecta comportamentos suspeitos, como uso anômalo de credenciais e comunicação com IPs maliciosos.
  • AWS Security Hub centraliza os achados e verifica boas práticas automaticamente.
  • AWS Config acompanha mudanças de configuração ao longo do tempo.
Crie também um alerta no AWS Budgets: um salto inesperado de custo costuma ser o primeiro sinal de uma conta comprometida.

6. Automatize

Configuração manual não escala e gera erro. Defina a infraestrutura como código (CloudFormation, CDK ou Terraform), revise mudanças em pull requests e rode verificações de segurança no pipeline antes do deploy.

Conclusão

Segurança na nuvem é um processo contínuo, não uma configuração única. Comece pela identidade, feche o que não precisa estar aberto, ligue os logs e revise com frequência. Com esses fundamentos, você já está à frente da maioria dos erros que causam incidentes reais.
# amazon-cloudsearch# cloud-concepts# cloud-operations# cloud-practitioner# cloud-security
Any opinions in this article are those of the individual author and may not reflect the opinions of AWS.
Enjoyed reading this content? Let the author know!

Your likes, comments, shares, and saves help creators reach more builders.

Loading recommendations

Loading article