Proteção de dados

Pontos-chave

• Key policy: toda chave do KMS tem exatamente uma, e ela é o controle de acesso principal. Políticas do IAM só liberam o uso da chave se a key policy as habilitar.
• Envelope encryption: o Encrypt aceita no máximo 4.096 bytes. Para dados maiores, o GenerateDataKey devolve uma data key que criptografa localmente, e o KMS protege a data key.
• Rotação: opcional nas chaves gerenciadas pelo cliente, a cada 90 a 2.560 dias (padrão 365), além da rotação sob demanda. Chaves gerenciadas pela AWS giram todo ano. O material antigo continua disponível para descriptografar.
• Chaves multi-Região: chaves relacionadas com o mesmo key ID e material em várias Regiões, então o que foi criptografado numa Região é descriptografado em outra sem chamada entre Regiões.
• Compartilhamento: recursos criptografados com uma chave gerenciada pela AWS não podem ser compartilhados com outras contas. Use uma chave gerenciada pelo cliente cuja key policy libere a outra conta.

Pontos-chave

• Single-tenant: HSMs dedicados, validados FIPS 140-2 ou FIPS 140-3 Level 3 para clusters em modo FIPS.
• Controle total: você gerencia os usuários do HSM e as chaves, e o plano de dados criptografado de ponta a ponta não é visível para a AWS.
• Interfaces padrão: PKCS #11, JCE, CNG e KSP facilitam migrar PKI e workloads criptográficos existentes.
• Custom key store do KMS: um CloudHSM key store mantém a integração com o KMS enquanto o material da chave fica no seu cluster, para workloads com poucas requisições por segundo.
• Trade-off: mais responsabilidade operacional que o KMS, incluindo disponibilidade e escala do cluster.

Pontos-chave

• SSE-S3: padrão para novos uploads desde 5 de janeiro de 2023. AES-256 com chaves gerenciadas pelo S3, sem custo adicional.
• SSE-KMS: chaves do KMS com key policies e registro no CloudTrail de cada uso da chave. S3 Bucket Keys reduzem o custo de requisições ao KMS em até 99%.
• DSSE-KMS: 2 camadas independentes de criptografia AES-256 para exigências de criptografia em várias camadas. Não suporta S3 Bucket Keys.
• SSE-C: você envia a chave em toda requisição via HTTPS e o S3 nunca a armazena. Desde abril de 2026 vem desativada por padrão em buckets novos e precisa ser habilitada explicitamente.
• Criptografia no cliente: os dados são criptografados antes do upload e chegam ao S3 já cifrados.

Pontos-chave

• Serviços integrados: Elastic Load Balancing, CloudFront, API Gateway, App Runner, Amplify, Elastic Beanstalk e a inspeção TLS do Network Firewall.
• Regra do CloudFront: o certificado precisa ser solicitado ou importado em US East (N. Virginia), us-east-1.
• Regional: certificados não podem ser copiados entre Regiões. Solicite um em cada Região onde houver um load balancer usando.
• Renovação gerenciada: automática para certificados validados por DNS e em uso. Certificados importados não são renovados pelo ACM, então acompanhe a expiração.
• No EC2: use o protocolo ACME para certificados publicamente confiáveis nos seus servidores. Um certificado gerenciado pelo ACM numa instância exige Nitro Enclaves.

Pontos-chave

• Secrets Manager: segredos criptografados com KMS e rotação automática, por managed rotation ou por uma função Lambda de rotação, com integrações nativas com bancos de dados.
• Replicação: segredos réplica em outras Regiões, e a rotação do segredo primário se propaga para eles.
• Parameter Store: parâmetros String, StringList e SecureString (criptografado com KMS) em hierarquias, sem rotação de credenciais.
• Camadas: a standard é gratuita, com 10.000 parâmetros de até 4 KB. A advanced permite 100.000 parâmetros de até 8 KB, parameter policies e compartilhamento entre contas, com cobrança.
• Custo: o Secrets Manager cobra por segredo por mês e por chamada de API.

Pontos-chave

• GuardDuty: detecção de ameaças a partir de eventos de gerenciamento do CloudTrail, VPC Flow Logs e logs de DNS, sem você precisar ativar esses logs. Planos de proteção acrescentam S3, EKS, runtime, malware, RDS e Lambda.
• Inspector: varredura contínua de instâncias EC2, imagens de contêiner no ECR e funções Lambda em busca de vulnerabilidades de software e exposição de rede não intencional.
• Macie: descobre dados sensíveis, como PII, no S3 com machine learning e correspondência de padrões, e aponta problemas de bucket como acesso público.
• Security Hub CSPM: verifica as contas contra padrões como AWS Foundational Security Best Practices e CIS, e agrega findings do GuardDuty, do Inspector e do Macie. A maioria dos controles exige o AWS Config.
• Detective: monta um behavior graph com CloudTrail, VPC Flow Logs e findings do GuardDuty para investigar a causa raiz.

Pontos-chave

• S3 Object Lock: write once, read many por versão de objeto, e exige versionamento. Use períodos de retenção ou legal holds, que não expiram e valem até serem removidos.
• Modo governance: usuários com s3:BypassGovernanceRetention podem contornar o bloqueio. Bom para testar configurações de retenção.
• Modo compliance: nenhum usuário, nem o root, pode apagar a versão ou encurtar a retenção até que ela expire.
• Glacier Vault Lock: uma vault lock policy que fica imutável quando você conclui o bloqueio dentro de 24 horas. O serviço original de vaults não aceita mais clientes novos, então projetos novos usam Object Lock com as classes de armazenamento S3 Glacier.
• AWS Backup Vault Lock: modo governance ou compliance para backup vaults. No modo compliance o vault fica imutável depois de um período de carência de no mínimo 72 horas.

Pontos-chave

• Relatórios: baixe relatórios SOC, certificações ISO e documentos PCI DSS que mostram aos auditores os controles que a AWS opera.
• Acordos: revise, aceite e acompanhe acordos com a AWS para uma conta ou para todas as contas da organização.
• Responsabilidade compartilhada: o Artifact cobre a conformidade da AWS. A conformidade dos seus workloads continua sendo documentada por você.
• Fornecedores do Marketplace: documentos de segurança e conformidade de ISVs que vendem no AWS Marketplace também estão disponíveis.