Home

Amazon Web Services: Visão geral do processo de segurança

1. acess vel atrav s de pontos de acesso criptografados com SSL Os pontos de acesso criptografados s o acess veis tanto pela Internet quanto pelo Amazon EC2 Os dados armazenados no Amazon SQS n o s o criptografados pela AWS no entanto o usu rio pode criptografar dados antes carreg los para o Amazon SQS desde que o aplicativo utilizado pela fila possa descriptografar a mensagem quando os dados forem recuperados Criptografar as mensagens antes de envi las para o Amazon SQS ajuda a proteger contra o acesso n o autorizado aos dados confidenciais do cliente incluindo a AWS Seguran a do Amazon Simple Notification Service Amazon SNS O Amazon Simple Notification Service Amazon SNS um servi o da Web que facilita a configura o a opera o e o envio de notifica es com base na nuvem Ele fornece aos desenvolvedores uma capacidade altamente escal vel flex vel e econ mica para publicar mensagens de um aplicativo e imediatamente entreg las aos assinantes ou outros aplicativos O Amazon SNS fornece uma interface simples de servi os da Web que pode ser usada para criar t picos desejados para notificar aplicativos ou pessoas inscrever clientes nesses t picos publicar mensagens e fazer com que essas mensagens sejam fornecidas ao protocolo de escolha dos clientes ou seja HTTP e mail etc O Amazon SNS entrega notifica es aos clientes usando um mecanismo push que elimina a necessidade de verifica o peri dica ou
2. m total controle sobre quem tem acesso aos seus dados O acesso ao Amazon SimpleDB pode ser concedido com base em uma identifica o de conta AWS Uma vez autenticada a conta AWS tem acesso completo a todas as opera es O acesso a cada dom nio individual controlado por uma lista P 121 amazon webservices 18 Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 de controle de acesso independente que mapeia usu rios para os dom nios que possuem autentica o Um usu rio criado com o IAM da AWS s tem acesso s opera es e aos dom nios para os quais teve permiss o concedida atrav s da pol tica O Amazon SimpleDB acess vel atrav s de pontos de acesso criptografados com SSL Os pontos de acesso criptografados s o acess veis tanto pela Internet quanto pelo Amazon EC2 Os dados armazenados dentro do Amazon SimpleDB n o s o criptografados pela AWS no entanto o cliente pode criptografar os dados antes de carreg los para o Amazon SimpleDB Estes atributos criptografados seriam recuper veis como parte de uma opera o Get apenas Eles n o poderiam ser usados como parte de uma consulta de condi o de filtragem Criptografar os dados antes de envi los para o Amazon SimpleDB ajuda a proteger contra o acesso por qualquer pessoa aos dados confidenciais do cliente incluindo a AWS Gerenciamento de dados do Amazon SimpleDB Quando um dom nio exclu do do Amazon Simple
3. poll para novas informa es e atualiza es O Amazon SNS pode ser alavancado para criar fluxos de trabalho altamente confi veis e acionados por eventos e aplicativos de mensagens sem a necessidade da gest o complexa de middleware e aplicativos Os usos potenciais do Amazon SNS incluem o monitoramento de aplicativos sistemas de fluxo de trabalho atualiza es de informa es relacionadas a hor rios aplicativos m veis e muitos outros Assim como ocorre com todas as Amazon Web Services n o h a necessidade de investimentos pr vios e voc paga somente pelos recursos que usar O Amazon SNS fornece mecanismos de controle de acesso para assegurar que os t picos e as mensagens ser o protegidos contra o acesso n o autorizado Os propriet rios de t picos podem definir pol ticas para um t pico que restrinja quem pode publicar ou assinar um t pico Al m disso os propriet rios de t picos podem assegurar que as notifica es sejam criptografadas ao especificar que o mecanismo de entrega deve ser HTTPS O acesso ao Amazon SNS concedido com base em uma conta AWS ou um usu rio criado com o IAM AWS Uma vez autenticada a conta AWS tem acesso completo a todas as opera es do usu rio An AWS ERE ei mr amazon A webservices 20 Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 IAM user however only has access to the operations and topics which they have been granted access to via policy Por pa
4. suas contas da AWS e controlem o acesso Identity and Access Management IAM Multi gateway de internet Authentication MFA e Rota o de chave da AWS maia amazon gt webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 AWS Identity and Access Management AWS IAM O AWS Identity and Access Management AWS IAM permite que o cliente crie m ltiplos usu rios e gerencie permiss es para cada um desses usu rios a partir de sua conta da AWS Um Usu rio uma identidade dentro de uma conta da AWS do cliente com credenciais de seguran a exclusivas que podem ser usadas para acessar os servi os da AWS O IAM da AWS elimina a necessidade de compartilhar senhas ou chaves de acesso e facilita a ativa o e a desativa o de um acesso do Usu rio conforme apropriado O IAM da AWS permite que o cliente implemente as melhores pr ticas de seguran a tais como menos privil gio ao atribuir credenciais exclusivas para cada usu rio dentro da sua conta da AWS e conceder somente as permiss es que os usu rios precisam a fim de acessar os recursos da AWS necess rios para a realiza o do seu trabalho Como padr o o IAM da AWS seguro os novos usu rios n o t m de acessar os recursos da AWS at que permiss es sejam explicitamente concedidas O IAM da AWS permite que os clientes minimizem o uso das suas credenciais de conta da AWS Em vez disso todas as intera es com os Servi os
5. uma boa pr tica de seguran a e a AWS incentiva os usu rios a criptografar seus dados confidenciais antes que eles sejam carregados para o Amazon S3 Quando um objeto exclu do do Amazon S3 a remo o do mapeamento do nome p blico para o objeto come a imediatamente e geralmente processado atrav s da distribui o sistem tica dentro de alguns segundos Uma vez que o mapeamento removido n o h acesso remoto para o objeto exclu do A rea de armazenamento subjacente recuperada em seguida para utiliza o pelo sistema O Amazon S3 projetado para fornecer uma durabilidade de 99 999999999 e uma disponibilidade de 99 99 de objetos durante um determinado ano Os objetos s o armazenados redundantemente em v rios dispositivos em diversas instala es em uma regi o do Amazon S3 Para ajudar a assegurar a durabilidade as opera es PUT e do Amazon S3 armazenam de forma sincronizada os dados em diversas instala es antes de exibir o SUCCESS Uma vez armazenados o Amazon S3 mant m a durabilidade dos objetos ao detectar e reparar rapidamente qualquer redund ncia perdida O Amazon S3 tamb m verifica regularmente a integridade dos dados armazenados usando somat rias Se um corrompimento for detectado ele ser reparado usando dados redundantes Al m disso o Amazon S3 calcula somat rias em todo o tr fego da rede para detectar o corrompimento de pacotes de dados durante a classifica o ou a recupera o de dados O Am
6. veis para auxiliar com problemas operacionais Isso inclui um sistema de pager para que os alertas sejam comunicados r pida e confiavelmente equipe de opera es A documenta o mantida para ajudar e para informar os colaboradores do setor de opera es quando do tratamento de incidentes ou problemas Se a solu o de um problema exige colabora o um sistema de confer ncia que oferece suporte aos recursos de comunica o e de registro ser utilizado L deres treinados de chamada facilitam a comunica o e o progresso durante o tratamento de problemas operacionais que requerem colabora o Post mortems s o convocadas ap s qualquer problema operacional significativo independentemente do impacto externo e documentos de causa de erro COE s o elaborados para que a causa raiz seja descoberta e a es preventivas sejam tomadas no futuro A implementa o de medidas preventivas controlada durante reuni es semanais de opera es Informa es e comunica o A AWS implementou diversos m todos de comunica o interna a n vel mundial para ajudar os funcion rios a compreenderem suas responsabilidades e fun es individuais e a comunicarem eventos significativos em tempo h bil Esses m todos incluem orienta o e programas de treinamento para funcion rios rec m contratados reuni es regulares de gerenciamento para atualiza es sobre desempenho dos neg cios e outros assuntos meios eletr nicos tais como videoconfer
7. 88 orienta es para o tratamento de m dia t m a capacidade de faz lo no Amazon EBS A criptografia de dados confidenciais geralmente uma boa pr tica de seguran a e a AWS incentiva os usu rios a criptografarem seus dados confidenciais atrav s de um algoritmo coerente com sua pol tica de seguran a definida Seguran a do Amazon Virtual Private Cloud A seguran a dentro do Amazon Virtual Private Cloud come a com o pr prio conceito de VPC e se estende para incluir os grupos de seguran a listas de controle de acesso de rede ACLs roteamento e gateways externos Cada um desses itens complementar ao fornecer uma rede isolada e segura que pode ser estendida por meio da habilita o seletiva do acesso direto Internet ou conectividade privada para outra rede Abaixo descrevemos os v rios n veis de seguran a do Amazon VPC Isso ser seguido por um diagrama que ilustra como os componentes do Amazon VPC se relacionam M ltiplos N veis de Seguran a Virtual Private Cloud Cada VPC uma rede distinta isolada dentro da nuvem No momento da cria o um intervalo de endere os IP para cada VPC selecionado pelo cliente O tr fego de rede dentro de cada VPC isolado de todos os outros VPCs portanto v rios VPCs podem utilizar a sobreposi o de intervalos de endere os IP mesmo id nticos sem perda desse isolamento Por padr o os VPCs n o possuem conectividade externa Os clientes podem criar e anexar um gatew
8. Altera es desde a ltima vers o Setembro de 2008 e Adi o dos princ pios de design seguro e Atualiza o de informa es de seguran a f sica e inclus o de verifica o de antecedentes e Se o Backup atualizada para maior clareza com rela o ao Amazon EBS e Atualiza o da se o de seguran a do Amazon EC2 para incluir e SSHv2 baseado em certifica o e Diagrama e detalhes do grupo de seguran a em v rios n veis e Descri o do hypervisor e do diagrama de isolamento de inst ncia e Separa o de falhas e Adi o do gerenciamento de configura o e Se o do Amazon S3 atualizada para detalhes e clareza e Adi o da desativa o do dispositivo de armazenamento e Adi o de seguran a do Amazon SOS e Adi o de seguran a do Amazon CloudFront e Adi o de seguran a do Amazon Elastic MapReduce Avisos O 2010 2011 Amazon com Inc ou suas afiliadas Este documento fornecido apenas para fins informativos Relaciona as atuais ofertas de produtos da AWS a contar da data de emiss o deste documento que est o sujeitas a altera es sem aviso pr vio Os clientes s o respons veis por sua interpreta o independente das informa es neste documento e qualquer uso de produtos ou servi os da AWS cada um dos quais fornecida como est sem garantia de qualquer tipo expressas ou impl citas Este documento n o cria quaisquer garantias representa es compromissos contratuais condi es ou seguros da AW
9. EC2 seja dimensionado perfeitamente durante os picos de demanda para manter o desempenho e permite a redu o autom tica durante as baixas de demanda para minimizar os custos O Auto Scaling requer como todos os servi os AWS autentica o para cada solicita o feita sua API de controle para que somente os usu rios autenticados possam acessar e gerenciar o Auto Scaling As solicita es s o assinadas com uma assinatura de HMAC SHAI criada a partir da solicita o e da chave privada do usu rio Um cliente pode controlar o acesso ao Auto Scaling criando usu rios para a sua conta AWS usando o IAM da AWS e controlar quais APIs do Auto Scaling esses usu rios tem permiss o para chamar Seguran a do Amazon CloudFront O Amazon CloudFront exige que todas as solicita es feitas sua API de controle sejam autenticadas para que somente os usu rios autenticados possam criar modificar ou excluir suas pr prias distribui es do Amazon CloudFront As solicita es s o assinadas com uma assinatura de HMAC SHAI criada a partir da solicita o e da chave privada do usu rio Al m disso a API de controle do Amazon CloudFront s acess vel atrav s de pontos de acesso criptografados com SSL N o h nenhuma garantia de durabilidade dos dados mantidos em pontos de presen a do Amazon CloudFront O servi o ao longo do tempo pode remover os objetos de locais perif ricos se esses objetos n o s o solicitados com frequ ncia A durabil
10. Windows e UNIX s o desabilitadas e o sistema de gerenciamento de permiss o da Amazon remove o usu rio de todos os sistemas Pol tica de senhas O acesso e a administra o de seguran a l gica para a Amazon depende de IDs de usu rio senhas Kerberos para autenticar usu rios para servi os recursos e dispositivos bem como para autorizar o n vel adequado de acesso para o usu rio A seguran a AWS estabeleceu uma pol tica de senha com intervalos de expira o e configura es necess rias Seguran a f sica A Amazon tem muitos anos de experi ncia no projeto na constru o e na opera o de datacenters de grande escala Esta experi ncia tem sido aplicada plataforma e infraestrutura da AWS Os datacenters da AWS est o alojados em instala es inclassific veis O acesso f sico estritamente controlado no per metro e nos pontos de ingresso de constru o pelos funcion rios da seguran a profissional utilizando a vigil ncia por v deo sistemas de detec o de intrus o e outros meios eletr nicos O pessoal autorizado deve passar pela autentica o de dois fatores por um m nimo de duas vezes para acessarem os andares dos datacenter Todos os visitantes e prestadores de servi os est o obrigados a apresentar identifica o e s o cadastrados e continuamente escoltados por pessoal autorizado AWS s fornece acesso de datacenter e informa es para funcion rios e prestadores de servi os que t m uma empresa leg tima
11. X 509 em criptografia X 509 um padr o ITU T para uma infraestrutura de chave p blica PKI para Single Sign On SSO e infraestrutura de gerenciamento de privil gio PMI O X 509 especifica entre outras coisas formatos padr o para certificados de chave p blicos listas de certificados revogados certificados de atributo e um algoritmo de valida o de caminho de certifica o D my amazon x EA webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 Altera es desde a ltima vers o Agosto de 2010 e Adi o do AWS Identity and Access Management AWS IAM e Adi o da seguran a do Amazon Simple Notification Service SNS e Adi o da seguran a do Amazon CloudWatch e Adi o da seguran a do Auto Scaling e Atualiza o do Amazon Virtual Private Cloud Amazon VPC e Atualiza o do ambiente de controle e Remo o de gerenciamento de riscos como foi descrito em detalhes em um whitepaper separado Altera es desde a ltima vers o Novembro de 2009 e Revis es importantes Altera es desde a ltima vers o Julho de 2009 e Altera o da se o de Certifica es e acredita es para refletir a SAS 70 e Adi o do Amazon Virtual Private Cloud Amazon VPC e Adi o de se o de credenciais de seguran a para real ar a autentica o Multi gateway de internet AWS e rota o de chaves e Adi o da seguran a do Amazon Relational Database Service Amazon RDS
12. aloquem inst ncias e armazenem dados em v rias Zonas de disponibilidade Consulte a se o Gerenciamento de continuidade de neg cios para obter mais informa es sobre a disponibilidade O Amazon S3 o Amazon SimpleDB o Amazon Simple Notification Service SNS e o Amazon Simple Queue Service SQS n o exp em o conceito de Zonas de disponibilidade para os clientes Com esses servi os os dados s o armazenados redundantemente em v rios dispositivos de m ltiplas instala es dentro de uma regi o O diagrama abaixo demonstra as regi es e as Zonas de disponibilidade dentro de cada regi o para o Amazon EC2 o Amazon EBS e o Amazon RDS US East Region N VA EU Region IRE Availability Zone A Availability Zone B Availability Zone A Availability Zone B Availability APAC Region Singapore US West Region N CA APAC Region Tokyo Availability Zone B Availability Zone A Availability Zone B Availability Zone A Availability Zone A Availability Zone B Recursos de seguran a de conta da Amazon AWS fornece v rias maneiras para que os clientes se identifiquem e acessem com seguran a sua conta AWS Uma lista completa de credenciais compat veis com a AWS pode ser encontrada na p gina de credenciais de seguran a em Sua conta A AWS tamb m fornece op es de seguran a adicionais que permitem que os clientes protejam ainda mais as
13. ao cliente que afetem os servi os sejam cuidadosamente revistas testadas aprovadas e bem comunicadas O processo de gerenciamento de altera es da AWS projetado para evitar interrup es de servi o n o intencionais e para manter a integridade do servi o ao cliente As altera es implantadas nos ambientes de produ o s o e Revisadas processo de revis o pelos pares dos aspectos t cnicos de uma mudan a e Testadas ao serem aplicadas se comportar o conforme o esperado e n o impactar o negativamente o desempenho e Aprovadas para fornecer supervis o adequada e compreens o sobre o impacto nos neg cios Altera es s o normalmente enviadas para produ o em uma implanta o em fases come ando com reas de menor impacto As implanta es s o testadas em um nico sistema e s o monitoradas de perto para que o impacto possa ser avaliado Os propriet rios de servi o possuem v rias m tricas configur veis que medem a integridade de depend ncias da produ o do servi o Essas m tricas s o rigorosamente monitoradas com os limites e alertas em vigor Procedimentos de revers o est o documentados no ticket Change Management CM Sempre que poss vel as altera es s o agendadas durante as janelas de altera es regulares As altera es de emerg ncia aos sistemas de produ o que precisem de desvios dos procedimentos de gerenciamento de altera o padr o est o associadas a um incidente e s o registradas e aprovad
14. automatizadas diariamente revendo relat rios para atender aos hosts que n o conseguem obter ou atualizar seu software e sua configura o Um software de gerenciamento de configura o desenvolvido internamente instalado quando o novo hardware configurado Essas ferramentas s o executadas em todos os hosts UNIX para validar sua configura o e assegurar se de que o software est instalado em conformidade com as normas determinadas pelo papel atribu do ao host Este software de gerenciamento de configura o tamb m ajuda a atualizar regularmente os pacotes que j est o instalados no host Somente colaboradores habilitados pelas permiss es de servi o podem fazer login em servidores de gerenciamento de configura o central Gerenciamento de continuidade de neg cios A infraestrutura da Amazon tem um elevado n vel de disponibilidade os recursos para implantar uma arquitetura de TI resiliente A AWS projetou seus sistemas para tolerar falhas do sistema ou de hardware impacto ao cliente O gerenciamento de continuidade de neg cios de datacenters da AWS est sob a dire o do Grupo de Infraestrutura da Amazon Disponibilidade Os datacenters s o constru dos em clusters em v rias regi es globais Todos os datacenters est o online e a servi o dos clientes nenhum datacenter est inativo Em caso de falha processos automatizados desviam o tr fego de dados do cliente da rea afetada Os principais aplicativos s o implantad
15. conformidade A AWS est em conformidade com v rias certifica es e atestados de terceiros Dentre eles est o e SAS70Tipo Il Este relat rio inclui controles detalhados que a AWS executa junto com um parecer de auditor independente sobre a efic cia do funcionamento desses controles e PCI DSS N vel 1 A AWS foi validada independentemente para estar em conformidade com o padr o de seguran a de dados PCI como um provedor de servi os de host compartilhado e ISO 27001 A AWS obteve a certifica o ISO 27001 do nosso sistema de gest o de seguran a da informa o ISMS Information Security Management System que abrange a infraestrutura datacenters e servi os e FISMA A AWS permite que os clientes da Ag ncia de governo alcancem e mantenham a conformidade com a Gest o de seguran a de informa o Federal FISMA A AWS foi certificada e acreditada para operar em n vel FISMA baixo E concluiu tamb m a implementa o de controle e passou com sucesso nos testes e na avalia o de seguran a independentes necess rios para operar a n vel FISMA moderado A AWS atualmente busca obter uma aprova o das ag ncias governamentais para operar a n vel FSMA moderado Al m disso os clientes criaram aplicativos na rea de sa de em conformidade com as Regras de privacidade e seguran a do HIPPA na AWS Mais informa es sobre essas certifica es e atestados de terceiros est o dispon veis no Whitepaper de risco e conformidade disp
16. de 2011 APIs Seguran a do Amazon Simple Queue Service Amazon SQS O Amazon SQS um servi o de enfileiramento de mensagens altamente confi vel e escal vel que permite a comunica o ass ncrona baseada em mensagens entre os componentes distribu dos de um aplicativo Os componentes podem ser computadores ou inst ncias do Amazon EC2 ou uma combina o de ambos Com o Amazon SQS voc pode enviar um n mero qualquer de mensagens para uma fila do Amazon SQS a qualquer momento de qualquer componente As mensagens podem ser obtidas atrav s do mesmo componente ou um diferente imediatamente ou em um momento posterior no prazo de 4 dias As mensagens s o altamente dur veis cada mensagem armazenada constantemente em filas altamente dispon veis e altamente confi veis V rios processos podem ler escrever de para uma fila do Amazon SQS ao mesmo tempo sem interferir uns com os outros O acesso ao Amazon SQS concedido com base em uma conta AWS ou um usu rio criado com o IAM AWS Uma vez autenticada a conta AWS tem acesso completo a todas as opera es do usu rio No entanto um usu rio IAM AWS s tem acesso s opera es e a filas que tenham sido concedidas o acesso por via pol tica Por padr o o acesso para cada fila individual restrito para a conta AWS que o criou No entanto um cliente pode permitir que outros acessem uma fila usando uma pol tica gerada pelo SQS ou uma pol tica escrita pelo usu rio O Amazon SQS
17. itens amplia os recursos dos outros O objetivo oferecer prote o para que dados contidos no Amazon EC2 n o sejam interceptados por sistemas ou usu rios n o autorizados e possam eles mesmos fornecer inst ncias do Amazon EC2 que sejam t o seguras quanto poss vel sem sacrificar a flexibilidade na configura o que os clientes exigem M ltiplos N veis de Seguran a Sistema operacional do host os administradores com uma necessidade de neg cios de acessar o plano de gerenciamento s o solicitados a usar a autentica o multi gateway de internet para obter acesso aos hosts de uso espec fico de administra o Esses hosts administrativos s o sistemas que s o especificamente concebidos constru dos configurados e refor ados para proteger o plano de gest o da nuvem Esse acesso registrado e auditado Quando um funcion rio n o tem mais uma necessidade de neg cio para acessar o plano de gest o os privil gios e o acesso a esses hosts e sistemas pertinentes s o revogados Sistema operacional convidado inst ncias virtuais s o totalmente controladas pelo cliente Os clientes t m acesso completo raiz ou controle administrativo sobre aplicativos servi os e contas A AWS n o t m quaisquer direitos de acesso para inst ncias de cliente e n o podem efetuar login no sistema operacional convidado A AWS recomenda um conjunto b sico de melhores pr ticas de seguran a recomendados para incluir a desativa o do acesso somente p
18. ncia mensagens de correio eletr nico e postagem de informa es atrav s da intranet da Amazon A AWS tamb m implementou diversos m todos de comunica o externa para dar suporte a sua base de clientes e comunidade H mecanismos em vigor para permitir que o cliente ofere a suporte a equipe para ser notificado sobre problemas operacionais que afetam a experi ncia do cliente Um Console de status de servi o est dispon vel e mantido pela equipe de suporte para alertar os clientes sobre quaisquer problemas que possam ser de grande impacto Um de Seguran a e Conformidade tamb m est dispon vel para fornecer aos clientes um local nico onde encontrar detalhes de seguran a e conformidade da AWS Os clientes podem se inscrever para ofertas de suporte Premium que incluem uma comunica o direta com a equipe de suporte ao cliente e alertas proativos para quaisquer problemas de impacto dos clientes Ciclo de vida do funcion rio A AWS estabeleceu procedimentos e pol ticas formais para delinear as normas m nimas de acesso l gico aos hosts da plataforma e da infraestrutura AWS A AWS exige que funcion rios com necessidade de acesso aos dados dos clientes passem por uma detalhada verifica o de antecedentes conforme o permitido por lei proporcional ao seu cargo e n vel de acesso a dados As pol ticas tamb m identificam as responsabilidades funcionais para a administra o de acesso l gico e de seguran a Provision
19. tica de uso aceit vel da AWS A aprova o avan ada para esses tipos de varreduras pode ser iniciada pelo envio de uma solicita o atrav s do website em https aws portal amazon com aws html forms controller contactus AWSSecurityPenTestRequest Packet sniffing por outros clientes Uma inst ncia virtual que esteja sendo executada em modo prom scuo n o pode receber ou farejar o tr fego que se destina a uma inst ncia virtual diferente Mesmo que os clientes possam colocar suas interfaces em modo prom scuo o hypervisor n o disponibilizar nenhum tr fego que n o seja endere ado a eles Mesmo duas inst ncias virtuais que s o pertencentes ao mesmo cliente localizado no mesmo host f sico n o podem escutar tr fego umas das outras Ataques como envenenamento de cache ARP n o funcionam no Amazon EC2 e no Amazon VPC Enquanto o Amazon EC2 n o oferece prote o ampla contra a tentativa mal intencionada de um cliente de ver dados de outro como uma pr tica padr o todos os clientes devem criptografar o tr fego sens vel Seguran a do Amazon Elastic Compute Cloud Amazon EC2 D mr amazon k EA webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 A seguran a no Amazon EC2 fornecida em v rios n veis o sistema operacional SO do sistema host o sistema operacional da inst ncia virtual ou sistema operacional convidado um firewall e chamadas de API assinadas Cada um desses
20. DB a remo o de mapeamento de dom nio come a imediatamente e geralmente processada em todo o sistema distribu do em poucos segundos Uma vez que o mapeamento removido n o h acesso remoto para os dom nios exclu dos Quando os dados de item e atributo s o exclu dos dentro de um dom nio a remo o de mapeamento dentro do dom nio come a imediatamente e geralmente termina em segundos Uma vez que o mapeamento removido n o h acesso remoto para os dados exclu dos Essa rea de armazenamento em seguida disponibilizada apenas para opera es de grava o e os dados s o substitu dos por dados armazenados recentemente Seguran a do Amazon Relational Database Service Amazon RDS O Amazon RDS permite que voc crie rapidamente uma inst ncia de banco de dados relacional flexibilidade de escala associadas a recursos de computa o e capacidade de armazenamento para atender demanda de aplicativo O Amazon RDS gerencia a inst ncia de banco de dados em seu nome pela realiza o de backups manipula o de failover e manuten o do software de banco de dados O acesso inst ncia de banco de dados do Amazon RDS controlado pelo cliente atrav s de grupos de seguran a do banco de dados que s o semelhantes a grupos de seguran a do Amazon EC2 mas n o s o intercambi veis O padr o de grupos de seguran a do banco de dados para um modo de acesso negar todos e os clientes devem autorizar especificamente o ingr
21. HMAC o algoritmo MAC resultante chamado de HMAC MDS5 ou HMAC SHA1 Qualquer fun o de hash criptogr fico iterativo tais como MD5 ou SHA 1 pode ser usada no c lculo de um HMAC o algoritmo MAC resultante chamado de HMAC MDS ou HMAC SHA1 Hypervisor um hypervisor tamb m chamado de Monitor de m quina virtual VMM um software de virtualiza o de plataforma de hardware software de computador que permite que v rios sistemas operacionais executem simultaneamente em um computador host IAM do AWS o Identity and Access Management da AWS IAM da AWS permite que o cliente crie v rios usu rios e gerencie permiss es para cada um desses usu rios a partir de sua conta da AWS Endere o de IP endere o de IP Internet Protocol um r tulo num rico que atribu do aos dispositivos que participam de uma rede de computador utilizando o protocolo de Internet para a comunica o entre seus n s Falsifica o de IP cria o de pacotes de Internet Protocol IP com um endere o IP de origem forjado chamado de falsifica o com a finalidade de dissimular a identidade do remetente ou representando um outro sistema de lt am D amazon webservices Uau E 24 Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 computa o Objeto entidades fundamentais armazenadas no Amazon Os objetos consistem em metadados e dados de objeto A por o de dados opaca para Amazon S3 Os metadado
22. Os datacenters usam geradores para fornecer energia para toda a instala o Clima e temperatura O controle clim tico necess rio para manter uma temperatura operacional constante para servidores e outros hardware o que impede o superaquecimento e reduz a possibilidade de interrup es do servi o Os datacenters est o condicionados a manter condi es atmosf ricas em n veis ideais Colaboradores e sistemas monitoram e controlam a temperatura e a umidade em n veis adequados Gerenciamento A AWS monitora sistemas el tricos mec nicos e de manuten o de fun es vitais para que qualquer problema seja imediatamente identificado A manuten o preventiva executada para manter a operacionalidade cont nua dos equipamentos Gerenciamento de configura o Altera es de emerg ncia n o rotineiras e outras altera es de configura o infraestrutura existente da AWS s o autorizadas conectadas testadas aprovadas e documentadas em conformidade com as normas do setor para sistemas similares Atualiza es de infraestrutura da AWS s o feitas para minimizar qualquer impacto sobre o cliente e seu uso dos servi os A AWS se comunicar com os clientes via e mail ou atrav s do Console de status de servi o AWS http status aws amazon com quando a utiliza o do servi o se tornar suscept vel a situa es negativas Software A AWS aplica uma abordagem sistem tica para o gerenciamento de mudan as para que altera es
23. S suas afiliadas fornecedores ou licenciadores As responsabilidades e as obriga es da AWS com os seus clientes s o controladas por acordos AWS e este documento n o parte nem modifica qualquer acordo entre a AWS e seus clientes Baia ma amazon a EA webservices
24. Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 ao amazon EF webservices Amazon Web Services Vis o geral do processo de seguran a Maio de 2011 Consulte o http aws amazon com security para obter a vers o mais recente deste documento E maia amazon gt webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 A Amazon Web Services AWS fornece uma plataforma de computa o em nuvem escal vel com alta confiabilidade e disponibilidade oferecendo a flexibilidade que permite aos clientes a cria o de uma ampla variedade de aplicativos Ajudar a proteger a confidencialidade a integridade e a disponibilidade de sistemas e dados de nossos clientes de suma import ncia para a AWS da mesma forma que importante tamb m manter a confian a dos clientes Este documento destina se a responder v rias perguntas dentre elas Como a AWS pode me ajudar a proteger meus dados Especificamente os processos de seguran a f sica e operacional da AWS s o descritos para fins de infraestrutura de rede e de servidores sob a gest o da AWS bem como implementa es de seguran a espec ficas do servi o Este documento fornece uma vis o geral de seguran a no que se refere s seguintes reas relevantes para a AWS Ambiente de responsabilidade compartilhada Resumo do ambiente de controle Princ pios de Design seguro Backup Monitoramento Informa es e comunic
25. a o Ciclo de vida do funcion rio Seguran a f sica Prote es ambientais Gerenciamento de configura o Gerenciamento de continuidade de neg cios Backups Separa o de falhas Recursos de seguran a da conta da Amazon Seguran a de rede Seguran a espec ficas do servi o AWS Seguran a do Amazon Elastic Compute Cloud Amazon EC2 Amazon Virtual Private Cloud Amazon VPC Seguran a do Amazon Simple Storage Service Amazon S3 Seguran a do Amazon SimpleDB Seguran a do Amazon Relational Database Service Amazon RDS Seguran a do Amazon Simple Queue Service Amazon SQS Security Seguran a do Amazon Simple Notification Service SNS Security Seguran a do Amazon CloudWatch Security Seguran a do Auto Scaling Security Seguran a do Amazon CloudFront Security Seguran a do Amazon Elastic MapReduce Security E EEE amazon ES webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 Ambiente de responsabilidade compartilhada Ao mover a infraestrutura de TI para a AWS cria se um modelo de responsabilidade compartilhada entre o cliente e a AWS Este modelo compartilhado pode auxiliar a diminuir as preocupa es operacionais do cliente em rela o aos componentes do sistema operacional do host no qual a AWS opera administra e controla e para o controle da camada de virtualiza o em baixa para a seguran a f sica das instala es em que o servi o opera O cliente assume a gest o e a re
26. a durabilidade de dados a longo prazo A replica o do Amazon EBS armazenada dentro da mesma Zona de disponibilidade n o em v rias zonas e portanto altamente recomenda que os clientes realizem instant neos regulares para Amazon S3 para durabilidade de dados a longo prazo Para clientes que tenham projetado bancos de dados transacionais complexos usando o EBS recomenda se realizar backups no Amazon S3 atrav s do sistema de gerenciamento de banco de dados para que os registros e as transa es distribu das possam ser verificados A AWS n o realiza backups de dados que s o mantidos em discos virtuais conectados a inst ncias em execu o no Amazon EC2 Desativa o do dispositivo de armazenamento Quando um dispositivo de armazenamento atingiu o final da sua vida til os procedimentos da AWS incluem um processo de desativa o que projetado para impedir que os dados do cliente sejam expostos a pessoas n o autorizadas A AWS usa as t cnicas detalhadas no DoD 5220 22 M National Industrial Security programa Manual de utiliza o ou NIST 800 88 orienta es para o tratamento de m dia para destruir dados como parte do processo de desativa o Se um dispositivo de hardware incapaz de ser desativado usando esses procedimentos o dispositivo ser inutilizado ou fisicamente destru do em conformidade com as pr ticas padr o do setor Separa o de falhas A AWS oferece aos clientes a flexibilidade de alocar inst ncias e
27. abilitado ser leg vel de forma p blica por qualquer pessoa O Amazon Cloudfront tamb m pode transferir o conte do em uma conex o criptografada HTTPS para autenticar o conte do entregue aos usu rios Por padr o o Amazon Cloudfront aceitar solicita es atrav s de protocolos HTTP e HTTPS Se voc preferir tamb m pode configurar o Amazon Cloudfront para exigir HTTPS em todas as solicita es e n o permitir as solicita es atrav s de HTTP Para solicita es HTTPS o Amazon Cloudfront tamb m vai utilizar o HTTPS para recuperar o objeto do Amazon S3 para que seja criptografado sempre que for transmitido CloudFront GERE Origin Server Gg 8 Os logs do Amazon Cloudfront Access cont m um conjunto abrangente de informa es sobre as solicita es de conte do incluindo o objeto solicitado a data e hora do pedido a pontos de presen a servindo a solicita o o endere o de IP do cliente o referrer e o agente de usu rio Para habilitar os logs de acesso apenas especifique o nome do bucket Amazon S3 para armazenar os logs quando voc configurar sua distribui o do Amazon CloudFront D my amazon EA webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 Seguran a do Amazon Elastic MapReduce Amazon EMR O Amazon Elastic MapReduce exige que todas as solicita es feitas sua API sejam autenticadas para que somente os usu rios autenticados pos
28. aio de 2011 Resposta a incidentes A equipe de gerenciamento de incidentes da Amazon emprega procedimentos de diagn stico padr o do setor para impulsionar a resolu o durante eventos que afetam os neg cios Os colaboradores operacionais fornecem apoio e suporte 24h x 7 dias x 365 dias para detectar incidentes e gerenciar o impacto e a resolu o An lise de Executiva de toda a empresa O grupo de auditoria interna da Amazon reviu recentemente os planos de resili ncia de servi os AWS que s o tamb m periodicamente revisados por membros da equipe de gerenciamento executivo s nior e pelo Comit de auditoria do Conselho Administrativo Observe que em 21 de abril de 2011 o EC2 sofreu uma interrup o do servi o ao cliente afetando a regi o leste dos EUA Detalhes sobre a interrup o do servi o s o descritas no Summary of the Amazon EC2 and Amazon RDS Service Disruption in the US East Region http aws amazon com message 65648 Backups O Amazon S3 e o Amazon SimpleDB fornecem durabilidade do objeto ao armazenar os objetos v rias vezes em v rias zonas de disponibilidade na grava o inicial e em seguida ativamente fazendo ainda mais a replica o em caso de indisponibilidade do dispositivo ou detectado bit rot A replica o do Amazon EBS armazenada dentro da mesma Zona de disponibilidade n o em v rias zonas e portanto altamente recomenda que os clientes realizem instant neos regulares para Amazon S3 par
29. amento de conta A responsabilidade pelo provisionamento do acesso do contratante e do funcion rio compartilhada entre W amazon gt webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 propriet rios de servi o opera es corporativas e recursos humanos RH Uma conta padr o do funcion rio ou contratante com privil gios m nimos configurada em um estado desabilitado quando um gerente contratante envia sua aprova o A conta ativada automaticamente quando o registro de funcion rio ativado no sistema de RH da Amazon O acesso a outros recursos incluindo servi os Hosts dispositivos de rede grupos Windows e UNIX deve ser explicitamente aprovado no sistema de gerenciamento de permiss o do propriet rio da Amazon por um propriet rio ou gerente apropriado Todas as altera es afetadas na ferramenta de gerenciamento de permiss es s o abordadas em uma auditoria Quando ocorrem altera es em fun o do trabalho do funcion rio a continuidade de acesso deve ser explicitamente aprovada para o recurso ou ser automaticamente revogada Revis o de conta Cada concess o de acesso revista a cada 90 dias uma nova aprova o expl cita necess ria ou o acesso ao recurso revogado automaticamente Exclus o de acesso O acesso revogado automaticamente quando o registro de um funcion rio finalizado no sistema de recursos humanos da Amazon As contas do
30. armazenar dados em v rias regi es geogr ficas Cada regi o uma cole o independente dos recursos AWS em uma localiza o geogr fica definida A AWS atualmente oferece suporte a cinco regi es leste dos EUA Virg nia do norte oeste dos EUA norte da Calif rnia UE Irlanda sia Pac fico Cingapura e Pac fico Asi tico T quio A regi o dos EUA padr o do Amazon S3 inclui instala es no leste dos EUA na Virg nia do Norte e no oeste do Estado de Washington A sele o de uma regi o dentro de uma jurisdi o geogr fica aceit vel ao cliente fornece uma base s lida para atender aos requisitos de privacidade e de conformidade que dependem da localiza o tais como a pol tica de privacidade de dados da Uni o Europeia Os dados n o s o replicados entre regi es exceto se proativamente solicitado pelo cliente permitindo que os clientes com esses tipos de localiza o de dados e requisitos de privacidade tenham a capacidade de lt am P i amazon webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 estabelecer ambientes compat veis Vale destacar que todas as comunica es entre as regi es ocorre atrav s de uma infraestrutura de Internet p blica M todos de criptografia apropriados devem ser usados para proteger dados confidenciais Dentro de uma determinada regi o o Amazon EC2 o Amazon EBS e o Amazon Relational Database Service RDS permitem que os clientes
31. as conforme apropriado ER L maia amazon gt webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 Periodicamente a AWS realiza autoauditorias de altera es aos servi os chaves para controlar a qualidade manter altos padr es e facilitar a melhoria cont nua do processo de gest o de altera es Todas as exce es s o analisadas para determinar a causa raiz e assegurar que as a es apropriadas sejam tomadas para que a altera o esteja em conformidade ou para reverter a altera o se necess rio A es s o tomadas em seguida para abordar e corrigir o processo ou a emiss o de pessoas Infraestrutura A equipe de aplicativos corporativos da Amazon desenvolve e gerencia software para automatizar processos de TI para hosts UNIX Linux nas reas de distribui o de software de terceiros software desenvolvido internamente e gerenciamento de configura o A equipe de infraestrutura mant m e opera uma estrutura de gerenciamento de configura o UNIX Linux para abordar o gerenciamento de escalabilidade disponibilidade auditoria e seguran a de hardware Gerenciando centralmente os hosts atrav s da utiliza o de processos automatizados que gerenciam as altera es a empresa capaz de alcan ar seus objetivos de alta disponibilidade repetibilidade escalabilidade seguran a robusta e recupera o de desastres Os engenheiros de rede e de sistemas monitoram o status dessas ferramentas
32. av s da separa o de fun es O n vel de seguran a proporcionado pelo firewall uma fun o de quais portas s o abertas pelo cliente e para que finalidade e dura o O gerenciamento de tr fego instru do e o design de seguran a ainda s o necess rios em uma base por inst ncia A AWS ainda incentiva os clientes a aplicarem filtros adicionais por inst ncia com firewalls baseados em host como IPtables ou o Firewall do Windows Listas de controle de acesso de rede para adicionar uma camada adicional de seguran a dentro do Amazom VPC os clientes podem configurar as ACLs de rede Estes s o filtros de tr fego sem monitora o de estado que se aplicam a todo o tr fego de entrada ou de sa da de uma sub rede no VPC Essas ACLs podem conter regras ordenadas para permitir ou negar o tr fego com base em protocolo de IP pela porta de servi o bem como endere o de IP de origem destino Como grupos de seguran a as redes ACLs s o gerenciadas por meio de APIs do Amazon VPC adicionando uma camada de prote o extra e habilitando esta seguran a extra atrav s da separa o de fun es Resumo de seguran a de rede O diagrama abaixo mostra de que maneira os controles de seguran a citados acima se inter relacionam para habilitar topologias de rede flex vel proporcionando o controle total sobre os fluxos de tr fego de rede D mr amazon e EA webservices Vis o geral do processo de seguran a do Amazon Web Services Ma
33. ay de internet gateway VPN ou ambos para estabelecer uma conectividade externa sujeitos aos controles abaixo API chamadas para criar e excluir VPCs altera o de roteamento grupo de seguran a par metros de rede ACL e executar outras fun es s o assinadas pela chave secreta de acesso do cliente da Amazon que poderia ser qualquer chave secreta de acesso das contas da AWS ou a chave secreta de acesso de um usu rio criado com o IAM da AWS Sem o acesso chave secreta de acesso do cliente as chamadas de API da Amazon VPC n o podem ser realizadas em nome do cliente Al m disso as chamadas de API podem ser criptografadas com o SSL para manter a confidencialidade A Amazon sempre recomenda o uso de pontos de acesso de API protegidos por SSL O IAM da AWS tamb m permite que um cliente possa controlar quais APIs um usu rio rec m criado ter permiss o para chamar Sub redes os clientes criam uma ou mais sub redes dentro de cada VPC cada inst ncia lan ada no VPC conectada a uma sub rede Traditional Layer 2 security attacks including MAC spoofing and ARP spoofing are blocked Tabelas de rota e rotas cada sub rede em um VPC associada a uma tabela de roteamento e todo o tr fego de rede saindo de uma sub rede processado pela tabela de roteamento para determinar o destino Gateway VPN um gateway VPN permite conectividade privada entre o VPC e outra rede O tr fego de rede dentro de cada gateway VPN isolado do tr fego de re
34. azon S3 fornece mais prote o via Versioning O Versioning pode ser usado para preservar recuperar e restaurar todoas as vers es de todos os objetos armazenados no balde do Amazon S3 Com o Versioning poss vel que voc se recupere facilmente de a es n o intencionais do usu rio e de falhas do aplicativo Como padr o as solicita es recuperar o a vers o gravada mais recente As vers es mais antigas de um objeto podem ser recuperadas especificando se uma vers o na solicita o Voc pode proteger ainda mais suas vers es usando o recurso Amazon S3 Versioning s MFA Delete uma vez habilitado para um bucket S3 cada solicita o de exclus o de vers o deve incluir um c digo de seis d gitos e n mero de s rie do seu dispositivo de autentica o multi factor Registro de acesso Um bucket do Amazon S3 pode ser configurado para acessar o log do bucket e os objetos que est o dentro dele O log de acesso cont m detalhes sobre cada solicita o de acesso incluindo o tipo de solicita o o recurso solicitado IP do solicitante e a hora e data do pedido Quando o registro habilitado para um bucket as grava es de log s o periodicamente agregadas em arquivos de log e entregues para o bucket do Amazon S3 especificado Seguran a do Amazon Simple Data Base SimpleDB As APIs do Amazon SimpleDB fornecem controles em n vel de dom nio que s permitem acesso autenticado pelo criador do dom nio por conseguinte o cliente mant
35. dade os locais do Amazon EC2 s o compostos pelas regi es e pelas Zonas de disponibilidade As Zonas de disponibilidade s o as posi es distintas que s o projetadas para serem isoladas das falhas em outras Zonas da disponibilidade e fornecem rede de conectividade acess vel e de baixa lat ncia para outras Zonas de disponibilidade da mesma regi o Bucket um recipiente para objetos armazenados no Amazon S3 Cada objeto est contido em um bucket Por exemplo se o objeto nomeado photos puppy jpg armazenado no bucket johnsmith ent o abordado usando a URL http johnsmith s3 amazonaws com photos puppy jpg Bloco CIDR endere os de IP de roteamento sem classe entre dom nios EBS o Amazon Elastic Block Store EBS fornece volumes de armazenamento em n vel de bloco para uso com inst ncias do Amazon EC2 Os volumes do Amazon EBS s o armazenamentos fora da inst ncia que persiste independentemente da dura o de uma inst ncia HMAC SHAI em criptografia uma chave Hash Message Authentication Code HMAC ou KHMAC um tipo de c digo de autentica o de mensagem MAC calculado utilizando um algoritmo espec fico que envolve uma fun o de hash criptogr fico em combina o com uma chave secreta Como com qualquer MAC ele pode ser usado simultaneamente para verificar a integridade dos dados e a autenticidade de uma mensagem Qualquer fun o de hash criptogr fico iterativo tais como MD5 ou SHA 1 pode ser usada no c lculo de um
36. de dentro de todos os outros gateways de VPN Os clientes podem estabelecer conex es VPN para o gateway VPN de dispositivos de gateway do cliente Cada conex o protegida por uma chave pr compartilhada em conjunto com o endere o de IP do dispositivo de gateway do cliente Gateway de internet um gateway de internet pode ser ligado ao VPC para permitir a liga o direta com a Amazon S3 outros servi os AWS e a Internet Cada inst ncia que deseja esse acesso deve ter um IP el stico associado a ela ou rotear o tr fego por meio de uma inst ncia NAT Al m disso as rotas de rede est o configuradas ver acima para direcionar o tr fego para o gateway de internet A AWS fornece refer ncia AMIs de NAT que podem ser extendidas pelos clientes para realizar o registro de rede inspe o profunda de pacotes filtragem de camada de aplicativo ou outros controles de seguran a Este acesso s pode ser modificado atrav s da chamada de APIs do Amazon VPC A AWS pode conceder acesso granular para diferentes fun es administrativas sobre as inst ncias e o gateway de internet portanto que permita ao cliente implementar seguran a adicional atrav s da separa o de fun es ei maia amazon A webservices 15 Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 Inst ncias do Amazon EC2 as inst ncias do Amazon EC2 em execu o com o Amazon VPC cont m todos os benef cios descritos acima relacionados com o s
37. de uso aceit vel AWS s o levadas a s rio e cada viola o relatada investigada Os clientes podem relatar abuso suspeito atrav s dos contatos dispon veis em nosso website em http aws amazon com contact us report abuse Quando uma varredura de porta n o autorizada detectada ela interrompida e bloqueada As varreduras de portas de inst ncias do Amazon EC2 s o geralmente ineficazes porque por padr o todas as portas de entrada nas inst ncias do Amazon EC2 est o fechadas e s s o abertas pelo cliente O gerenciamento rigoroso do cliente de grupos de seguran a pode atenuar ainda mais a amea a de varreduras de portas Se o cliente configura o grupo de seguran a para permitir o tr fego de qualquer fonte para uma porta espec fica essa porta espec fica ficar vulner vel a uma varredura de portas Nestes casos o cliente deve usar medidas de seguran a adequadas para proteger os servi os de escuta que podem ser essenciais para que seu aplicativo n o seja descoberto por uma varredura de portas n o autorizada Por exemplo um servidor web deve ter a porta 80 HTTP aberta ao mundo e o administrador deste servidor respons vel pela seguran a do software do servidor HTTP como o Apache Os clientes podemsolicitar permiss o para conduzir an lises de vulnerabilidade conforme necess rio para atender aos requisitos de conformidade espec ficos Estas an lises devem ser limitadas s inst ncias do cliente e n o devem violar a pol
38. dr o acesso para cada t pico individual restrito para a conta AWS que o criou No entanto um cliente pode permitir que outros acessem uma fila usando uma pol tica gerada pelo SNS ou uma pol tica escrita pelo usu rio Seguran a do Amazon CloudWatch O Amazon CloudWatch um servi o da Web que fornece monitoramento para recursos da nuvem da AWS come ando com o Amazon EC2 Ele fornece visibilidade sobre a utiliza o de recursos desempenho operacional e padr es de demanda geral incluindo m tricas como utiliza o de CPU leituras e grava es do disco e tr fego de rede O Amazon CloudWatch requer como todos os servi os AWS autentica o para cada solicita o feita sua API de controle para que somente os usu rios autenticados possam acessar e gerenciar o CloudWatch As solicita es s o assinadas com uma assinatura de HMAC SHAI criada a partir da solicita o e da chave privada do usu rio Al m disso a API de controle do Amazon CloudWatch s acess vel atrav s de pontos de acesso criptografados com SSL Um cliente pode controlar o acesso ao Amazon CloudWatch criando usu rios para a sua conta AWS usando o IAM da AWS e controlar quais opera es do CloudWatch esses usu rios tem permiss o para chamar Seguran a do Auto Scaling O Auto Scaling permite que os clientes expadam ou reduzam automaticamente sua capacidade do Amazon EC2 de acordo com as condi es definidas para que o n mero de inst ncias do Amazon
39. e recursos da AWS devem ocorrer com as credenciais de seguran a do Usu rio do IAM Mais informa es sobre o Identity and Access Management da AWS IAM da AWS est o dispon veis no website da AWS http aws amazon com iam AWS Multi gateway de internet Authentication AWS MFA A AWS Multi gateway de internet Authentication AWS MFA uma camada adicional de seguran a que oferece um melhor controle das suas configura es de conta da AWS e a gest o dos Servi os e recursos registrados da AWS para a sua conta Ao habilitar esse recurso de op o de identifica o o cliente necessitar fornecer um c digo de uso nico de seis d gitos al m das suas credenciais de nome de usu rio padr o e de senha antes que o acesso seja concedido s suas configura es da conta AWS ou aos recursos e servi os da AWS O cliente obter esse c digo de uso nico a partir de um dispositivo de autentica o que estar em sua posse Isso chamado de Autentica o Multi gateway de internet porque dois fatores s o verificados antes de o acesso ser concedido os clientes precisar o fornecer seu nome de usu rio e mail da Amazon no caso de uma conta AWS e senha o primeiro fator algo que voc sabe e o c digo preciso de seu dispositivo de autentica o o segundo fator algo que voc tem Os clientes podem ativar dispositivos MFA para suas contas da AWS bem como para os usu rios criados em contas da AWS com o IAM da AWS f cil adquiri
40. esso de rede H duas maneiras de fazer isso autorizar um intervalo de IP de rede ou autorizar um grupo existente no Amazon EC2 Security Group Os grupos de seguran a do banco de dados s permitem o acesso porta do servidor de banco de dados todos os outros s o bloqueados e podem ser atualizados sem reiniciar a inst ncia de banco de dados do Amazon RDS o que permite que um cliente mantenha um controle cont nuo do seu acesso de banco de dados Com o IAM da AWS um cliente ainda pode controlar o acesso a suas inst ncias inst ncia de banco de dados do RDS O IAM da AWS permite que um cliente controle quais opera es RDS cada usu rio IAM da AWS tem permiss o para chamar O Amazon RDS gera um certificado SSL para cada inst ncia de banco de dados permitindo que os clientes criptografem suas conex es de inst ncia de banco de dados para aumentar a seguran a Uma vez que a API de exclus o DeleteDBlInstance de inst ncia de banco de dados do Amazon RDS estiver em execu o a inst ncia de banco de dados estar marcada para exclus o e assim que a inst ncia n o mais indicar o status exclus o ela ter sido removida Neste momento a inst ncia n o est mais acess vel e a menos que uma c pia de snapshot final tenha sido solicitada ela n o pode ser restaurada e n o ser listada por qualquer uma das ferramentas ou lt m D mE amazon A webservices 19 Vis o geral do processo de seguran a do Amazon Web Services Maio
41. et O grupo para os servidores de aplicativos teria a porta 8000 espec fico do aplicativo acess vel somente para o grupo de servidor web O grupo para os servidores de banco de dados teria a porta 3306 MySQL aberta apenas para o grupo de servidor de aplicativo Todos os tr s grupos permitiriam o acesso administrativo na porta 22 SSH mas apenas a partir da rede corporativa do cliente Aplicativos altamente seguros podem ser implantados usando esse mecanismo expressivo Veja o diagrama abaixo D ai amazon i EA webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 AWS employs a private network with ssh support for secure access between tiers and is configurable to limit access between tiers Web Tier 4 Tier Database Tier A Ports 80 and 443 only open to the Internet EBS Volume ri A Engineering staff have ssh access to the App Tier which acts as Bastion A Authorized 3 parties can be granted ssh access to select AWS resources such as the Database Tier A All other Internet ports blocked by default Amazon EC2 Security Group Firewall O firewall n o controlado atrav s de OS convidado em vez disso exige o certificado X 509 do cliente e chave para autorizar altera es acrescentando assim uma camada extra de seguran a A AWS pode conceder acesso granular para diferentes fun es administrativas sobre as inst ncias e o firewall p
42. idade fornecida pelo Amazon S3 que funciona como o servidor de origem para o Amazon CloudFront armazenando as c pias originais e definitivas de objetos entregues pelo Amazon CloudFront Se deseja controlar quem pode baixar o conte do do Amazon CloudFront voc pode habilitar o recurso de conte do particular do servi o Este recurso tem dois componentes o primeiro controla como os pontos de presen a do Amazon CloudFront acessam seus objetos no Amazon S3 O segundo controla como o conte do entregue desde os pontos de presen a do Amazon CloudFront at usu rios da internet P maia amazon A webservices 21 Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 Para controlar o acesso s copias originais de seus objetos no Amazon S3 o Amazon CloudFront permite criar uma ou mais Identidades de origem de acesso e associ las s suas distribui es Quando uma Identidade de acesso de origem associada a uma distribui o do Amazon CloudFront a distribui o usar essa identidade para recuperar objetos do Amazon S3 Voc pode usar recurso ACL do Amazon S3 que limita o acesso Identidade de acesso de origem assim que a c pia original do objeto n o pode ser lida de maneira p blica Para controlar quem pode fazer o download de seus objetos a partir dos pontos de presen a do Amazon CloudFront o servi o usa um sistema de verifica o de URL assinada Para utilizar este sistema em primeir
43. io de 2011 VPC 10 0 0 0 16 Instance 3 10 0 10 9 Subnet 10 0 0 0 24 Subnet 10 0 10 0 24 Routing Table Routing Table VPN Gateway Internet Gateway Seguran a do Amazon Simple Storage Service Amazon S3 Com qualquer sistema de armazenamento compartilhado a quest o de seguran a mais comum se os usu rios n o autorizados podem acessar as informa es intencionalmente ou por engano Para garantir que os clientes possam ter flexibilidade para determinar como quando e para quem deseja expor o armazenamento de informa es na AWS os APIs do Amazon S3 fornecem tanto os controles para acessar o n vel de bucket e objeto como tamb m padr es que permitem apenas o acesso autenticado pelo criador do bucket e ou objeto A menos que um cliente conceda acesso an nimo aos seus dados o primeiro passo antes de um usu rio tanto de uma conta AWS ou um usu rio criado com o IAM da AWS poder acessar os dados fazer a autentica o usando uma assinatura HMAC SHA1 do pedido utilizando a chave privada do usu rio Um usu rio autenticado pode ler um nico objeto se tiver sido concedida permiss o de leitura em uma Lista de Controle de Acesso ACL em n vel de objeto Um usu rio autenticado pode listar as chaves e criar ou substituir os objetos em um bucket somente se tiver sido concedida a permiss o de ler e escrever em uma ACL em n vel bucket ou atrav s de permiss es concedidas a ele com o IAM da AWS O n vel ACLs do bucke
44. istema operacional do host sistema operacional convidado hypervisor inst ncia de isolamento e pacote de prote o contra detec o Loca o um VPC permite que os clientes iniciem as inst ncias do Amazon EC2 que s o fisicamente isoladas em n vel de hardware de host elas ser o executadas em um hardware de loca o nica Um VPC pode ser criado com loca o dedicada nesse caso todas as inst ncias lan adas para o VPC v o utilizar esse recurso Alternatively a VPC may be created with default tenancy but customers may specify dedicated tenancy for particular instances launched into the VPC Firewall grupos de seguran a como o Amazon EC2 o Amazon VPC oferece suporte uma solu o de firewall completa para ativar a filtragem de tr fego de entrada e sa da de uma inst ncia O grupo padr o permite a comunica o de entrada de outros membros do mesmo grupo e comunica o de sa da para qualquer destino O tr fego pode ser restrito por qualquer protocolo IP pela porta de servi o bem como endere o de IP de origem destino bloco de IP ou roteamento sem classe entre dom nios CIDR individual O firewall n o controlado atrav s de SO convidado pelo contr rio ele pode ser modificado somente atrav s da chamada de APIs do Amazon VPC A AWS pode conceder acesso granular para diferentes fun es administrativas sobre as inst ncias e o firewall portanto que permita ao cliente implementar seguran a adicional atr
45. lumes Os clientes tamb m s o habilitados a fazer snapshots do volume Amazon EBS publicamente dispon vel para todas as contas da AWS O compartilhamento de snapshots do volume Amazon EBS n o fornece outras contas da AWS com a permiss o para alterar ou excluir o snapshot original ja que esse direito explicitamente reservado para a conta da AWS que criou o volume Um snapshot do EBS uma visualiza o do n vel de bloco de um volume EBS inteiro Os dados que n o s o vis veis atrav s do sistema de arquivos no volume tais como arquivos que foram exclu dos podem estar presentes no snapshot do EBS Os clientes que desejam criar snapshots compartilhados devem faz lo com cuidado Se um volume continha dados confidenciais ou arquivos exclu dos um novo volume do EBS deve ser criado Os dados que ser o armazenados no snapshot compartilhado devem ser copiados para o novo volume e o snapshot criado a partir do novo volume Os volumes do Amazon EBS s o apresentados ao cliente como dispositivos em bloco n o formatado bruto que foram eliminados antes de serem disponibilizadas para uso Os clientes que t m procedimentos que exigem que todos os dados sejam eliminados atrav s de um m todo espec fico tais como as detalhadas no DoD 5220 22 M National EEE amazon webservices t RE 14 Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 Industrial Security programa Manual de utiliza o ou NIST 800
46. necessidade de tais privil gios Quando um funcion rio n o tem mais uma necessidade de neg cio para estes privil gios seu acesso imediatamente revogado mesmo se continuam a ser um funcion rio da Amazon ou da Amazon Web Services Todo o acesso f sico aos datacenters por funcion rios da AWS registrado e auditado rotineiramente Prote es ambientais Os centros de dados da Amazon s o de ltima gera o utilizando abordagens inovadoras de arquitetura e de engenharia Detec o de inc ndio e supress o Equipamentos autom ticos de detec o e supress o de fogo foram instalados para reduzir o risco O sistema de detec o de inc ndio utiliza sensores de detec o de fuma a em todos os ambientes do datacenter espa os de lt a m D nr amazon A webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 infraestrutura el trica e mec nica salas chiller e salas de equipamento gerador Essas reas s o protegidas por sistemas de inc ndio de tubos midos interbloqueados duplos ou sistemas de aspers o gasosos Energia Os sistemas de energia el trica do datacenter sistemas s o projetados para serem totalmente redundantes e pass veis de manuten o sem impacto para as opera es 24 horas por dia e sete dias por semana As Unidades de Alimenta o de Energia Ininterrupta UPS fornecem energia de apoio no caso de uma falha el trica para cargas cr ticas e essenciais da empresa
47. nega o de servi o DDoS Pontos de acesso de Application Programming Interface API da AWS s o hospedados em uma infraestrutura grande em escala de Internet e de classe mundial que se beneficia da mesma experi ncia em engenharia que fez da Amazon a maior varejista on line do mundo S o usadas t cnicas de redu o de DDoS propriet rias Al m disso as redes da AWS tem hospedagem m ltipla atrav s de v rios provedores para alcan ar a diversidade de acesso Internet Ataques a intermedi rios MITM Todas as APIs da AWS est o dispon veis atrav s de pontos de acesso protegidos por SSL que fornecem autentica o de servidor As AMIs do Amazon EC2 automaticamente geram novos certificados de host SSH na primeira inicializa o e os registram no console da inst ncia Os clientes em seguida podem usar as APIs seguras para chamar o console e acessar os certificados de host antes de fazer o login na inst ncia pela primeira vez Os clientes s o incentivados a usar o SSL para todas as suas intera es com a AWS IP Spoofing As inst ncias Amazon EC2 n o podem enviar tr fego de rede falsificado A infraestrutura de firewall baseada em host controlada pela AWS n o permitir que uma inst ncia envie tr fego com uma fonte de IP ou endere o MAC diferente do seu Varredura de Porta Varreduras de portas n o autorizadas pelos clientes do Amazon EC2 s o uma viola o da pol tica de uso aceit vel da AWS Viola es da pol tica
48. no IAM da AWS ter o permiss o para chamar O hypervisor O Amazon EC2 utiliza atualmente uma vers o personalizada do Xen hypervisor Visto que os convidados paravirtualizados dependem do hypervisor para fornecer suporte para as opera es que normalmente requerem um acesso privilegiado o SO convidado n o tem acesso elevado CPU A CPU fornece quatro modos de privil gio separados 0 3 chamados de an is Sendo o anel O o mais privilegiado e o 3 o menos privilegiado O SO host executado em anel 0 No entanto em vez de ser executado no anel O como a maioria dos sistemas operacionais o SO convidado executado em um anel 1 menos privilegiado e os aplicativos s o executados em um menos privilegiado anel 3 Esta virtualiza o expl cita dos recursos f sicos leva a uma separa o clara entre convidado e hypervisor resultando na separa o de seguran a adicional entre os dois P NE o amazon m EA webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 Isolamento de inst ncia Diferentes inst ncias em execu o na mesma m quina f sica s o isoladas umas das outras atrav s do hypervisor Xen A Amazon ativa participante da comunidade Xen o que garante o emprego dos ltimos desenvolvimentos Al m disso o firewall AWS reside na camada hypervisor entre a interface de rede f sica e a interface da inst ncia virtual Todos os pacotes devem passar por esta camada assim uma ins
49. o lugar voc cria um par de chaves p blica e privada e carrega a chave p blica para sua conta atrav s do website da Amazon Web Services Em segundo lugar voc configura a sua distribui o do Amazon CloudFront para indicar quais contas ser o autorizadas a assinar as solicita es voc pode indicar at cinco contas da AWS em que confia para assinar as solicita es Em terceiro lugar medida que voc recebe solicita es voc cria documentos de pol ticas que indiquem as condi es sob as quais voc deseja que o Amazon CloudFront ofere a o seu conte do Estes documentos de pol ticas podem especificar o nome do objeto que solicitado a data e hora do pedido o IP de origem ou intervalo CIDR do cliente que fez a solicita o Ent o voc calcula a codifica o RSA SHA1 do seu documento de pol ticas e assina o usando sua chave privada Em quarto lugar voc inclui o documento de pol ticas codificado e a assinatura como par metros de sequ ncia de caracteres de consulta quando voc faz refer ncia aos seus objetos Quando o Amazon CloudFront receber uma solicita o ele ir decodificar a assinatura usando a sua chave p blica O Amazon CloudFront oferecer apenas solicita es que possuem documentos de pol ticas v lidos e assinatura correspondente Observe que o conte do privado um recurso opcional que deve ser habilitado quando voc configura a sua distribui o do CloudFront O conte do entregue sem esse recurso h
50. on vel no site http aws amazon com security Princ pios de Design seguro O processo de desenvolvimento da AWS segue as melhores pr ticas de desenvolvimento de software seguro que incluem revis es de design formal pelo AWS Security Team a modelagem de amea as e a conclus o de uma avalia o de risco Ferramentas de an lise de c digo est tico s o executadas como parte do processo de compila o padr o e todo o software implantado submetido a testes de penetra o recorrentes realizados por especialistas do setor NORA amazon webservices t RE Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 cuidadosamente selecionados Nossas revis es de avalia o de riscos de seguran a se iniciam durante a fase de design e o engajamento dura o tempo do lan amento at as opera es em curso Monitoramento A AWS utiliza sistemas de monitoramento automatizados para fornecer um alto n vel de disponibilidade e desempenho do servi o O monitoramento proativo est dispon vel atrav s de uma variedade de ferramentas on line para uso interno e externo Sistemas dentro da AWS s o extensivamente instrumentados para monitorar m tricas operacionais chave Os alarmes s o configurados para notificar opera es e gerenciar colaboradores quando limites de alerta de in cio s o cruzados nas principais m tricas operacionais Uma agenda de plant o usada para que colaboradores estejam sempre dispon
51. or senha para seus hosts e da utiliza o de alguma forma de autentica o multi factor para obter acesso as suas inst ncias ou a um m nimo acesso SSH vers o 2 com base em certificado Al m disso os clientes devem empregar um mecanismo de escalonamento de privil gio com registro em uma base por usu rio Por exemplo se o sistema operacional convidado for Linux depois de sua inst ncia de prote o eles devem utilizar SSHv2 com base em certificado para acessar a inst ncia virtual desativar o login remoto da raiz usar o log de linha de comando e usar sudo para a escala o de privil gios Os clientes devem gerar seus pr prios pares de chaves para garantir que sejam nicos e n o compartilhados com outros clientes ou com a AWS Firewall o Amazon EC2 fornece uma solu o de firewall completa este firewall de entrada obrigat rio configurado no modo padr o de negar tudo e os clientes do Amazon EC2 devem explicitamente abrir as portas necess rias para permitir o tr fego de entrada O tr fego pode ser restrito por protocolo por porta de servi o bem como por endere o IP de origem bloco IP ou roteamento sem classe entre dom niosCIDR O firewall pode ser configurado em grupos permitindo que classes diferentes de inst ncias tenham regras diferentes Considere por exemplo o caso de um aplicativo web tradicional de tr s n veis O grupo para os servidores web teria a porta 80 HTTP e ou a porta 443 HTTPS aberta para a Intern
52. ortanto que permita ao cliente implementar seguran a adicional atrav s da separa o de fun es O n vel de seguran a proporcionado pelo firewall uma fun o de quais portas s o abertas pelo cliente e para que finalidade e dura o O estado padr o negar todo o tr fego de entrada e os clientes devem planejar cuidadosamente o que ser aberto quando criarem e protegerem os seus aplicativos O gerenciamento de tr fego instru do e o design de seguran a ainda s o necess rios em uma base por inst ncia A AWS ainda incentiva os clientes a aplicarem filtros adicionais por inst ncia com firewalls baseados em host como IPtables ou o Firewall do Windows e VPNs Isto pode restringir tanto o tr fego de entrada quanto o de sa da em cada inst ncia Chamadas de API para iniciar e encerrar inst ncias alterar par metros de firewall e executar outras fun es s o assinadas pela chave de acesso secreto do cliente da Amazon que poderia ser qualquer chave de acesso secreto das contas da AWS ou a chave de acesso secreto de um usu rio criado com o IAM da AWS Sem o acesso chave de acesso secreto do cliente as chamadas de API da Amazon EC2 n o podem ser realizadas em seu nome Al m disso as chamadas de API podem ser criptografadas com o SSL para manter a confidencialidade A Amazon sempre recomenda o uso de pontos de acesso de API protegidos por SSL O IAM da AWS tamb m permite que um cliente possa controlar quais APIs criadas por um usu rio
53. os em uma configura o N 1 para que no caso de uma falha do datacenter haja capacidade suficiente para permitir que o tr fego seja balanceado para os locais restantes A AWS oferece aos clientes a flexibilidade de alocar inst ncias e armazenar dados em v rias regi es geogr ficas bem como em v rias zonas de disponibilidade dentro de cada regi o Cada Zona de disponibilidade concebida como uma zona de falha independente Isto significa que as Zonas de disponibilidade s o fisicamente separadas dentro de uma regi o metropolitana espec fica e est o localizadas nas plan cies de inunda o de risco inferior categoriza o de zona de inunda o espec fica varia por regi o Al m de discretas fontes de alimenta o ininterrupta UPS e instala es de gera o de backup no local cada uma alimentada atrav s de grades diferentes de utilit rios independentes para reduzir ainda mais os pontos nicos de falha Zonas de disponibilidade s o todas redundantemente conectadas a v rios provedores de tr nsito de n vel 1 Os clientes devem projetar seu uso da AWS para tirar proveito de v rias regi es e zonas de disponibilidade A distribui o de aplicativos em v rias zonas de disponibilidade fornece a capacidade de permanecer flex vel diante da maioria dos modos de falha incluindo cat strofes naturais ou falhas do sistema P maia amazon gt webservices Vis o geral do processo de seguran a do Amazon Web Services M
54. r um dispositivo de autentica o de fornecedores terceirizados conveniados e configur lo para uso pelo site da Web da AWS Mais informa es sobre a Autentica o Multi gateway de internet est o dispon veis no website da AWS http aws amazon com mfa Rota o de chave Pelos mesmos motivos que tornam importante a altera o de senhas frequentemente a AWS recomenda que os clientes fa am regularmente a rota o das suas chaves de acesso e certificados Para permitir que o cliente possa fazer isso sem um poss vel impacto na disponibilidade dos seus aplicativos a AWS compat vel com v rias chaves de acesso e certificados simult neos Com esse recurso os clientes podem fazer a rota o das chaves e certificados dentro e fora de opera o de modo regular sem qualquer tempo de inatividade para o seu aplicativo Ele pode ajudar a diminuir os riscos de perda ou comprometimento de certificados ou chaves de acesso As APIs do IAM da AWS permitem que o cliente fa a a rota o das chaves de acesso da sua Conta da AWS bem como para usu rios criados sob a sua Conta da AWS usando o IAM da AWS Seguran a de rede A rede AWS fornece prote o significativa contra problemas de seguran a de rede tradicional e o cliente pode lt am APR 12m amazon webservices 10 Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 implementar mais prote o A seguir alguns exemplos Ataques distribu dos de
55. s s o um conjunto de pares de nome e valor que descrevem o objeto Estes incluem alguns metadatas padr o tais como a data da ltima modifica o e metadata HTTP padr o como Content Type O desenvolvedor tamb m pode especificar metadados personalizados no momento em que o objeto armazenado Paravirtualiza o em computa o paravirtualiza o uma t cnica de virtualiza o que apresenta uma interface de software para m quinas virtuais que semelhante mas n o id ntico do hardware subjacente Varredura de porta uma varredura de porta uma s rie de mensagens enviadas por algu m que est tentando invadir um computador para saber quais servi os de rede de computador cada associado com um n mero de porta conhecido o computador fornece Servi o Software ou computa o com capacidade fornecida atrav s de uma rede por exemplo EC2 S3 Firewall est vel em computa o um firewall est vel qualquer firewall que fornece pacote de inspe o est vel SPI ou inspe o est vel um firewall que mant m o controle sobre o estado das conex es de rede que tais como fluxos de TCP comunica o UDP trafegam atrav s dele Inst ncia virtual uma vez que um AMI seja lan ado o sistema resultante em execu o referido como uma inst ncia Todas as inst ncias baseadas na mesma AMI come am id nticas e qualquer informa o sobre eles perdida quando as inst ncias s o conclu das ou na ocorr ncia de falhas
56. sam criar modificar ou excluir seus fluxos de trabalho As solicita es s o assinadas com uma assinatura de HMAC SHAI criada a partir da solicita o e da chave privada do usu rio O Amazon Elastic MapReduce fornece pontos de acesso SSL para acessar as suas APIs de servi o web e o console Ao iniciar fluxos de trabalho em nome de um cliente o Amazon Elastic MapReduce configura um grupo de seguran a do Amazon EC2 do n mestre para permitir somente o acesso externo via SSH O servi o cria um grupo de seguran a separado dos receptores que n o permite qualquer acesso externo Para proteger as informa es dos clientes e conjuntos de dados de sa da o Amazon Elastic MapReduce transfere os dados de e para o S3 usando SSL E m amazon x EA webservices Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 AP NDICE GLOSS RIO DE TERMOS AMI uma Amazon Machine Image AMI uma imagem de m quina criptografada armazenada no Amazon S3 Ela cont m todas as informa es necess rias para inicializar as inst ncias de um software de cliente API a Application Programming Interface API uma interface em ci ncia da computa o que define as maneiras pelas quais um programa aplicativo pode solicitar servi os de bibliotecas e ou sistemas operacionais Autentica o a autentica o o processo de determinar se algu m ou alguma coisa realmente quem ou o que ele declara ser Zona de disponibili
57. sponsabilidade pelo sistema operacional convidado inclusive atualiza es e patches de seguran a por outro software de aplicativo associado bem como pela configura o do grupo de seguran a firewall fornecido pela AWS Os clientes devem examinar cuidadosamente os servi os que escolherem assim como as suas respectivas responsabilidades que variam de acordo com os servi os utilizados a integra o desses servi os no seu ambiente de Tl e as leis e regulamentos aplic veis Isto poss vel para os clientes com o prop sito de aumentar a seguran a e ou atender aos seus mais rigorosos requisitos de conformidade aproveitando tecnologias tais como firewalls baseados em host detec o preven o de invas es criptografia e gerenciamento de chaves baseados em host A natureza desta responsabilidade compartilhada tamb m fornece a flexibilidade e o controle do cliente que permite a implanta o de solu es que atendam aos requisitos de certifica o espec ficos do setor Resumo do ambiente de controle A AWS gerencia um ambiente de controle abrangente que inclui as atividades pol ticas os processos e o controle necess rios para a disponibiliza o de cada uma das ofertas de servi os web O ambiente de controle coletivo abrange as pessoas os processos e a tecnologia necess rios para manter um ambiente que ofere a suporte a efic cia de controles espec ficos e dos quadros de controle para o qual a AWS possui certifica o e ou est em
58. t ncia vizinha n o t m mais acesso a essa inst ncia do que qualquer outro host na Internet e pode ser tratada como se eles estivessem em hosts f sicos separados A mem ria RAM separada com mecanismos similares Customer 1 Customer 2 Customer n Hypervisor Virtual Interfaces Security Groups Security Groups Physical Interfaces Inst ncias do cliente n o t m acesso a dispositivos de disco mas s o apresentadas como discos virtuais A camada de virtualiza o de propriedade de disco da AWS automaticamente redefine cada bloco de armazenamento utilizado pelo cliente garantindo que os dados de um cliente nunca s o involuntariamente expostos a outro A AWS recomenda que os clientes protejam seus dados atrav s de meios adequados Uma solu o comum executar um arquivo criptografado no topo do dispositivo de disco virtual Seguran a do Elastic Block Storage Amazon EBS O acesso ao volume Amazon EBS restrito para a conta da AWS que criou o volume e para os usu rios sob a conta da AWS criada com o IAM da AWS se o usu rio tiver concedido o acesso s opera es EBS negando assim a permiss o para todas as outras contas e usu rios da AWS para exibir ou acessar o volume No entanto um cliente pode criar snapshots Amazon S3 do seu volume Amazon EBS e habilitar outras contas da AWS para serem capacitadas a utilizar o snapshot compartilhado como base para a cria o de seus pr prios vo
59. t e do objeto s o independentes um objeto n o herda ACLs de seu bucket As permiss es para ler ou modificar o bucket ou o objeto ACLs s o controladas por ACLs padr o para que somente o criador tenha acesso Portanto o cliente mant m total controle sobre quem tem acesso aos seus dados Os clientes podem conceder acesso aos seus dados do Amazon S3 para outras contas da AWS pelo ID da conta da AWS ou e mail ou ainda pelo ID do produto DevPay Os clientes tamb m podem lt am Instance 2 10 0 0 7 Instance 1 10 0 0 6 17 Vis o geral do processo de seguran a do Amazon Web Services Maio de 2011 conceder acesso aos seus dados do Amazon S3 para todas as contas da AWS ou para todos ativando o acesso an nimo Gerenciamento de dados Para m xima seguran a o Amazon S3 acess vel atrav s de pontos de acesso com SSL Os pontos de acesso criptografados s o acess veis a partir da Internet e de dentro do Amazon EC2 assegurando que os dados sejam transferidos de forma segura tanto dentro da AWS como para locais externos Proteger dados envolve a seguran a f sica e a criptografia dos dados Como mencionado detalhadamente em Seguran a f sica a Amazon emprega v rias medidas de seguran a f sica para proteger os dados em repouso do cliente Por exemplo o acesso f sico dos datacenters da Amazon limitado a uma lista auditada dos colaboradores da Amazon A criptografia de dados confidenciais geralmente

Amazon Web Services: Visão geral do processo de segurança

Contents

Download Pdf Manuals

Related Search

Related Contents

Amazon Web Services: Vis&atilde;o geral do processo de seguran&ccedil;a

Contents

Download Pdf Manuals

Related Search

Related Contents

Amazon Web Services: Visão geral do processo de segurança