GuardDuty, Inspector e Macie

A segurança em defesa em profundidade exige não apenas impedir ataques, mas também detectar ameaças que consigam passar. A AWS oferece três serviços gerenciados de detecção de segurança que trabalham em conjunto: o Amazon GuardDuty detecta ameaças analisando o comportamento da conta da AWS e o tráfego de rede. O Amazon Inspector encontra vulnerabilidades de software nos recursos computacionais. O Amazon Macie descobre dados confidenciais (PII, registros financeiros) no S3 e alerta quando eles são expostos. Os três são totalmente gerenciados, usam aprendizado de máquina e integram-se ao AWS Security Hub para oferecer visibilidade centralizada.

O Amazon GuardDuty é um serviço contínuo de detecção de ameaças que analisa VPC Flow Logs, registros DNS, eventos de gerenciamento do CloudTrail e eventos de dados do S3 usando aprendizado de máquina, detecção de anomalias e feeds integrados de inteligência contra ameaças (listas de reputação de IP, domínios maliciosos conhecidos). O GuardDuty não requer agentes — basta habilitá-lo na sua conta para que ele comece imediatamente a analisar os registros existentes. Não há infraestrutura para gerenciar nem custos de armazenamento de registros (o GuardDuty consome os registros diretamente da AWS). Ele apresenta Findings categorizadas por tipo de ameaça: UnauthorizedAccess, CryptoCurrency, Backdoor, Trojan e outras.

O GuardDuty classifica Findings por finalidade da ameaça, tipo de recurso e nome da ameaça. Categorias comuns de Findings: UnauthorizedAccess — chamadas de API de locais incomuns ou de nós de saída do Tor. Recon — varredura de portas ou enumeração de APIs. PrivilegeEscalation — alterações na política do IAM que sugerem elevação de privilégios. Exfiltration — recuperação incomum de grandes volumes de dados do S3 ou RDS. CryptoCurrency — instância EC2 se comunicando com pools de mineração de criptomoedas conhecidos. Stealth — registro do CloudTrail desabilitado e registro de acesso do S3 desabilitado. Cada Finding inclui um recurso afetado, um IP/usuário responsável e uma ação recomendada.

As Findings do GuardDuty integram-se ao Amazon EventBridge para acionar fluxos de trabalho de resposta automatizados. Um padrão comum é: o GuardDuty detecta uma instância EC2 comprometida → a regra do EventBridge é acionada → a função Lambda é invocada → a Lambda isola a instância (remove-a do ASG e aplica um grupo de segurança restritivo que bloqueia todo o tráfego), cria snapshots dos volumes EBS para análise forense e notifica a equipe de segurança por meio do SNS. Essa resposta automatizada pode ocorrer em segundos após a detecção — muito mais rápido do que uma resposta conduzida por uma pessoa.

O Amazon Inspector descobre e verifica automaticamente suas cargas de trabalho em busca de vulnerabilidades de software e exposição não intencional à rede. O Inspector v2 (a versão moderna) abrange instâncias EC2 (por meio do Systems Manager Agent), imagens de contêiner do Amazon ECR (verificadas quando enviadas) e funções AWS Lambda (dependências de pacotes). Ele correlaciona Findings com bancos de dados de CVE (Vulnerabilidades e Exposições Comuns) e atribui pontuações de risco. O Inspector verifica novamente os recursos de forma contínua quando novas vulnerabilidades são publicadas — não é necessário iniciar verificações manualmente.

Além da verificação de CVE, o Inspector analisa a acessibilidade de rede — quais instâncias EC2 podem ser acessadas pela internet devido às configurações dos grupos de segurança. Ele mapeia os grupos de segurança da VPC, as NACLs, as tabelas de rotas e os gateways da internet para determinar quais portas de quais instâncias podem ser alcançadas pela internet. Uma Finding como a porta 22 (SSH) em i-12345 pode ser alcançada pela internet indica um grupo de segurança configurado incorretamente, permitindo acesso SSH direto — um risco de segurança comum. Essa análise de rede é executada sem agentes, usando dados de configuração da VPC.

O Amazon Macie usa aprendizado de máquina e correspondência de padrões para descobrir e proteger automaticamente dados confidenciais no Amazon S3. O Macie identifica Informações de Identificação Pessoal (PII) (nomes, números de seguridade social, números de cartão de crédito, passaportes), dados financeiros, informações de saúde e credenciais (senhas, chaves de API). Ele também detecta buckets públicos do S3 e buckets não criptografados. O Macie gera Findings que se integram ao Security Hub e ao EventBridge para correção ou alertas automatizados quando dados confidenciais são descobertos ou expostos.

O Macie é especialmente valioso para estruturas de conformidade que exigem localizar e proteger dados confidenciais: GDPR (dados pessoais da EU), HIPAA (informações de saúde), PCI DSS (dados de cartões de pagamento). As Findings do Macie mostram quais objetos do S3 contêm dados confidenciais, que tipo de dados foi encontrado e quais são os controles de acesso do bucket. Use essas informações para verificar se todos os buckets que contêm dados confidenciais estão criptografados, privados e regidos por políticas de bucket apropriadas. O Macie não modifica os dados nem o acesso ao bucket — ele apenas detecta e relata. A correção é realizada pela equipe de segurança.

O AWS Security Hub agrega Findings do GuardDuty, Inspector, Macie, IAM Access Analyzer, Firewall Manager e ferramentas de terceiros em um único console. Ele normaliza as Findings no AWS Security Finding Format (ASFF), permitindo processamento e análise consistentes entre as fontes. O Security Hub também avalia seu ambiente com base em padrões de segurança como CIS AWS Foundations, PCI DSS e NIST. Use o Security Hub como painel central da sua postura de segurança — correlacione Findings relacionadas de vários serviços para entender todo o escopo de um incidente.

A prova SAA-C03 verifica se você consegue selecionar o serviço de detecção correto para um determinado requisito de segurança. Principais diferenças: GuardDuty — detecta ameaças em tempo de execução e comportamentos suspeitos (quem está fazendo algo malicioso AGORA). Inspector — encontra vulnerabilidades preexistentes no software e na configuração da rede (o que está errado com meus recursos). Macie — descobre dados confidenciais e o risco de exposição no S3 (onde estão meus dados confidenciais e se estão protegidos). Os três são complementares e normalmente são implantados em conjunto em ambientes de produção como parte de uma estratégia de segurança abrangente.

Habilitar manualmente GuardDuty, Inspector e Macie em cada conta da AWS é impraticável em grande escala. A integração com o AWS Organizations permite designar uma conta de administrador delegado (normalmente uma conta de Security) que habilita e gerencia esses serviços em todas as contas-membro a partir de um único local. As novas contas adicionadas à Organização têm GuardDuty, Inspector e Macie habilitados automaticamente. As Findings de todas as contas são agregadas na conta de administrador delegado para análise centralizada. Essa é a arquitetura recomendada para a governança de segurança em ambientes com várias contas.

Teste sua compreensão dos conceitos de AWS Solutions Architect (SAA-C03) desta lição.

Nesta lição, você aprendeu que: o GuardDuty detecta ameaças em tempo de execução por meio da análise baseada em aprendizado de máquina de CloudTrail, VPC Flow Logs e registros DNS, o Inspector verifica automaticamente EC2, ECR e Lambda em busca de vulnerabilidades de CVE e problemas de acessibilidade de rede e o Macie descobre e protege dados confidenciais no S3 por meio da verificação de identificadores de dados gerenciada. O Security Hub centraliza as Findings dos três serviços. A seguir, exploraremos o Secrets Manager e o Parameter Store.