AWS layered security services - SEC302 - São Paulo AWS Summit

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.S U M M I T
Mauricio Muñoz
Principal Solutions Architect
Amazon Web Services
S E C 3 0 2

Agenda
1. Introdução – Por que tradicionalmente a segurança é difícil?
2. Modelos de classificação de serviços de segurança da AWS
• Pelo ciclo de vida
• Pelo escopo (Deteccão e Proteção de perimetro)
3. Descrição dos serviços
4. Próximos passos: Recursos de segurança disponíveis

Por que tradicionalmente a segurança é difícil?
Falta de visibilidade Pouca automação

OUAvance rápido Mantenha-se
seguro
Antes…

OUE
Agora…
Avance rápido Mantenha-se
seguro

AWS Identity and Access Management (IAM)
AWS Resource Access Manager
Amazon Cognito
AWS Secrets Manager
Amazon GuardDuty
Amazon Inspector
AWS Certificate Manager
AWS Key Management Service (AWS KMS)
AWS CloudHSM
AWS Directory Service
AWS WAF & AWS Sheild
AWS Artifact
AWS Security Hub
AWS Single Sign-On
AWS Organizations
Amazon Macie

CyberSecurity Framework - NIST
https://d0.awsstatic.com/whitepapers/compliance/NIST_Cybersecurity_Framework_CSF.pdf

Proteger Detectar Responder
Automatizar
Investigar
Identificar
AWS Systems
Manager
AWS Config
AWS
Lambda
Amazon
CloudWatch
Amazon
Inspector
MacieGuardDutySecurity Hub
AWS IoT
Device
Defender
AWS KMS
IAM AWS SSO
AWS
CloudTrail
Amazon
CloudWatch
Amazon VPC
AWS WAF
AWS ShieldSecrets
Manager
AWS Firewall
Manager
Detectar
Proteger
Mapeamento de serviços de segurança

Resposta automática de incidentes
Francisco Barciella
Security Officer
Nubank

Fontes de logs
Amazon
Route 53
Elastic
Load Balancing
Amazon
VPC
AWS Config
CloudTrailGuardDuty
Amazon
EC2
Amazon
Redshift
AWS Cloud
AWS Shield

Fontes de logs
Amazon
Route 53
Elastic
Load Balancing
Amazon
VPC
AWS Config
CloudTrailGuardDuty
Amazon
EC2
Amazon
Redshift
AWS Cloud
AWS Shield
Amazon S3

Fontes de logs
Amazon
Route 53
Elastic
Load Balancing
Amazon
VPC
AWS Config
CloudTrailGuardDuty
Amazon
EC2
Amazon
Redshift
AWS Cloud
AWS Shield
Amazon S3 AWS Lambda
Agregador de Logs
(10 terabytes diários)

Resposta Anterior
]
Alerta Análise humana e demorada
Agregador de Logs OpsGenie

Problemas da resposta manual
• Extremamente demorada.
• 30 minutos para uma ação manual é tarde demais para casos de
exfiltração, por exemplo.
• Analistas precisam ter permissões excessivas para poder mitigar
problemas encontrados.

Resposta Atual
Amazon
Route 53
Elastic
Load Balancing
Amazon
VPC
AWS Config
CloudTrailGuardDuty
Amazon
EC2
Amazon
Redshift
AWS Cloud
AWS Shield
Lambda
Agregador de Logs
Alerta Análise Humana e demorada
OpsGenie
Agregador de Logs
Alerta
Resposta Anterior

Vantagens do modelo automatizado
• A função Lambda é a que tem as permissões, não o analista.
• Alguns casos específicos:
• Possível exfiltração de dados da VPC: Trava toda a comunicação externa da máquina e a
coloca em uma VPC de quarentena para posterior análise.
• Bucket do S3 com permissões erradas: Fecha automaticamente a configuração.
• Possível vazamento de credencial/máquinas subindo para mineração: Anula todas as ações
feitas e remove a credencial AWS.

Proteger Detectar Responder
Automatizar
Investigar
RecuperarIdentificar
AWS Systems
Manager
AWS Config
AWS
Lambda
Amazon
CloudWatch
Amazon
Inspector
MacieGuardDutySecurity Hub
AWS IoT
Device
Defender
AWS KMS
IAM AWS SSO
Snapshot Archive
AWS
CloudTrail
Amazon
CloudWatch
Amazon VPC
AWS WAF
AWS ShieldSecrets
Manager
AWS Firewall
Manager
Detectar
Proteger
Mapeamento de serviços de segurança
AWS Backup

Serviços abrangentesServiços fundacionais
Consumido & integrado
projeto a projeto
Implementado uma vez
aplícavel ao ambiente
todo
Outro modelo mental: segundo o escopo
AWS Systems
Manager
AWS Config Amazon
CloudWatch
AWS KMS IAM AWS SSO
Amazon
VPC
AWS
Secrets
Manager
AWS
CloudTrail

Serviços abrangentes
Amazon
Inspector
Macie
GuardDuty
Security
Hub
AWS
WAF
AWS
Shield
AWS
Firewall
Manager
Proteção de perimetro Detecção

GuardDuty
Serviço automatizado de detecção
de ameaças orientado à proteção de aplicações
implementadas na AWS e da própria conta,
através da monitoração continua de atividade
maliciosa e comportamento
não autorizado.

Como o GuardDuty funciona?
Brute
Force
RDP
RAT
Exfiltração
por DNS
(APIs)
Chamadas
maliciosas
Credenciais
comprometidas
Reconhecimento
Portas não comuns
Exfiltração
IPs maliciosos
Conexões a IPs
maliciosas
Volume inusual
Proxy
Anônimo
Instâncias não
reconhecidas
Chamadas inusuais
Mineração
Bitcoin

Fácil. Ativação em 1-click sem impacto
arquitetural ou de performance
Transparente. Sem agentes, sem sensores, sem
ferramentas de rede
Rápido. Ativado instantaneamente, entregando
resultados em minutos

VPC Flow
Logs
DNS logs
CloudTrail
events
ALTA
MÉDIA
BAIXA
ResultadosFonte de
dados
Detecção de vários
tipos de ameaças
Inteligência
de ameaças
Detecção de
anomalias
(ML)
Mineração de
Bitcoin
Instância
comprometida
Compromisso
de conta
Mais de 50
detecções
Security Hub
SIEM
Outras
respostas
GuardDuty

Automatize com outros serviços
Evento no
CloudWatch
LambdaResultados do
GuardDuty
Remediação automatizada
GuardDuty Amazon
CloudWatch
Lambda

Amazon
Inspector
Amazon
Macie
GuardDuty
Security
Hub
AWS
WAF
AWS
Shield
AWS
Firewall
Manager
√
√
√

Serviço automatizado de avaliação de
segurança, orientado à melhora da segurança e
a conformidade de aplicações implementadas
na AWS
Amazon Inspector

Análise de acessibilidade via rede
Avaliação de rede - sem agente
Entrega informação de portas
expostas externamente (internet,
VPN, peering).
(p.ej. SSH aberto para internet)
Estendido - com agente
(opcional)
Usando o agente, entrega informações
sobre o software que escuta naquelas
portas.
Amazon Inspector

Resultados (Acessibilidade de rede)
De onde a porta é acessável ?
• Internet via internet gateway (incluindo se estiver por trás de ELB)
• VPN ou DX via VGW
• Peered VPC
Como é permitida?
• Security group
• VPC: Subnet, network access control list (network ACL), internet gateway,
etc.
Qual processo está escutando na porta [opcional - caso tenha o agente instalado]
• Nome do processo & id do processo
• Binário/ executável
Amazon Inspector

Avaliação ao nível de host
• Vulnerabilidades nas aplicações (CVE - Common Vulnerabilities and
Exposures )
• Postura de segurança (CIS – Center for Internet Security Benchmark)
• Análise de comportamento (Runtime behavior analysis)
• Melhores práticas de segurança
Amazon Inspector

Como usar o Amazon Inspector?
Configurar
avaliação
Executar a
avaliação
Resultados
(Findings)
Remediação
Parceiros :
• SIEM
• Reporting
• Ticketing
Vunerabilidade
Recurso afetado
Recomendação
Responder
1-Click

Automatizando o uso de findings
Resultados
(Findings)
Vunerabilidade
Recursos afetados
Recomendações
Systems
Manager
(EC2 Run
Command)Amazon Simple
Notification Service
(Amazon SNS)
Lambda
Run
command

Amazon
Inspector
Macie
GuardDuty
Security
Hub
AWS
WAF
AWS
Shield
AWS
Firewall
Manager
√
√
√
√
√
√

Macie
Serviço orientado a evitar a fuga de informação
armazenada em AWS, através do uso de
machine learning para automaticamente
descubrir, classificar e proteger dados sensíveis.

Como o Macie Funciona?

Como é a visualização do Macie?

Amazon
Inspector
Macie
GuardDuty
Security
Hub
AWS
WAF
AWS
Shield
AWS
Firewall
Manager
√
√
√
√
√
√
√
√
√

Security Hub
Entrega uma visão completa das alertas
prioritárias de segurança e do nível de
conformidade através de todas as suas contas
AWS.

Como o Security Hub funciona?

Firewalls
Vulnerability
SOAR
SIEM
Endpoint
Compliance
MSSP
Other
Integração com parceiros

Security Hub – Findings

Security Hub – Insights

Security Hub – Compliance Checks (CIS)

Amazon
Inspector
Macie
GuardDuty
Security
Hub
AWS
WAF
AWS
Shield
AWS
Firewall
Manager
√
√
√
√
√
√
√
√
√
√
√

AWS Shield
Serviço gerenciado de proteção contra ataques
distribuidos de negação de serviço (DDoS) para
proteger aplicações sendo executadas na AWS,
mediante a aplicação de controles de detecção
continua e mitigações automaticas e “inline”.

O AWS Shield possue duas camadas:
 AWS Shield Standard
 AWS Shield Advanced
AWS Shield
Um serviço gerenciado de proteção DDoS

Proteção embebida
de DDoS
DDoS
Expertise
AWS Shield
Standard

Proteção embebida
de DDoS
Proteção melhorada
Acesso 24x7 ao
time de resposta a
ataques (DRT)
Métricas de
CloudWatch
Diagnóstico de
ataques
Dashboard global
de ameaças
DDoS
Expertise
Visibilidade &
Compliance
Beneficios
econômicos
AWS WAF sem
custo adicional
Para recursos protegidos
AWS Firewall
Manager
sem custo adicional
Proteção de custo
por escalamento
AWS Shield
Standard & Advanced

AWS Shield Advanced
Francisco Barciella
Security Officer - Nubank

• É o melhor produto da AWS em relação a custo-benefício em
segurança.
• Equipe da AWS dedicada para respostas DDoS.
• Ao ser detectado um DDoS a equipe da AWS consegue mitigar
exatamente o alvo, seja um Elastic Load Balancing ou um ip específico
da VPC.
• O contato é extremamente rápido e a resolução também.
AWS Shield Advanced

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.S U M M I TS U M M I T © 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
Muito Obrigado!
Francisco Barciella
Security Officer
Nubank
francisco.barciella@nubank.com.br

Amazon
Inspector
Macie
GuardDuty
Security
Hub
AWS
WAF
AWS
Shield
AWS
Firewall
Manager
√
√
√
√
√
√
√
√
√
√
√
√
√

AWS WAF
Serviço para proteger as aplicações web contra
ataques comuns que podem afetar a
disponibilidade, comprometer a segurança ou
incrementar em excesso o consumo de
recursos.

AWS WAF
Protegendo as aplicações
Vunerabilidade de
aplicações Bots & ScrapersHTTP Flood

AWS WAF

Inscrição (1-click) Associe as regras no
AWS WAF
Encontre as regras no
console AWS WAF ou
no AWS Marketplace
AWS WAF

AWS WAF
Bloqueio automático de hosts suspeitos (AWS WAF + GuardDuty)

Amazon
Inspector
Macie
GuardDuty
Security
Hub
AWS
WAF
AWS
Shield
AWS
Firewall
Manager
√
√
√
√
√
√
√
√
√
√
√
√
√
√
√

AWS Firewall Manager
Serviço gerenciado que facilita a configuração
e gestão centralizada de regras AWS WAF para
as diferentes contas e aplicações.

Gestão simplificada de
regras AWS WAF
Integrado com o
AWS Organizations
Regras centralizadas globais
e regras específicas de conta
Conformidade
aplicada
Aplicar regras mandatórias
para toda a organização
Aplicar proteção para novas
contas e recursos
Visibilidade
centralizada
Visibilidade central de ameaças
detectadas pelo AWS WAF
Painel de Conformidade para
auditar configuração das regras
Operação por parte do time de
InfoSec (ao invés de conta por
conta)
Principais benefícios

Lambda
GuardDuty Amazon
CloudWatch
AWS Lambda
AWS Firewall
Manager
AWS Firewall
Manager
AWS
WAF
Automatize com outros serviços
Remediação automatizada
Resultados
do
GuardDuty
Evento no
CloudWatch

Implementa regras de OWASP para PCI compliance
• PCI DSS 3.0: O Requisito 6 sugere que os clientes implementem um AWS
WAF, com regras como o OWASP top 10
• Assine as regras gerenciadas no AWS Marketplace
• Assegure-se de que a regra OWASP seja aplicada a todos os recursos
marcados com PCI
AWS
Firewall
Manager
AWS
WAF
Caso típico

Amazon
Inspector
Macie
GuardDuty
Security
Hub
AWS
WAF
AWS
Shield
AWS
Firewall
Manager
√
√
√
√
√
√
√
√
√
√
√
√
√
√
√
√
√

@AWSSecurityInfo

https://www.aws.training/LearningLibrary

https://aws.amazon.com/about-aws/events/monthlywebinarseries/

https://aws.amazon.com/blogs/security

https://aws.amazon.com/security/security-resources

Muito Obrigado!
Mauricio Muñoz
Amazon Web Services

Mauricio Muñoz
Amazon Web Services

“Por favor, responda a pesquisa ao final
da sessão no app. Ao finalizar a
pesquisa, passe no Help Desk e retire
seu brinde!”

AWS layered security services - SEC302 - São Paulo AWS Summit

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a AWS layered security services - SEC302 - São Paulo AWS Summit

Semelhante a AWS layered security services - SEC302 - São Paulo AWS Summit (20)

Mais de Amazon Web Services

Mais de Amazon Web Services (20)

AWS layered security services - SEC302 - São Paulo AWS Summit