Avaliar novos serviços e recursos

A AWS lança recursos o tempo todo, e muitos deles resolvem problemas de segurança que você hoje trata com processo manual ou ferramenta própria. A boa prática SEC01-BP08 pede uma prática padrão para saber dessas novidades (da AWS e de parceiros) e avaliar como elas mudam o desenho dos controles atuais e dos novos.

Os antipadrões citados: não assinar blogs e feeds, depender de fontes de segunda mão e não incentivar as pessoas da organização a se manterem informadas.

Os canais oficiais indicados pela própria boa prática:

• What's New with AWS, AWS News Blog e AWS Security Blog;
• AWS Security Bulletins;
• um tópico Amazon SNS de atualizações diárias de recursos, e tópicos próprios de serviços como Amazon GuardDuty e AWS Security Hub CSPM (novos padrões e controles);
• eventos, com destaque para o AWS re:Inforce, a conferência anual de segurança, e o re:Invent;
• o seu time de conta AWS e, com Enterprise Support, o TAM.

Volume não é o problema; triagem é. Defina quem lê cada fonte e com que frequência, e um lugar único para registrar o que merece avaliação. O complemento fontes de informação de segurança tem uma sugestão.

Exemplo: hoje a equipe revisa à mão, por planilha, quais roles e chaves de acesso não são usadas há meses. O IAM Access Analyzer oferece um analisador de acesso não utilizado que gera findings para roles, chaves de acesso e senhas sem uso, e para serviços e ações não usados por roles ativas.

Uma avaliação objetiva responde:

1. Qual controle ele substitui ou melhora? Ligue ao objetivo de controle (lição 9).
2. Cobre o mesmo escopo? Contas, Regiões, tipos de recurso. Leia a documentação, não só o anúncio.
3. Quanto custa? Alguns recursos têm cobrança própria (o analisador de acesso não utilizado, por exemplo, é cobrado por role e usuário analisado).
4. Como integra? Findings no Security Hub? Eventos no EventBridge? Administração delegada na organização?
5. O que muda no modelo de ameaças? Atualize as mitigações e o risco residual (lição 14).

O outro lado da moeda: um time quer usar um serviço que ainda não está liberado. Um processo leve e previsível evita tanto o "proibido tudo" quanto o "liberado tudo":

1. Pedido com caso de uso, dados envolvidos e contas onde vai rodar.
2. Revisão de segurança com o checklist para adotar um serviço.
3. Teste em sandbox, em conta isolada, para validar controles, logs e custos.
4. Liberação com os controles definidos como código (lição 12).

O mecanismo técnico costuma ser uma SCP de lista de permissões (allowlist). O AWS Organizations anexa a SCP gerenciada FullAWSAccess em cada nível; você pode substituí-la por uma SCP que permite só os serviços aprovados. Como as SCPs exigem um Allow em cada nível do caminho até a conta, serviços fora da lista ficam bloqueados até serem incluídos:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowApprovedServices",
      "Effect": "Allow",
      "Action": [
        "s3:*", "dynamodb:*", "lambda:*", "sqs:*",
        "logs:*", "cloudwatch:*", "kms:*",
        "iam:*", "sts:*", "cloudtrail:*", "config:*"
      ],
      "Resource": "*"
    }
  ]
}

Adotar o novo só reduz risco e custo se o antigo sair. Quando um recurso nativo substitui um script, uma Lambda caseira ou uma ferramenta de terceiro:

• rode os dois em paralelo por um período e compare os resultados;
• atualize a documentação dos controles e as evidências de conformidade;
• remova o código, as permissões e as credenciais da solução antiga — permissões órfãs são superfície de ataque;
• registre a decisão, para ninguém "ressuscitar" a solução antiga depois.

Tenha uma rotina para acompanhar novidades pelos canais oficiais, avalie cada recurso pelo controle que ele substitui, pelo escopo, custo e integração, aprove serviços novos com revisão, sandbox e SCP de allowlist, e aposente a solução antiga com permissões e tudo.

SEC01-BP08 Evaluate and implement new security services and features regularly

• SCP evaluation — AWS Organizations
• Using AWS IAM Access Analyzer
• What's New with AWS
• AWS re:Inforce