As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Segurança perimetral
| Influencie o futuro da Arquitetura de Referência de AWS Segurança (AWS SRA) respondendo a uma breve pesquisa |
Esta seção aborda a orientação do AWS SRA, fornecendo recomendações para criar um perímetro seguro na AWS. Aprofunda-se nos serviços perimetrais da AWS, explicando como eles se encaixam nas UOs delineadas pelo AWS SRA.
Dentro do contexto desta orientação, define-se um perímetro como o ponto onde seus aplicativos estabelecem conexão com a Internet. A segurança perimetral compreende a entrega segura de conteúdo, proteção na camada de aplicativos e a mitigação distribuída de negação de serviço (DDoS). Os serviços de perímetro da AWS incluem Amazon CloudFront, AWS WAF, AWS Shield, Amazon Route 53 e AWS Global Accelerator. Esses serviços foram desenvolvidos para garantir acesso seguro, de baixa latência e de alto desempenho aos recursos e à entrega de conteúdo da AWS. Você pode usar esses serviços de perímetro com outros serviços de segurança, como Amazon GuardDuty e AWS Firewall Manager, para ajudar a criar um perímetro seguro para seus aplicativos.
Diversos padrões arquitetônicos para segurança perimetral estão disponíveis para atender às variadas necessidades organizacionais. Nesta seção, são explorados dois padrões comuns: a implantação de serviços perimetrais em uma conta central (rede) e a implantação de alguns desses serviços em contas individuais de workload (aplicativo). A seção abordada os benefícios de ambas as arquiteturas, junto com suas considerações-chave.
Implantação de serviços de perímetro em uma única conta de rede
O diagrama abaixo utiliza a linha de base do AWS SRA para representar a arquitetura, na qual os serviços perimetrais são implementados na conta de rede.
Implantar esses serviços em uma única conta de rede oferece diversos benefícios:
-
Esse padrão atende a casos de uso em setores altamente regulamentados, nos quais a administração dos serviços de perímetro em toda a organização precisa ser restrita a uma equipe especializada.
-
Simplifica a configuração necessária para controlar a criação, modificação e exclusão de componentes de rede.
-
Facilita a detecção, uma vez que a inspeção ocorre em um único local, resultando em menos pontos de agregação de logs.
-
Você pode criar recursos personalizados de melhores práticas, como CloudFront políticas e funções periféricas, e compartilhá-los entre distribuições na mesma conta.
-
Essa estratégia simplifica a gestão de recursos críticos para os negócios que são propensos a erros de configuração, como configurações de cache em uma rede de entrega de conteúdo (CDN) ou registros DNS, ao minimizar os locais nos quais essas alterações são aplicadas.
As seções seguintes abordam cada serviço e exploram considerações arquitetônicas.
Amazon CloudFront
CloudFrontA Amazon
Nessa arquitetura de implantação, todas as CloudFront configurações, incluindo funções de borda, são implantadas na conta de rede e gerenciadas por uma equipe de rede centralizada. Somente funcionários autorizados da equipe de rede devem ter acesso a essa conta. As equipes de aplicativos que desejam fazer alterações na CloudFront configuração ou na lista de controle de acesso à web (web ACL) do AWS WAF devem solicitar essas alterações à equipe de rede. É recomendável que você estabeleça um fluxo de trabalho, como um sistema de tickets, para que as equipes de aplicativos possam requerer alterações nas configurações.
Neste padrão, as origens dinâmicas e estáticas estão situadas nas contas individuais do aplicativo, o que implica que o acesso a essas origens requer permissões e funções entre contas. Os registros das CloudFront distribuições são configurados para serem enviados para a conta do Log Archive.
AWS WAF
O AWS WAF é uma firewall de aplicação Web que lhe permite monitorizar os pedidos HTTP e HTTPS que são encaminhados para os recursos protegidos da aplicação Web. Este serviço desempenha um papel fundamental na proteção dos seus recursos contra ameaças comuns da web, ataques volumétricos e ameaças mais avançadas, como fraudes na criação de contas, acesso não autorizado a contas de usuários e bots que buscam evitar a detecção. O AWS WAF pode ajudar a proteger os seguintes tipos de recursos: CloudFront distribuições, APIs REST do Amazon API Gateway, balanceadores de carga de aplicativos, APIs do AWS GraphQL AppSync , grupos de usuários do Amazon Cognito, serviços do AWS App Runner e instâncias do AWS Verified Access.
Nessa arquitetura de implantação, o AWS WAF é anexado às CloudFront distribuições que estão configuradas na conta de rede. Quando você configura o AWS WAF com CloudFront, a área de cobertura do perímetro é estendida para pontos de presença em vez CloudFront da VPC do aplicativo. Isso aproxima a filtragem do tráfego malicioso da origem desse tráfego, ajudando a prevenir a entrada de tráfego malicioso na sua rede principal.
Mesmo que as ACLs da web sejam implementadas na conta de rede, aconselhamos o uso do AWS Firewall Manager para centralizar a gestão dessas ACLs da web e garantir a conformidade de todos os recursos. Defina a conta do Security Tooling como a conta de administrador do Firewall Manager. Implante políticas do Firewall Manager com correção automática para garantir que todas as CloudFront distribuições (ou selecionadas) em sua conta tenham uma Web ACL anexada.
É possível encaminhar registros completos do AWS WAF para um bucket do S3 na conta de Arquivamento de logs ao configurar o acesso entre contas ao bucket do S3. Consulte o artigo do AWS re:Post
verificações de integridade de AWS Shield e AWS Route 53
O AWS Shield
Esta seção enfoca as configurações do Shield Avançado, já que o Shield Básico não permite ajustes pelo usuário.
Para configurar o Shield Advanced para proteger suas CloudFront distribuições, inscreva a conta de rede no Shield Advanced. Adicione o suporte do Shield Response Team (SRT) à conta e conceda as permissões necessárias para que a equipe do SRT acesse suas ACLs da web durante eventos de DDoS. A qualquer momento, é possível entrar em contato com o SRT para criar e gerenciar mitigações personalizadas para seu aplicativo durante um evento ativo de DDoS. Configurar o acesso com antecedência dá ao SRT a flexibilidade de depurar e revisar as ACLs da web sem precisar gerenciar permissões durante o evento.
Use o Firewall Manager com correção automática para adicionar suas CloudFront distribuições como recursos protegidos. Se houver outros recursos voltados para a internet, como Application Load Balancers, considere adicioná-los como recursos protegidos pelo Shield Avançado. No entanto, se você tiver vários recursos protegidos do Shield Advanced no fluxo de dados (por exemplo, seu Application Load Balancer é a origem CloudFront), recomendamos que você use somente o ponto de entrada como recurso protegido para reduzir as taxas de transferência de dados duplicados (DTO) do Shield Advanced.
Ative o atributo de engajamento proativo para possibilitar que o SRT monitore seus recursos protegidos de forma ativa e entre em contato conforme necessário. Para configurar o recurso de engajamento proativo de forma eficaz, crie verificações de saúde do Route 53 para seu aplicativo e associe-as às CloudFront distribuições. O Shield Avançado utiliza essas verificações de integridade como um ponto de dados adicional ao avaliar eventos. É essencial definir corretamente as verificações de integridade para reduzir falsos positivos na detecção. Para orientações detalhadas sobre a identificação das métricas apropriadas para verificações de integridade, consulte As melhores práticas para fazer verificações de integridade com o Shield Avançado na documentação da AWS. Caso identifique uma tentativa de DDoS, entre em contato com o SRT e selecione a gravidade mais alta disponível para o seu plano de suporte.
AWS Certificate Manager e AWS Route 53
O AWS Certificate Manager (ACM)
O ACM é implantado na conta de rede para gerar um certificado TLS público para distribuições. CloudFront Os certificados TLS são necessários para estabelecer uma conexão HTTPS entre os visualizadores e. CloudFront Para obter mais informações, consulte a CloudFront documentação. O ACM oferece validação por DNS ou e-mail para confirmar a propriedade do domínio. É recomendável optar pela validação por DNS em vez da validação por e-mail, pois, ao utilizar o Route 53 para gerenciar seus registros DNS públicos, você pode atualizá-los diretamente pelo ACM. O ACM renova automaticamente certificados validados por DNS, garantindo a renovação contínua enquanto o certificado estiver em uso e o registro DNS estiver ativo.
CloudFront registros de acesso e registros do AWS WAF
Por padrão, os registros de CloudFront acesso são armazenados na conta de rede e os registros do AWS WAF são agregados na conta do Security Tooling usando a opção de registro do Firewall Manager. É sugerido replicar esses registros na conta de arquivamento de logs para que equipes de segurança centralizadas possam acessá-los para monitoramento.
Considerações sobre design
-
Sob essa arquitetura, a considerável dependência em uma única equipe de rede pode impactar a flexibilidade para implementar alterações rapidamente.
-
Monitore as service quotas de cada conta. Service quotas, ou limites, representam o máximo de recursos ou operações de serviço permitidos em uma conta AWS. Para obter mais informações, consulte service quotas da AWS na documentação da AWS.
-
Transmitir métricas específicas às equipes de workload pode acarretar complexidades.
-
O acesso limitado das equipes de aplicativos às configurações pode resultar em atrasos, já que dependem das equipes de rede para realizar alterações em seu nome.
-
Equipes que compartilham recursos em uma única conta podem disputar pelos mesmos recursos e orçamentos, gerando desafios na alocação. Aconselhamos a implementação de mecanismos de cobrança para equipes de aplicativos que utilizam os serviços de perímetro implantados na conta de rede.
Implantação de serviços de perímetro em contas de aplicativos individuais
O diagrama abaixo exemplifica o padrão de arquitetura, com a implantação e gestão autônoma dos serviços de perímetro em contas individuais de aplicativos.
Existem várias vantagens ao implantar os serviços de perímetro em contas de aplicativos:
-
Este design proporciona autonomia para que as contas individuais de workload personalizem as configurações do serviço conforme suas necessidades específicas. Essa abordagem elimina a dependência de uma equipe especializada para implementar alterações nos recursos em uma conta compartilhada, permitindo que os desenvolvedores de cada equipe gerenciem as configurações de forma independente.
-
Cada conta possui suas próprias service quotas, dispensando a necessidade de trabalhar dentro das cotas de uma conta compartilhada por proprietários de aplicativos.
-
Este design ajuda a conter o impacto de atividades maliciosas, limitando-as a uma conta específica e impedindo a propagação de um ataque para outras workloads.
-
Isso reduz os riscos associados a mudanças, uma vez que o impacto é restrito ao escopo da workload específica. O uso do IAM também possibilita a limitação das equipes autorizadas a implementar alterações, estabelecendo uma separação lógica entre as equipes de workload e a equipe de rede central.
-
Ao descentralizar a implementação de entrada e saída de rede, mantendo controles lógicos comuns (por meio de serviços como o AWS Firewall Manager), é possível ajustar os controles de rede para workloads específicas, ao mesmo tempo em que se mantém a conformidade com um conjunto mínimo de objetivos de controle.
As seções seguintes abordam cada serviço e exploram considerações arquitetônicas.
Amazon CloudFront
Nessa arquitetura de implantação, CloudFront as configurações da Amazon
As origens dinâmicas e estáticas estão localizadas na mesma conta do aplicativo, e CloudFront as distribuições têm acesso em nível de conta a essas origens. Os registros das CloudFront distribuições são armazenados localmente em cada conta do aplicativo. Para atender a requisitos regulatórios e de conformidade, esses registros podem ser replicados na conta de arquivamento de logs.
AWS WAF
Nessa arquitetura de implantação, o AWS WAF
Além das regras estabelecidas pelo Firewall Manager, cada responsável pelo aplicativo pode introduzir regras do AWS WAF pertinentes à segurança do aplicativo na ACL da web. Isso oferece flexibilidade em cada conta de aplicativo, ao mesmo tempo em que mantém o controle geral na conta do Security Tooling.
Utilize a opção de registro do Firewall Manager para centralizar os registros e enviá-los a um bucket do S3 na conta do Security Tooling. Cada equipe de aplicação tem acesso para revisar os painéis do AWS WAF de sua aplicação. Você pode configurar o painel usando um serviço como o Amazon QuickSight. Se identificar algum falso positivo ou se for necessário realizar outras atualizações nas regras do AWS WAF, é possível adicionar regras do AWS WAF em nível de aplicativo à ACL da web implantada pelo Firewall Manager. Os registros são replicados na conta de arquivamento de logs e arquivados para investigações de segurança.
AWS Global Accelerator
O AWS Global Accelerator
No momento, o Global Accelerator não é compatível com origens de várias contas. Portanto, ele é implantado na mesma conta do endpoint de origem. Implante os aceleradores em cada conta do aplicativo e inclua-os como recursos protegidos para o AWS Shield Avançado na mesma conta. As medidas de mitigação do Shield Avançado garantirão que apenas tráfego legítimo alcance os endpoints do receptor do Global Accelerator.
Verificações de integridade de AWS Shield Avançado e AWS Route 53
Para configurar o AWS Shield
Zonas do Amazon Route 53 e ACM
Quando você usa serviços como a Amazon CloudFront
CloudFront registros de acesso, registros de fluxo do Global Accelerator e registros do AWS WAF
Nesse padrão, configuramos os registros de CloudFront acesso e os registros de fluxo do Global Accelerator em buckets do S3 em contas individuais do aplicativo. Os desenvolvedores que desejam analisar os logs para ajuste de desempenho ou redução de falsos positivos terão acesso direto a esses logs sem precisar solicitar acesso a um arquivo de logs centralizado. Os registros armazenados localmente também podem atender aos requisitos regionais de conformidade, como residência de dados ou ofuscação de PII.
Os logs completos do AWS WAF são armazenados nos buckets do S3 na conta de arquivamento de logs usando a funcionalidade de registro do Firewall Manager. As equipes de aplicativos podem visualizar os registros usando painéis configurados usando um serviço como o Amazon QuickSight. Além disso, cada equipe de aplicativos tem acesso aos registros de amostragens do AWS WAF em sua própria conta para uma depuração rápida.
Recomendamos replicar os registros em um data lake centralizado localizado na conta de arquivamento de logs. A agregação dos registros em um data lake centralizado oferece uma visão abrangente de todo o tráfego para seus atributos e distribuições do AWS WAF. Isso facilita para as equipes de segurança analisarem e responderem centralmente aos padrões globais de ameaças à segurança.
Considerações sobre design
-
Esse padrão transfere a responsabilidade da administração da rede e da segurança para os proprietários e desenvolvedores de contas, o que pode aumentar a sobrecarga do processo de desenvolvimento.
-
Pode haver inconsistências na tomada de decisões. Para garantir que os serviços estejam configurados corretamente e sigam as recomendações de segurança, é crucial estabelecer comunicações eficazes, modelos e treinamentos.
-
Existe uma dependência da automação e necessidade de expectativas claras sobre os controles de segurança fundamentais, juntamente com os controles específicos do aplicativo.
-
Utilize serviços como o Firewall Manager e o AWS Config para assegurar que a arquitetura implantada esteja em conformidade com as melhores práticas de segurança. Além disso, configure o CloudTrail monitoramento da AWS para detectar qualquer configuração incorreta.
-
Agregar registros e métricas em um local central para análise pode introduzir complexidades.
Serviços adicionais da AWS para configurações de segurança de perímetro
Origens dinâmicas: Application Load Balancers
Você pode configurar CloudFront a Amazon para usar as origens do Application Load Balancer
As origens do Application Load Balancer são implantadas na conta do aplicativo. Se suas CloudFront distribuições estiverem na conta Network, você deverá configurar permissões entre contas para que a CloudFront distribuição acesse a origem do Application Load Balancer. Os registros do Application Load Balancer são enviados para a conta de arquivamento de logs.
Para ajudar a impedir que os usuários acessem diretamente um Application Load Balancer sem passar por isso CloudFront, conclua estas etapas de alto nível:
-
Configure CloudFront para adicionar um cabeçalho HTTP personalizado às solicitações enviadas ao Application Load Balancer e configure o Application Load Balancer para encaminhar somente as solicitações que contêm o cabeçalho HTTP personalizado.
-
Use uma lista de prefixos gerenciada pela AWS para o grupo CloudFront de segurança Application Load Balancer. Isso limita o tráfego HTTP/HTTPS de entrada para seu Application Load Balancer somente dos endereços IP que pertencem aos CloudFront servidores voltados para a origem da.
Para obter mais informações, consulte Restringir o acesso aos Application Load Balancers na CloudFront documentação.
Origens estáticas: Amazon S3 e AWS Elemental MediaStore
Você pode configurar CloudFront para usar as origens do Amazon S3 ou do AWS MediaStore Elemental para entrega de conteúdo estático. Essas origens são implantadas na conta do aplicativo. Se suas CloudFront distribuições estiverem na conta de rede, você deverá configurar permissões entre contas para que a CloudFront distribuição na conta de rede acesse as origens.
Para verificar se seus endpoints de origem estática são acessados somente pela Internet pública CloudFront e não diretamente pela Internet pública, você pode usar as configurações de controle de acesso de origem (OAC). Para obter mais informações sobre como restringir o acesso, consulte Restringir o acesso a uma origem do Amazon S3 e Restringir o acesso a MediaStore uma origem na documentação. CloudFront
AWS Firewall Manager
O AWS Firewall Manager simplifica as tarefas de administração e manutenção em várias contas e atributos, incluindo AWS WAF, AWS Shield Avançado, grupos de segurança do Amazon VPC, AWS Network Firewall e Amazon Route 53 Resolver DNS Firewall, oferecendo uma variedade de proteções.
Recomenda-se delegar a conta do Security Tooling como a conta de administrador padrão do Firewall Manager e utilizá-la para gerenciar centralmente as regras do AWS WAF e as proteções do Shield Avançado em todas as contas da sua organização. Utilize o Firewall Manager para centralizar a gestão das regras comuns do AWS WAF, proporcionando simultaneamente flexibilidade a cada equipe de aplicativos para adicionar regras específicas do aplicativo à ACL da web. Isso permite a aplicação de políticas de segurança em toda a organização, como proteção contra vulnerabilidades comuns, ao mesmo tempo em que capacita as equipes de aplicativos a incluir regras do AWS WAF específicas para seus aplicativos individuais.
Aproveite o registro em log do Firewall Manager para centralizar os registros do AWS WAF em um bucket do S3 na conta do Security Tooling e replicar esses registros na conta de arquivamento de logs, possibilitando o arquivamento para investigações de segurança. Adicionalmente, integre o Firewall Manager ao AWS Security Hub para visualizar centralmente os detalhes da configuração e as notificações de DDoS no Security Hub.
Para orientações adicionais, consulte a seção sobre o AWS Firewall Manager nas contas de Security Tooling deste guia.
AWS Security Hub
A integração entre o Firewall Manager e o Security Hub envia quatro tipos de descobertas ao Security Hub:
-
Atributos que não estão protegidos adequadamente pelas regras do AWS WAF
-
Atributos que não estão protegidos adequadamente pelo AWS Shield Avançado
-
Descobertas da Shield Avançado que indicam que um ataque de DDoS está em andamento
-
Grupos de segurança que estão sendo usados incorretamente
Essas descobertas de todas as contas dos membros da organização são agregadas à conta do administrador delegado (Security Tooling) do Security Hub. A conta do conjunto de ferramentas de segurança agrega, organiza e prioriza os alertas de segurança ou as descobertas em um único local. Use as regras do Amazon CloudWatch Events para enviar as descobertas aos sistemas de emissão de bilhetes ou criar correções automáticas, como bloquear intervalos de IP maliciosos.
Para orientações adicionais, consulte a seção sobre o AWS Security Hub nas contas de Security Tooling deste guia.
Amazon GuardDuty
Você pode usar a inteligência de ameaças fornecida pela Amazon GuardDuty para atualizar automaticamente
Para obter recomendações adicionais, consulte a Amazon GuardDuty na seção de contas de ferramentas de segurança deste guia.
AWS Config
O AWS Config é uma condição prévia essencial para o Firewall Manager e é implantado em todas as contas da AWS, abrangendo tanto a conta de rede quanto a conta de aplicativo. Além disso, aproveite as regras do AWS Config para avaliar a conformidade dos atributos implantados em relação às melhores práticas de segurança. Por exemplo, você pode usar uma regra do AWS Config para verificar se cada CloudFront distribuição está associada a uma ACL da web ou impor que todas as CloudFront distribuições sejam configuradas para entregar registros de acesso a um bucket do S3.
Para orientações adicionais, consulte AWS Config nas contas de Security Tooling deste guia.
