Segurança na AWS — checklist de 12 itens para revisar hoje

No modelo de responsabilidade compartilhada, a AWS cuida da segurança da infraestrutura — prédios, servidores físicos, rede de base. Tudo o que você configura dentro da conta é responsabilidade sua: quem tem acesso, o que está exposto, como os dados são protegidos. É aí que acontece a grande maioria dos incidentes.

Este checklist reúne as verificações que mais encontram problemas nas contas que revisamos.

Contas e acessos

1. O usuário raiz tem MFA e não é usado no dia a dia. A conta raiz pode tudo. Ela deve ter autenticação em dois fatores, nenhuma chave de acesso e ser guardada para emergências.
2. Cada pessoa tem o próprio acesso. Logins compartilhados impedem saber quem fez o quê. O IAM Identity Center centraliza os acessos com MFA para toda a equipe.
3. Não existem chaves de acesso antigas. Chaves criadas há anos, de pessoas que saíram ou guardadas em código são a porta de entrada preferida de atacantes. Prefira papéis temporários a chaves fixas.
4. As permissões seguem o menor privilégio. "Acesso de administrador para todo mundo" é o padrão de muitas contas. Cada pessoa e cada sistema deve ter só o necessário.
5. Produção está separada do resto. Contas diferentes para produção, homologação e desenvolvimento, organizadas no AWS Organizations, limitam o estrago de um erro ou de um acesso indevido.

Rede e exposição

6. Nenhuma porta de administração aberta para a internet. SSH e acesso remoto ao Windows não devem estar abertos para qualquer endereço. O AWS Systems Manager Session Manager permite acessar servidores sem abrir porta nenhuma.
7. Nenhum bucket S3 público sem necessidade. O bloqueio de acesso público do S3 deve estar ligado na conta inteira, com exceções conscientes e documentadas.
8. Sites e APIs têm proteção na borda. O AWS WAF filtra ataques comuns a aplicações web, e o AWS Shield protege contra ataques de negação de serviço.

Detecção e registro

9. O CloudTrail está ligado em todas as regiões. Sem registro de atividade, é impossível investigar um incidente. Os registros devem ficar em um local protegido contra alteração.
10. O GuardDuty está ativo — e alguém lê os alertas. O Amazon GuardDuty detecta comportamentos suspeitos, como acessos de lugares incomuns ou máquinas sendo usadas para mineração de criptomoedas. Alertas ignorados não protegem ninguém.

Dados e recuperação

11. Os dados estão criptografados. Discos, bancos e buckets devem usar criptografia com chaves gerenciadas no AWS KMS — na maioria dos serviços, é uma opção de configuração, sem custo de desempenho perceptível.
12. Os backups são testados e protegidos. O AWS Backup centraliza as cópias, e o bloqueio de exclusão impede que um invasor ou um ransomware apague tudo. Backup que nunca foi restaurado é só uma esperança.

Depois do checklist

Fechar essas doze brechas já coloca a conta à frente da maioria. O passo seguinte é comprovar: testar o ambiente como um atacante faria, sempre com autorização e escopo definidos. É o que a Webparatus faz unindo a segurança na AWS com a experiência em pentest e Bug Bounty.