Visão geral do laboratório
Este laboratório orienta você pelas etapas da auditoria de recursos da AWS para garantir que a configuração esteja em conformidade com as práticas básicas recomendadas de segurança. Este laboratório utiliza o AWS Trusted Advisor conforme se aplica à segurança. Entre os tópicos abordados estão o trabalho com grupos de segurança, autenticação com multifator (MFA) e AWS Identity and Access Management (IAM).
Objetivos
Ao final deste laboratório, você será capaz de:
- Usar o Trusted Advisor para realizar uma auditoria básica em recursos da AWS
- Modificar grupos de segurança do Amazon Elastic Compute Cloud (Amazon EC2) para atender às práticas recomendadas
- Configurar a autenticação com multifator (MFA) (opcional; requer a instalação do software em um dispositivo móvel)
Conhecimentos técnicos necessários
Para concluir este laboratório, você deve ter experiência com os serviços da AWS, incluindo o Amazon EC2, e ter conhecimento básico dos grupos de segurança. Você deve saber como iniciar a sessão e usar o console de gerenciamento da AWS e ter familiaridade com o IAM.
Duração
A conclusão do laboratório leva 90 minutos.
Lista de ícones
Vários ícones são usados neste laboratório para chamar a atenção para diferentes tipos de instruções e observações. A lista a seguir explica a finalidade de cada ícone:
- Um exemplo que você pode usar para verificar a saída de uma etapa/tarefa que você realizou.
- Uma observação, dica ou orientação importante.
- Informações adicionais: em que local encontrar mais informações.
Práticas recomendadas de segurança da AWS
Modelo de responsabilidade compartilhada
O modelo de segurança da AWS é o de responsabilidade compartilhada, que exige que a AWS e os clientes trabalhem juntos para atingir os objetivos de segurança. A AWS oferece uma infraestrutura subjacente altamente segura e disponível na qual todos os serviços da AWS operam. As camadas de segurança da AWS incluem segurança de hardware físico, instalações, infraestrutura de rede e infraestrutura de virtualização.
Camadas além do controle direto da AWS exigem que o cliente assuma a responsabilidade de proteger adequadamente os recursos que usa na infraestrutura de nuvem.
Proteção dos recursos na nuvem
O AWS oferece diversos controles que os clientes podem usar para proteger ativos de informações na nuvem. Isso inclui IAM, Amazon Virtual Private Clouds (VPCs), grupos de segurança, ACLs de rede e certificados.
Ao criar e manter uma infraestrutura baseada na nuvem na AWS, é importante seguir as práticas recomendadas para manter dados e recursos seguros.
Práticas recomendadas para segurança, identidade e conformidade é um guia de referência valioso para entender as práticas recomendadas de segurança na Amazon Web Services.
AWS Trusted Advisor
O AWS Trusted Advisor fornece as práticas recomendadas em cinco categorias:
- Otimização de custos
- Segurança
- Tolerância a falhas
- Melhoria de desempenho
- Limites de serviço
Você pode usar mais de 60 verificações do AWS Trusted Advisor para monitorar e melhorar a implantação do Amazon EC2, Elastic Load Balancing (ELB), Amazon Elastic Block Store (Amazon EBS), Amazon Simple Storage Service (Amazon S3), Amazon EC2 Auto Scaling, AWS Identity and Access Management (IAM), Amazon Relational Database Service (Amazon RDS), Amazon Route 53 e outros serviços. Você pode ver o status geral dos recursos da AWS e as estimativas de economia na página de Recomendações do AWS Trusted Advisor.
O AWS Trusted Advisor é particularmente útil para seguir as práticas recomendadas de segurança. Neste laboratório, você usará as verificações de segurança gratuitas do AWS Trusted Advisor.
Preços do AWS Trusted Advisor
Caso você tenha um plano Basic Support e Developer Support, use o console do Trusted Advisor para acessar todas as verificações na categoria de Limites de serviço e as seguintes verificações na categoria de Segurança:
Grupos de segurança – portas específicas sem restrição: verifica se os grupos de segurança contêm regras que permitam acesso irrestrito (0.0.0.0/0) a portas específicas. O acesso irrestrito aumenta as oportunidades de ação de atividades maliciosas (hacking, ataques de negação de serviço, perda de dados). As portas com maior risco são sinalizadas em vermelho e aquelas com menor risco são sinalizadas em amarelo. As portas sinalizadas em verde são normalmente usadas por aplicativos que exigem acesso irrestrito, como HTTP e SMTP.
Uso do IAM: verifica o seu uso do IAM. Você pode usar o IAM para criar usuários, grupos e funções na AWS e pode usar permissões para controlar o acesso aos recursos da AWS.
Autenticação com multifator na conta-raiz: verifica a conta-raiz e envia um alerta caso a autenticação com multifator (MFA) não esteja ativada. Para aumentar a segurança, a AWS recomenda que você proteja sua conta usando a autenticação com multifator, que exige que um usuário insira um código de autenticação exclusivo de um hardware de autenticação com multifator ou dispositivo virtual ao interagir com o console da AWS e sites associados.
Snapshots públicos do Amazon EBS: verifica as configurações de permissão dos snapshots de volume do Amazon EBS e alerta você se algum snapshot está marcado como público. Ao tornar um snapshot público, você concede a todas as contas e usuários da AWS acesso a todos os dados do snapshot. Para compartilhar um snapshot com usuários ou contas específicos, marque o snapshot como privado e especifique o usuário ou as contas com as quais deseja compartilhar os dados dele.
Snapshot público do Amazon RDS: verifica as configurações de permissão dos snapshots do Amazon RDS DB e alerta você se algum snapshot está marcado como público. Ao tornar um snapshot público, você concede a todas as contas e usuários da AWS acesso a todos os dados do snapshot. Para compartilhar um snapshot com usuários ou contas específicos, marque o snapshot como privado e especifique o usuário ou as contas com as quais deseja compartilhar os dados dele.
Autenticação com multifator na conta-raiz: verifica a conta-raiz e envia um alerta caso a autenticação com multifator (MFA) não esteja ativada
Algumas dessas verificações podem ser usadas como uma auditoria muito básica da configuração de segurança. Para ter acesso total a todas as mais de 60 verificações, você deve atualizar sua conta para o plano de suporte Business ou Enterprise.
Veja mais informações sobre os preços do AWS Support em Planos do AWS Support
Dispositivos MFA
Dispositivos de autenticação com multifator (MFA) podem ser tanto virtuais quanto físicos. A autenticação com multifator física requer a compra de um chaveiro ou cartão de exibição de hardware da Gemalto. Ou você pode usar um dos vários aplicativos de autenticação com multifator virtuais com suporte gratuito disponíveis para dispositivos móveis Android, iPhone, Windows e Blackberry. Neste laboratório, você aprenderá a configurar um aplicativo de autenticação com multifator virtual em um dispositivo móvel. Se você não se sente à vontade com esta etapa, pode ignorá-la.
Consulte esta lista de aplicativos de autenticação com multifator virtuais compatíveis para ver se há uma opção para seu dispositivo móvel: Multi-Factor Authentication (MFA) for IAM (Autenticação com multifator (MFA) para IAM)
