Projetando Cenários de Defesa em Camadas

O exame favorece a defesa em profundidade: várias camadas independentes, para que, se uma falhar, as outras ainda protejam a carga de trabalho.

Nenhum controle isolado é suficiente. A melhor resposta geralmente combina controles de identidade, rede, dados e detecção, em vez de depender de apenas um.

Na borda da rede, combine proteções:

• O Shield absorve inundações de DDoS.
• O WAF filtra solicitações Web maliciosas.
• O CloudFront encerra o TLS e reduz a exposição da origem.

Cada camada lida com uma classe diferente de ameaça.

Dentro da VPC, combine controles:

• O projeto das sub-redes isola as camadas.
• As NACLs protegem as sub-redes sem manter estado; os grupos de segurança protegem as instâncias mantendo estado.
• O Network Firewall acrescenta inspeção profunda e controle de saída.

A identidade também possui suas próprias camadas:

• As políticas do IAM concedem privilégio mínimo.
• Os limites de permissões restringem o que as funções podem fazer.
• As SCPs definem um limite para toda a organização.

Uma ação precisa passar por todas as camadas para ser permitida.

Proteja os dados em várias frentes:

• Criptografe em repouso (KMS) e em trânsito (TLS/ACM).
• Controle as chaves rigorosamente e armazene os segredos no Secrets Manager.
• Descubra dados confidenciais com o Macie.

Mesmo que o armazenamento seja comprometido, os dados criptografados continuam protegidos.

A própria detecção também é composta por camadas:

• GuardDuty para ameaças, Config para desvios e Flow Logs para anomalias de rede.
• O Security Hub agrega tudo para que nada seja esquecido.

Vários sinais identificam o que uma única fonte não conseguiria detectar.

Projetos robustos combinam controles preventivos e investigativos.

• Os preventivos (SCPs, grupos de segurança e políticas de bucket) impedem ações indevidas.
• Os investigativos (Config, GuardDuty e CloudTrail) identificam o que consegue passar.

O exame geralmente espera os dois, não apenas um.

Protegendo um aplicativo Web público de ponta a ponta: CloudFront + WAF + Shield na borda, um ALB em sub-redes públicas, servidores de aplicativos em sub-redes privadas, um banco de dados criptografado com KMS, acesso por meio de funções do IAM, segredos no Secrets Manager e monitoramento com GuardDuty e CloudTrail.

Fique atento a projetos que dependem de um único controle, como um único grupo de segurança ou um host bastião.

A resposta mais robusta elimina pontos únicos de falha: nenhuma porta aberta (use o Gerenciador de Sessões do SSM), nenhuma chave compartilhada (use funções) e detecção redundante.

Um projeto em camadas também significa limitar o raio de impacto, ou seja, os danos causados se um controle falhar.

• Contas separadas isolam as cargas de trabalho umas das outras.
• Chaves e funções com escopo limitado restringem o alcance de um único comprometimento.

O exame favorece projetos nos quais uma violação não se transforma em um comprometimento total.

Quando várias respostas "funcionam", escolha a que oferece mais camadas, menor privilégio e maior nível de gerenciamento.

Soluções gerenciadas pela AWS, automatizadas e baseadas em defesa em profundidade quase sempre são melhores que soluções manuais de camada única nos cenários do exame.

Escolha o projeto com mais camadas.

Você aprendeu a projetar defesas em camadas.

• Combine controles nas camadas de borda, rede, identidade, dados e detecção.
• Associe controles preventivos e investigativos.
• A melhor resposta do exame é a que tem mais camadas, menor privilégio e é gerenciada pela AWS.