Referência
Glossário de Security foundations
Os termos do módulo em uma página: guardrail, landing zone, OU, controle…
Material complementar · Módulo 1 — Os alicerces
Termos de base
| Termo | O que significa |
|---|---|
| Workload | Conjunto de componentes que, juntos, entregam valor de negócio (aplicação, banco, filas, etc.). |
| Conta AWS | Contêiner de recursos e o limite de isolamento mais forte: segurança, cobrança e acesso. |
| Usuário root | A identidade criada com a conta, com acesso irrestrito a ela. Deve ser protegida e usada raramente. |
| Modelo de responsabilidade compartilhada | Divisão de responsabilidades: a AWS cuida da segurança da nuvem; o cliente, da segurança na nuvem. |
| Blast radius | O alcance do dano se algo der errado (erro, credencial vazada, incidente). Separar em contas reduz. |
Organização de contas
| Termo | O que significa |
|---|---|
| AWS Organizations | Serviço para gerenciar várias contas de forma central, com faturamento consolidado e políticas. |
| Conta de gerenciamento | A conta que cria a organização. Deve ter o mínimo de workloads possível. |
| OU (organizational unit) | Agrupamento de contas dentro da organização, para aplicar políticas em conjunto. |
| Landing zone | Ambiente multi-conta bem arquitetado, com contas, OUs, identidade e controles de base já configurados. |
| AWS Control Tower | Serviço que cria e governa uma landing zone usando boas práticas. |
| Administrador delegado | Conta-membro autorizada a administrar um serviço para toda a organização, evitando usar a conta de gerenciamento. |
Controles e governança
| Termo | O que significa |
|---|---|
| Objetivo de controle | O resultado que um controle precisa garantir, derivado de requisitos de conformidade e de riscos. |
| Controle | O mecanismo concreto que atende a um objetivo de controle (uma política, uma regra, um processo). |
| Guardrail | Controle de alto nível aplicado em escala, por exemplo em todas as contas de uma OU. |
| Controle preventivo | Impede que a ação aconteça. |
| Controle detectivo | Identifica que algo fora do padrão aconteceu. |
| Controle proativo | Verifica os recursos antes de serem provisionados. |
| SCP / RCP | Políticas da organização que definem o máximo de permissões para principais (SCP) e para recursos (RCP). |
Riscos e ameaças
| Termo | O que significa |
|---|---|
| Ameaça | Algo que pode dar errado e causar dano a um ativo. |
| Risco | Combinação da probabilidade de a ameaça acontecer e do impacto se acontecer. |
| Mitigação | Ação ou controle que reduz a probabilidade ou o impacto. |
| Modelagem de ameaças | Exercício estruturado para identificar ameaças e priorizar mitigações, idealmente na fase de design. |
| STRIDE | Categorias de ameaça: falsificação de identidade, adulteração, repúdio, divulgação de informação, negação de serviço e elevação de privilégio. |