Segurança - 10 regras que você deve saber antes de migrar sua infraestrutura para nuvem

© 2018, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
Marcello Zillo Neto
Principal Security SA
mzillo@amazon.com
Segurança - 10 regras que você deve saber antes
de migrar sua infra-estrutura para nuvem.

Desafios de Segurança
Visibilidade Automação

OUAgilidade Segurança
Modelo Tradicional

OUEAgilidade Segurança
Modelo Nuvem

Entenda o modelo de responsabilidade
compartilhada e conheça os programas de
Conformidade e Segurança AWS.
#1

Modelo de Responsabilidade Compartilhada
#1
https://aws.amazon.com/pt/compliance/shared-responsibility-model/

Certificações, Conformidade e Segurança AWS
#1
• Mais de 58 certificações e acreditações
• Mais de 2.600 controles auditados
anualmente.
• Relatórios de auditoria e conformidade de
disponíveis para os clientes no portal de
serviços da AWS - AWS Artifact.

AWS Artifact – Segurança DA Nuvem
#1

Como implementar a Segurança NA NUVEM

Comece sua jornada de segurança gerenciando
corretamente os acessos, tudo começa com uma
credencial de acesso.
#2

Identity and Access Management
AWS Management Console/APIs
Instraestrutura
AWS
Aplicações
AWS
Suas aplicações
Desenvolvedores
Admins
Segurança Empregados
Clientes
Parceiros
Gestione acesso em todas as camadas #2

Defina um modelo de múltiplas contas com AWS Organizations #2
Developer
Sandbox
Dev Pre-Prod
BU/Product/Resource Accounts
Developer Accounts
Security
Core Accounts
AWS Organizations Master
Billing
Tooling
Shared
Services
Sandbox
Network
Internal
Audit
Data Center
Logging
Prod
Shared
Services
Orgs: Gestão da Conta
Logging: Logs centralizados
Security: AWS Config Rules,
ferramentas de segurança
Shared services: AD, DNS,
monitoraento
Billing Tooling:
monitoramento de custo
Sandbox: Experimentos
Dev: Desenvolvimento
Pre-Prod: Staging
Prod: Produção
1
2
3
4
5
6
7
6
4
8
9
https://aws.amazon.com/about-aws/whats-new/2018/06/introducing-aws-landing-zone/
1
2
3
4
5
6
7
8
9

User roles para suas aplicações usando AWS IAM #2
Recursos
AWS
Seu código
Sistema
Operacional
Instância
EC2
Credenciais AWS entregues
automaticamente e
rotacionadas
periodicamente
Auto descoberta de
credenciais AWS e uso
Acesso controlado pela
política de IAM (roles)
Também trabalha com AWS Lambda & Amazon ECS

#3
Proteja e rotacione periodicamente as credenciais de suas
aplicações que acessam bases de dados.

#3Automatize e simplifique a proteção das credenciais de aplicações
Rotacione de forma
segura
Gerencie acesso as
chaves com
políticas de acesso
refinadas
Pague pelo usoLogs de acesso e
uso de chaves
protegidos e
centralizados
AWS Secret Manager

#3AWS Secret Manager funciona de forma transparente
Recursos AWS
Seu Código
Sistema
Operacional
Instância
EC2
Chamada autorizada ASM
Outros
recursos
Credenciais AWS entregues
Automaticamente (como
antes)
Cred
DB
Credenciais DB
Conexão estabelecida
Rotação
Segura
Solução confiável, segura para rotação automática de credenciais
AWS Secret Manager

Criptografia não é uma bala de prata para
resolver todos os seus problemas, mas é uma
camada de proteção muito importante.
#4

Torne a criptografia fim-a-fim uma realidade #4
EBS
Criptografia de volumes
Criptografia de
Disco (EBS)
Arquivos
Soluções de parceiros /
MarketPlace
Criptografia de Objetos
S3 Server Side
Encryption (SSE)
S3 SSE com chaves do
cliente
Criptografia do lado do
cliente
Criptografia de Bases de Dados
RedshiftPostgreSQLMYSQLORACLEMSSQL
AWS
KMS

#4Criptografe em escala de forma simples, segura e integrada
- Gestão de chaves simplificada.
- Integrado com diversos serviços
AWS.
- Alinhado com padrões de
criptografia mundiais, FIPS 140-2
Level 2.
- Use o SDK para integrar facilmente
com suas aplicações
AWS KMS
- Hardware de Segurança gerenciados e
customizados para a Cloud.
- Certificado FIPS 140-2 Level 3.
- Padrões de APIs criptográficas de
mercado.
AWS CloudHSM

#4Use TLS em todos os Websites
Todos estão migrando para os HTTPs para
facilitar a tarefa e remover os processos
manuais envolvidos
- Provisione, gerencie e implante com
facilidade certificados TLS / SSL para a
AWS
- Suporta o AWS API Gateway, CloudFront
CDN e o Elastic Load Balancer.
- O AWS Certificate Manager lida com
renovações de certificados para você.
- Certificados provisionados são gratuitos
- Pode ser usado também como CA interna.

Para se proteger é preciso conhecer as suas
fragilidades (se elas existirem) e corrigi-las
rapidamente.
#5

#5Mapeie as fragilidades e corrija as vulnerabilidades continuamente
• Serviço de Gestão de Vulnerabilidades integrado com o ambiente
de nuvem
• Automatizado via API
• Integrado com CI / CD
• Diferentes pacotes de análise
• CIS
• CVE
• Comportamento
• Melhores práticas AWS
• Geração e controle de findings
AWS Inspector

#5Mapeie as fragilidades e corrija as vulnerabilidades continuamente

Aplique patches e crie imagens seguras com System Manager
Crie imagens
seguras
Lance instâncias
1. Instale o agente e configure o serviço
2. Ready to go!
#5

#5
Use parceiros para alavancar processos de imagens seguras

Identifique alterações de segurança no seu
ambiente de nuvem de forma continua.
#6

Gerencie e seja alertado de alterações e riscos de segurança
Inventário, rastreamento de configuração e notificação de alteração de configuração.
AWSConfig
EC2
VPC
EBS
CloudTrail
Gestão de
Mudanças
Análise de
Auditoria
Análise de
Segurança
Análise de
Problemas Inventário
IAM
#6

#6
Use 53 regras gerenciadas ou customize regras próprias
Inventário
Dashboards
Alertas

#6
Tenha visibilidade e detalhamento das alterações realizadas

#6
Avalie de forma automatizada a conformidade com o CIS Security
https://aws.amazon.com/quickstart/architecture/compliance-cis-benchmark/
https://github.com/toniblyx/prowler
https://github.com/awslabs/aws-security-benchmark
https://d0.awsstatic.com/whitepapers/compliance/AWS_CIS_Foundations_Benchmark.pdf

#6
Validação automatizada do CIS Security

Proteja o ambiente usando um modelo de
segurança em profundidade.
#7

Implemente um modelo de Segurança em multiplas camadas
#7
Hardening, Patching, IAM
Encryption
Shield Shield Advanced
CloudFront
Route53
WAF
WAF
Managed Rules
Cloud Watch
+
Rules
CloudTrail
Security Group
Routing
NAT Gateway
VPC
Bastion Hosts
Egress
Filtering

Use recursos de ML para proteger seu ambiente
na nuvem.
#8

O Amazon GuardDuty é um serviço gerenciado de
detecção de ameaças que monitora continuamente
o comportamento mal-intencionado ou não
autorizado para ajudá-lo a proteger suas contas e
cargas de trabalho da AWS usando ML.
Aprendizagem de máquina em prol da Segurança com GuardDuty
#8

Como funciona o GuardDuty
Threat
intel,
ML/AI
Anomaly
Detection
SIEM
E / OU
RESPOSTA
Reconhecimento
Instância
Comprometida
Comprometimento
de contas
Amazon
GuardDuty
VPC flow logs
DNS Logs
CloudTrail
Events
HIGH
MEDIUM
LOW
FindingsData SourcesAmeaças detectadas
• Não é necessário fazer mudanças na sua Arquietura.
• Sem necessidade de agentes.
• Sem impactos de performance.
#8

Força
Bruta RDP
RAT
Instalado
Exfiltração
de
credenciais
por DNS
Chamada
de APIs
maliciosas
Credenciais
Comprometidas
Reconhecimento
Portas não usuais
Exfiltração DNS
IPs maliciosos
Conexão com sites
em Blacklist
Volume de tráfego
não usual
Proxy
Anônimo
Início não usual de
intâncias
Chamada de ISP
não usual
Mineração
Bitcoin
Alguns tipos de ameaças detectados pelo GuardDuty
#8

Monitore e tome decisões na console do GuardDuty
#8

Inventarie e avalie riscos de exposição de dados críticos
#8
• PII e dados pessoais
• Código Fonte
• Certificados SSL, chaves
privadas
• Chaves de assinatura de
aplicativos iOS e Android
• Backups de Bases de Dados

Analise possíveis comportamento em relação a dados.
#8
• O serviço usa análise de
comportamento para criar
um baseline de uso de
dados
• Gerando alertas de
anomalias quando os
dados são acessados /
utilizados, podendo
caracterizar uma ação
maliciosa.

Pense em segurança como código e se planeje
para responder aos eventos de segurança de
forma automatizada.
#9

#9
Automatize resposta a eventos de segurança - Security as Code
CloudWatch Events
Amazon
CloudWatch
CloudWatch
Event
Lambda
Lambda Function
AWS Lambda
GuardDuty
Amazon
GuardDuty

#9
Automatize e escale a segurança com Step Functions

#9
Integre com diversas plataformas de notificação

Planeje uma jornada de segurança evolutiva e o
mais importante de tudo … … COMECE ASAP.
Não trate segurança como uma ação pontual e
use melhores práticas como base.
#10

Etapa 1 Etapa 2 … …
Evolução
1. Treinamento em Segurança na nuvem .
2. Integração com AD.
3. Landing Zone, Perfilamento.
4. Segregação de VPC / Redes.
5. Monitoramento de eventos de
segurança.
6. Criptografia.
7. Integração com SIEM.
8. ML para Segurança.
9. Monitoração de Conformidade.
10. Criptografia.
11. Security Groups.
12. Uso de Bastion Hosts.
Serviços
Tempo
IAM DS Config CloudTrail KMS Roles
1. Hardening.
2. Scan de Vulnerabilidades.
3. Proteção DDoS.
4. WAF.
5. NIPS.
6. S3 Sec. Policies.
7. Antimalware.
8. SOC / SIEM.
1. Integração CD / CI.
2. DevSecOps.
3. Mapeamento de
Dados críticos.
4. Automação de
Segurança.
5. Segurança como
Código.
GuardDuty WAF Inspector AWS Partners CloudWatch Alarms LAMBDA … …
Exemplo de uma jornada de segurança evolutiva
#10

Use as melhores práticas como base
Well Architected Security Pillars
https://d1.awsstatic.com/whitepapers/architecture/AWS-Security-Pillar.pdf

CIS AWS Foundations
https://d0.awsstatic.com/whitepapers/compliance/AWS_CIS_Foundations_Benchmark.pdf

CAF Security Perspective
https://d1.awsstatic.com/whitepapers/AWS_CAF_Security_Perspective.pdf

NIST CSF
https://d1.awsstatic.com/whitepapers/compliance/NIST_Cybersecurity_Framework_CSF.pdf

Recursos de Segurança
https://aws.amazon.com/pt/security/security-resources/

#svedtqed

#se
#você
#esqueceu
#de
#tudo
#que
#eu
#disse

Entenda o modelo de responsabilidade compartilhada e conheça os
programas de Conformidade e Segurança AWS.
#1
Comece sua jornada de segurança gerenciando corretamente os
acessos, tudo começa com uma credencial de acesso.
#2
Proteja e rotacione periodicamente as credenciais de suas aplicações
que acessam bases de dados.
#3
Criptografia não é uma bala de prata para resolver todos os seus
problemas, mas é uma camada de proteção muito importante.
#4
Para se proteger é preciso conhecer as suas fragilidades (se elas
existirem) e corrigi-las rapidamente.
#5
… Lembre-se

#6
#7
#8
#9
#10
Proteja o ambiente usando um modelo de segurança em
profundidade.
Pense em segurança como código e se planeje para responder aos
eventos de segurança de forma automatizada.
Use recursos de ML para proteger seu ambiente na nuvem.
Planeje uma jornada de segurança evolutiva, comece ASAP e use
melhores práticas como base.
… Lembre-se
Identifique alterações de segurança no seu ambiente de nuvem de
forma continua.

OUEAgilidade Segurança
Crie sua jornada

Obrigado
mzillo@amazon.com
https://aws.amazon.com/security/
https://aws.amazon.com/compliance/
https://aws.amazon.com/training/course-descriptions/security-fundamentals/

Segurança - 10 regras que você deve saber antes de migrar sua infraestrutura para nuvem

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à Segurança - 10 regras que você deve saber antes de migrar sua infraestrutura para nuvem

Similaire à Segurança - 10 regras que você deve saber antes de migrar sua infraestrutura para nuvem (20)

Plus de Amazon Web Services LATAM

Plus de Amazon Web Services LATAM (20)

Dernier

Dernier (8)

Segurança - 10 regras que você deve saber antes de migrar sua infraestrutura para nuvem