Práticas para aumentar seu nível de segurança na AWS

© 2019, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Confidential and Trademark
Marcello Zillo Neto
LATAM - Principal Security SA
21 de Fevereiro de 2019
Práticas para aumentar seu
nível de segurança

Agenda
• Agenda
• Q&A
• CanalYoutube – AmazonWeb Services Latin America
• Pesquisa

Modelo de responsabilidade compartilhada

Acessos Visibilidade e Controle Automação
Evolução
Tempo
Etapas
1. Segregação de acesso com
múltiplas contas
2. Integração com base
autoritativa (AD)
3. Definição de perfis de acesso
4. Controle de acessos
privilegiados a servidores
1. IntegraçãoCD / CI
2. DevSecOps
3. Segurança de Aplicação
4. Automação de Segurança
5. Segurança como Código
1. Proteção dos logs
2. Monitoração de padrões de
segurança e ataques
3. Monitoração centralizada de
Segurança
4. Geração de alertas de não
conformidade
5. Scans deVulnerabilidades
em suas instâncias EC2

Evolução
Tempo
Etapa de Gestão de Identidade e Acessos
Organizations IAM SSO Systems
Manager
Directory
Services
1. Segregação de acesso com
múltiplas contas
2. Integração com base
autoritativa (AD)
3. Definição de perfis de acesso
4. Controle de acessos
privilegiados a servidores

Posso limitar quais serviços
AWS serão utilizados nas
minhas nas contas?

• Controle de acesso a serviços
• Isolamento lógico de diferentes ambientes
• Aplicação de políticas de segurança centralizadas
• Conta Master (root)
• Produção
• Desenvolvimento
• Teste
• Segurança
• Sandboxing
Etapa 1 - Modelo de múltiplas contas
AWS Organizations

Exemplos de Casos de uso
1. Somente a conta de Segurança (time de segurança) deve ter
acesso aos serviços de segurança como CloudTrail, SecurityHub,
GuardDuty, Inspector
2. Na conta de produção só são permitidos os serviços autorizados,
homologados para uso
3. Bloqueio (Deny) de S3 API Public Block access em produção
4. Conta deTeste com acesso Full a serviços, menos aos Serviços de
Segurança
AWS
Organizations

E na prática ...
AWS Organizations
DENY Security Services
Permited Services
ALLOW – ALL
DENY - S3 Public
ALLOW – ALL
DENY
Security
Services
Demo

Allow: EC2:*Allow: S3:* Allow: SQS:*
Allow: EC2:*Allow: EC2:*
SCP IAM
permissions
Políticas de Segurança combinadas
AWS Organizations + IAM

Como autenticar os usuários
no modelo de múltiplas contas
e criar perfis de forma
centralizada?

Arquitetura do Modelo de múltiplas contas
AWS Directory Service
Dev
Sandbox Test
Prod
Acesso com
perfis limitados
ADMINS DBA Security Audit … … …
AWS SSO
AWS SSO

• admin1
• dba1
• security1
• auditor1
Dev
Sandbox Test
Prod
Acesso com
perfis limitados
AWS_ADMIN
AWS SSO + AWS DS + Organizations Mapping
AWS SSO
User
Groups
AWS_DBA
AWS_SECURITY
AWS_AUDITOR
Security
Profiles
ContasOrganizations
Database Administrator
System Administrator
Administrator Access
View Only Access Demo

Como controlar os acessos
privilegiados a seus
servidores?

Controlando acessos administrativos (root)
1 Autenticação forte + mínimo privilégio
2 Acesso aos servidores de forma restritiva
3 Auditoria dos comandos executados
4 Arquivos de auditoria cifrados e protegidos
1
2
3
4
4
Session
Manager
Session Manager

• ssh1
Dev
Sandbox Test
Prod
AWS_SSH_PROD
System Manager + AWS SSO + AWS DS + Organizations Mapping
AWS SSO
User Groups
Security
Profiles
ContasOrganizations
SSH_PROD
System
Manager
Demo

Acessos
Em resumo – Benefícios na fase de acesso
1. Perfis de acesso definidos e controlados de forma centralizada
2. Controle de acesso a serviços não autorizados de forma centralizadas
3. Integração com base autoritativa existente
4. MFA por contexto
5. Automação na gestão de acesso, somente provisionamento usuários
nos respectivos Grupos de AD e provisionamento automatizado de
perfis em múltiplas contas
6. Controle de acessos administrativos a servidores com logs protegidos
7. Controle de acesso unificado, centralizado e robusto.

Evolução
Tempo
GuardDuty
Etapas deVisibilidade e Contrtole
Inspector Security
Hub
CloudTrail AWS
Config
1. Proteção dos logs
2. Monitoração de padrões de
segurança e ataques
3. Monitoração centralizada de
Segurança
4. Geração de alertas de não
conformidade
5. Scans deVulnerabilidades
em suas instâncias EC2
CloudWatch
Log Insights

Como manter os logs
protegidos?

Centralização de Logs de Segurança
1. Logs protegidos de deleção
2. Criptografados
3. Validação de Integridade
CloudTrail
CloudWatch
Log Insights

Como detectar tentativas de
ataques e anomalias?

O Amazon GuardDuty é um serviço gerenciado de
detecção de ameaças que monitora continuamente o
comportamento mal-intencionado ou não autorizado
para ajudá-lo a proteger suas contas e cargas de trabalho
da AWS usando ML.
ML para visibilidade e controle
GuardDuty

Demo - Máquina comprometida, detecção e resposta
AWS Cloud
ROOT
AWS Cloud
Produção
AWS Cloud
Desenvolvimento
AWS Cloud
Segurança
AWS Cloud
Teste
AWS Cloud
Sandboxig
GuardDuty

Tipos de ataques detectados
Força Bruta
RDP
RAT
Instalado
Exfiltração de
credenciais
por DNS
Chamada
de APIs
maliciosas
Credenciais
Comprometidas
Reconhecimento
Portas não usuais
Exfiltração DNS
IPs maliciosos
Conexão com sites em
Blacklist
Volume de tráfego não
usual
Proxy
Anônimo
Início não usual de
instâncias
Chamada de ISP não
usual
Mineração
Bitcoin
GuardDuty

Classificação de alertas e ameaças
BAIXO MÉDIO ALTO
Atividade suspeita ou
maliciosa bloqueada antes de
comprometimento
Atividade suspeita que se
desvia do comportamento
normalmente observado
Recurso comprometido e
ativamente usado para fins não
autorizados
Tomar ação Imediata
• Isole a instância
• Rotacione chaves
• Efetue um processo de Análise
Forense detalhado e busque a
causa raiz do problema
• Provisione novo recurso seguro e
confiável
Investigar mais
• Verificar novo software que
alterou o comportamento
• Verificar alterações nas
configurações
• Detectar software não
autorizado e avaliar as
permissões IAM
Apenas para informação
• Não há ações imediatas
necessárias, mas anote as
informações como algo que
pode ser avaliado no futuro
GuardDuty

AWS Cloud
Desenvolvimento
AWS Cloud
Segurança
• Proteção dos eventos
• Centralização
• Resposta padronizada34.230.142.134
172.16.0.29172.16.0.11
172.16.0.26
172.16.0.28
Máquina comprometida, detecção e resposta
GuardDuty
Demohttps://github.com/awslabs/amazon-guardduty-tester
https://github.com/aws-samples/amazon-guardduty-to-slack

Elasticsearch GlobalVision (SOC)
GuardDuty
https://aws.amazon.com/blogs/security/visualizing-amazon-guardduty-findings/ Demo

Como avaliar conformidade e
centralizar findings de
segurança das minhas contas
AWS?

Single Pane of Glass
Necessidade de
um painel
unificado de
segurança
Grande volume de
alertas que
precisam ser
priorizados
Dezenas de
ferramentas de
segurança com
diferentes
formatos
1 2 3
Assegurar que sua
infraestrutura da
AWS atenda aos
requisitos de
conformidade
4
Priorização MúltiplosformatosVisibilidade Conformidade
Security Hub
Visibilidade Priorização Múltiplos formatos Conformidade

Consumo de fontes de dados
Entendendo seu estado de
segurança e conformidade na AWS
Compliance Checks
Security Hub
Security Hub
InspectorGuardDuty
Macie
https://d1.awsstatic.com/whitepapers/compliance/AWS_CIS_Foundations_Benchmark.pdf

Demo
Security Hub
Demo

Em resumo – Benefícios na fase deVisibilidade e Controle
Visibilidade e Controle
1. Visibilidade de ativos e recursos utilizados praticamente
em tempo real
2. Monitoração e detecção de anomalias de ataques com
poucos cliques
3. Avaliação do nível de conformidade e segurança das
contas de forma centralizada
4. Tomada de decisão estratégica de segurança em um
único ponto (Dashboard)
5. Maior visibilidade e controle com menor esforço e
custo.

Evolução
Tempo
Etapa de automação
1. IntegraçãoCD / CI
2. DevSecOps
3. Segurança de Aplicação
4. Automação de Segurança
5. Segurança como Código

CloudWatch Events
Amazon
CloudWatch
CloudWatch
Event
Lambda
Lambda Function
AWS Lambda
GuardDuty
Amazon
GuardDuty
Automatize a remediação de ameaças

Automatize processo de resposta a incidentes
https://youtu.be/f_EcwmmXkXk

Automatize processo de resposta a incidentes
https://github.com/aws-samples/amazon-guardduty-hands-on

Acessos
Visibilidade e Controle
Automação

https://aws.amazon.com/pt/products/security/

© 2019, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Confidential and Trademark© 2019, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Confidential and Trademark
Por favor respondam a
pesquisa
Obrigado!
Marcello Zillo Neto
mzillo@amazon.com

Práticas para aumentar seu nível de segurança na AWS

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Práticas para aumentar seu nível de segurança na AWS

Semelhante a Práticas para aumentar seu nível de segurança na AWS (20)

Mais de Amazon Web Services LATAM

Mais de Amazon Web Services LATAM (20)

Práticas para aumentar seu nível de segurança na AWS