CENTRO UNIVERSITÁRIO ESTÁCIO DE SANTA CATARINA

CURSO DE ESPECIALIZAÇÃO EM

SEGURANÇA DE REDES DE COMPUTADORES

LEANDRO PORCIUNCULA RODRIGUES

MODELO DE SEGURAÇA NA NUVEM DA AWS

Trabalho apresentado para conclusão do Curso

de Especialização em Segurança de Redes de

Computadores

Centro Universitário Estácio de SC

Orientador: Prof. Ms. Eduardo Gonçalves da

Silva

SÃO JOSÉ, 2016/1

2

MODELO DE SEGURAÇA NA NUVEM DA AWS

Acadêmico: Leandro Porciuncula Rodrigues 1

Orientador: Prof. Ms. Eduardo Gonçalves da Silva

RESUMO

O modelo de segurança compartilhada que é utilizado por provedores de computação

em nuvem, adotado pela Amazon Web Services, demonstra as responsabilidades de AWS e do

cliente.

Este artigo tem como objetivo apresentar um estudo teórico de como funciona a

infraestrutura de segurança e as certificações que a Amazon possui. Analisando a segurança

física, combate a incêndios, gestão de energia e temperatura dos data centers, planejamento de

como são feitos os descartes dos hardwares utilizados para armazenamento.

A gestão da continuidade do negócio, elaborada pela Amazon Web Services

gerenciando a comunicação e a resposta a incidentes, garantindo a disponibilidade dos serviços

e toda a arquitetura de segurança da sua rede com formas de acesso seguro, proteção nas

transmissões dos dados, separação das redes e a distribuição geográfica capaz de garantir a

tolerância a falha e o mais importante que é o monitoramento e a proteção da sua rede contra

ataques de diversos modos.

Palavras-chaves: Segurança, Nuvem, AWS, Amazon

ABSTRACT

The shared security model that is used by cloud computing providers, adopted by

Amazon Web Services, demonstrates the responsibilities of AWS and the client.

This article aims to present a theoretical study of how the security infrastructure works

and certifications that Amazon has. Analyzing physical security, fire fighting, power

management and temperature data centers, planning how they are made discards the hardware

used for storage.

The management of business continuity, developed by Amazon Web Services

managing communication and incident response, ensuring the availability of services and all

the security architecture of its network with ways to secure access protection in the transmission

1 Tecnólogo em Redes de Computadores, Especialista, Segurança de Redes de Computadores

3

of data, separation of networks and the geographical distribution can ensure fault tolerance and

the most important thing is to monitor and protect your network against attacks in various ways

Keywords: Security, Cloud, AWS, Amazon

1 INTRODUÇÃO

A computação, quando migrada para nuvens públicas, exige um modelo de segurança

que reconcilie a capacidade de expansão e alocação de recursos computacionais com a

necessidade de confiança. Antes de migrar seus ambientes computacionais para nuvem é

necessário que as instituições aceitem o fato de que precisarão abrir mão de certos níveis de

controle. Então é necessário que elas confiem em seus provedores.

Faz parte deste processo de confiança a verificação dos seus processos, controles de

acesso, segurança dos dados e o gerenciamento e monitoramento continuo de eventos e

informações.

Neste artigo será feito um estudo de alguns dos principais processos que a Amazon

Web Services utiliza no seu modelo de segurança compartilhada e suas principais certificações

de segurança da informação.

1.1 SEGURANÇA DA INFORMAÇÃO

A segurança da informação está diretamente ligada com proteção de um conjunto de

informações, no sentido de preservar o valor que possuem para um indivíduo ou uma

organização. São características básicas da segurança da informação os atributos de

confidencialidade, integridade, disponibilidade e autenticidade. O conceito se aplica a todos os

aspectos de proteção de informações e dados.

Segundo a Associação Brasileira de Normas Técnicas (ISO/IEC 17799:2005b, p. ix)

Segurança da informação é a proteção da informação de vários tipos de ameaças para

garantir a continuidade do negócio, minimizar os riscos ao negócio, maximizar o

retorno sobre o investimento e as oportunidades de negócio.

1.2 COMPUTAÇÃO EM NUVEM

Computação em nuvem é um modelo computacional que fornece recursos

computacionais como serviço e sob demanda com cobrança baseada em utilização

O Instituto Nacional de Padrões e Tecnologias dos Estados Unidos (NIST- National

Institute of Standards and Technology) define que computação em nuvem é um modelo que

4

permite acesso a rede de forma ubíqua e sob demanda a um conjunto de recursos

computacionais confiáveis que podem ser rapidamente fornecidos e liberados com o mínimo

de esforço podem ser rapidamente fornecidos e liberados com um esforço mínimo de

gerenciamento ou interação com o provedor de serviços. (Mell e Grance, 2011)

Este modelo vem causando mudanças na área de tecnologia, conforme (Lupon e Lupon,

2014). Existem três mudanças inter-relacionadas na área de tecnologia, plataformas digitais

moveis, o uso crescente de big data e o crescimento da computação em nuvem

1.3 CONHECENDO A AMAZON WEB SERVICES.

A Amazon Web Services (AWS) é uma empresa Americana que presta serviço de

computação em nuvem, foi uma das primeiras empresas a prestar este serviço de nuvem

De acordo com DIÓGENES e VERAS (2015, p25) “...AWS é um conjunto de web

services que, juntos, constituem uma plataforma de computação em nuvem. ”

Atualmente é uma das líderes no mercado mundial, segundo pesquisas do Gartner a

Amazon é líder em recursos essenciais para a infraestrutura de nuvem pública como serviço,

no mundo todo

A plataforma de serviços da Amazon fornece a flexibilidade de executar seu aplicativo

independentemente do tipo de uso ou do setor

1.4 TENDÊNCIAS DA COMPUTAÇÃO EM NUVEM

O mercado de computação em nuvem vem crescendo nos últimos anos, e não é mais uma

tendência e sim uma realidade

Segundo o Presidente do IDC PERES (2012).

Em apenas um ano o mercado avançou tremendamente em termos de maturidade de

adoção. As empresas usuárias de nuvem ainda não são maioria, mas o avanço é claro.

Os fornecedores de nuvem vêm investindo cada vez mais em seus datacenters para

aumentar a capacidade computacional e assim aumentar a disponibilidade de seus serviços

Dados do IDC apontam por FRAMINGHAM (2015) que em 2015, um terço dos

investimentos globais com infraestrutura de TI irão para a modalidade Cloud (servidores,

armazenamento e switch Ethernet). No ano, esses gastos crescerão 24,1%, somando US$ 32,6

bilhões. Destes, US$ 20,5 bilhões irão para Nuvem pública (crescimento de 29,6% ao ano), e

os US$ 12,1 bilhões restantes, para Nuvem privada (aumento de 15,8% ao ano).

5

Existe uma grande preocupação com a segurança da informação e esse crescimento da

computação em nuvem no mundo

2 DESENVOLVIMENTO

2.1 MODELO DE SEGURANÇA AWS

Amazon Web Services (AWS) fornece uma plataforma de computação em nuvem

escalável com alta disponibilidade e confiabilidade, fornecendo as ferramentas que permite aos

seus clientes executar uma ampla gama de aplicações. Ajudando a manter a confidencialidade,

integridade e disponibilidade de sistemas e dados.

A segurança na nuvem é um pouco diferente do que a segurança em seus data-center

local. Quando movemos sistemas informáticos e dados para a nuvem, as responsabilidades de

segurança se tornam compartilhada entre o cliente e o provedor de serviços de nuvem. Neste

caso, a AWS é responsável pela segurança da infraestrutura subjacente que suporta a nuvem, e

o cliente é responsável por qualquer coisa que colocar na nuvem ou ligar na nuvem conforme

mostra a figura1. Este modelo de responsabilidade compartilhada de segurança pode reduzir

sua carga operacional de várias maneiras, e em alguns casos pode até mesmo melhorar a postura

de segurança padrão sem ação adicional de sua parte.

Figura1: Modelo de segurança

Fonte: Elaborado pelo autor

6

A quantidade de configuração de segurança que devem ser feitas varia dependendo de

quais serviços selecionar e quão sensível os dados são. No entanto, existem certas

características, tais segurança como contas de usuários individuais e credenciais, SSL / TLS

para transmissões de dados e o registro de atividade do usuário que devemos configurar não

importa qual serviço AWS for utilizado.

2.2 RESPONSABILIDADES

2.2.1 Da AWS

Amazon Web Services é responsável por proteger a infraestrutura global que executa

todos os serviços oferecidos na nuvem AWS. Esta infraestrutura é composta por hardware,

software, redes e instalações onde funcionam os serviços da AWS. Proteger esta infraestrutura

é prioridade da AWS, não é permitida entrada de clientes nos datacenters, são fornecidos vários

relatórios de auditores terceiros que confirmaram a conformidade com uma variedade de

normas e regulamentos de segurança de computadores.

A AWS é responsável pela configuração de seus produtos que são considerados

serviços gerenciados de segurança. Exemplos desses tipos de serviços incluem Amazon

DynamoDB, Amazon RDS, Amazon Redshift, Amazon Elastic MapReduce, Amazon Work

Spaces, e vários outros. Estes serviços oferecem a escalabilidade e flexibilidade de recursos

baseados em nuvem com o benefício adicional de ser gerenciado. Para estes serviços, a AWS

irá lidar com tarefas básicas de segurança, como sistema operacional (OS) e correções de banco

de dados, configuração de firewall, e recuperação de desastres. Para a maioria desses serviços

gerenciados, tudo que o cliente deve fazer é configurar os controles de acesso lógico para os

recursos e proteger as credenciais da conta. Alguns deles podem exigir tarefas adicionais, como

a criação de contas de usuário de banco de dados, mas no geral o trabalho de configuração de

segurança é realizado pelo serviço.

2.2.2 Do cliente

Com a nuvem AWS, o usuário pode provisionar servidores virtuais, armazenamento,

bancos de dados e desktops em minutos em vez de semanas. Pode também usar a análise de

dados baseados em nuvem e ferramentas de fluxo de trabalho para processar seus dados, e

depois armazená-los em seus próprios centros de dados ou na nuvem. Os serviços que utilizar

7

irão determinar o quanto o trabalho de configuração tem que ser executado como parte de suas

responsabilidades de segurança.

Produtos da AWS que se enquadram na categoria de Infraestrutura como Serviço

(IaaS) tais como Amazon EC2, Amazon VPC e Amazon S3, estão completamente sob o

controle e exigem que seja executa todas as tarefas de configuração e gerenciamento de

segurança necessárias. Por exemplo, para instâncias do EC2, o cliente é responsável pela gestão

do sistema operacional (incluindo atualizações e patches de segurança), qualquer software ou

utilitários de instalar nas instâncias e a configuração do firewall da AWS, chamado de grupo de

segurança. Estas são basicamente as mesmas tarefas de segurança que são executadas, não

importa onde os servidores estejam localizados.

Serviços como Amazon RDS ou Amazon Redshift, o cliente não precisa se preocupar

com o lançamento e manutenção de instâncias, aplicação de patches do sistema operacional ou

replicar bancos de dados, a AWS lida com isso. Mas, como com todos os serviços, o cliente

deve proteger suas credenciais de conta AWS e configurar contas de usuário individuais com o

Amazon Identity and Access Management (IAM), de modo que cada um de seus usuários tenha

suas próprias credenciais e pode ser implementado a segregação de funções. É recomendado

pela AWS o uso de autenticação multi-fator (MFA), em cada conta, exigindo o uso de SSL /

TLS para se comunicar com seus recursos AWS.

2.3 INFRAESTRUTURA GLOBAL DE SEGURANÇA

A AWS opera a infraestrutura de nuvem que o usuário utiliza para configurar uma

variedade de recursos básicos de computação, tais como processamento e armazenamento. A

infraestrutura global da AWS inclui as instalações, rede, hardware e software operacional (por

exemplo, sistema operacional hospedeiro, software de virtualização, etc.) que suportam o

provisionamento e a utilização desses recursos. A infraestrutura da AWS é concebida e gerida

de acordo com as melhores práticas de segurança, bem como uma variedade de padrões de

conformidade de segurança.

2.4 PROGRAMA DE CONFORMIDADE

O programa de conformidades permite que os clientes entendam os controles robustos

que a AWS utiliza para manter a segurança e proteção de dados na nuvem. Como os sistemas

são construídos em cima de infraestrutura da AWS, as responsabilidades de conformidade serão

8

compartilhadas. Juntando, características do serviço de auditoria amigável com foco em

governança e padrões de conformidade ou de auditorias aplicáveis , as conformidades permitem

construir sobre os programas tradicionais; ajudando os clientes a estabelecer e operar em

ambiente de segurança controlado. A infraestrutura de TI que a AWS fornece aos seus clientes

é concebida e gerenciada em alinhamento com as melhores práticas de segurança e uma

variedade de padrões de segurança de TI, incluindo:

SOC 1/SSAE 16/ISAE 3402 (formerly SAS 70)

SOC 2

SOC 3

FISMA, DIACAP, and FedRAMP

DOD CSM Levels 1-5

PCI DSS Level 1

ISO 9001 / ISO 27001

ITAR

FIPS 140-2

MTCS Level 3

Além disso, a flexibilidade e controle que a plataforma AWS fornece permite aos

clientes implementar soluções que atendam às diversas normas específicas da indústria,

incluindo:

Criminal Justice Information Services (CJIS)

Cloud Security Alliance (CSA)

Family Educational Rights and Privacy Act (FERPA)

Health Insurance Portability and Accountability Act (HIPAA)

Motion Picture Association of America (MPAA)

A AWS fornece uma ampla gama de informações sobre o seu ambiente de controle de

TI para os clientes através de relatórios, certificações e outros atestados de terceiros

9

2.5 SEGURANÇA FISICA

Os data centers da AWS utilizam arquitetura e engenharia inovadora. A Amazon tem

mais de 10 anos de experiência na concepção, construção e operação de data center em grande

escala. Esta experiência foi aplicada à plataforma da AWS e infraestrutura.

O acesso físico é estritamente controlado, através de vídeo, sistemas de detecção de

intrusão e outros meios electrónicos. O pessoal autorizado deve passar a autenticação de dois

fatores, no mínimo. Todos os visitantes e prestadores de serviços são obrigados a apresentar

documento de identificação e está inscrito e continuamente escoltados por pessoal autorizado.

AWS só fornece acesso e informações do data center para funcionários e contratados

que têm uma necessidade legítima para tais privilégios. Quando já não é mais necessidade que

o colaborador tenha estes privilégios, o seu acesso é imediatamente revogado, mesmo se ele

continue a ser um empregado da Amazon ou da Amazon Web Services. Todo o acesso físico

aos data centers por funcionários da AWS é registrado e auditado rotineiramente.

2.5.1 Detecção e combate a incêndios.

Detecção automática de incêndio e equipamento de supressão são instalados para

reduzir o risco. O sistema de detecção de incêndio utiliza sensores de detecção de fumaça em

todos os ambientes do data center, espaços de infraestruturas mecânicas e elétricas, salas de

refrigeradores de água e salas de geradores. Estas áreas são protegidas por wet-pipe, double-

interlocked pre-action ou sistemas de aspersão gasosos, que são sistemas de combate a incêndio.

2.5.2 Energia

Os sistemas de energia elétrica dos data centers são projetados para serem totalmente

redundante e sustentável, sem impacto nas operações, 24 horas por dia e sete dias por semana.

Nobreaks para fornecer energia de back-up em caso de uma falha elétrica para cargas críticas e

essenciais. Os data centers usam geradores para fornecer energia de back-up para toda a

instalação.

2.5.3 Temperatura

Controle de temperatura é necessária para manter uma temperatura de funcionamento

constante para servidores e outros hardwares, o que impede o superaquecimento e reduz a

possibilidade de falhas no serviço. Os data centers são condicionados para manter as condições

10

atmosféricas em níveis ideais. Monitor de controle de temperatura e umidade em níveis

adequados.

2.5.4 Descarte de dispositivos de armazenamento

Quando um dispositivo de armazenamento chega o fim da sua vida útil, é acionado um

processo de desativação que impede que os dados dos clientes possam ser expostos a pessoas

não autorizadas

2.6 GESTÃO DE CONTINUIDADE DO NEGÓCIO

A Infraestrutura da Amazon fornece aos clientes os recursos para implantar uma

arquitetura de TI resiliente. A AWS tem projetados seus sistemas para tolerar falhas de software

ou de hardware com o mínimo de impacto aos clientes.

2.6.1 Disponibilidade

Os data centers são construídos em clusters distribuídos em regiões. Todos os data

centers são ativos e disponíveis para os clientes. Em caso de falha, processos automatizados

movem o tráfego de dados para longe da área afetada. As principais aplicações são implantadas

em uma configuração N+1, de modo que em caso de falha no data center, haja capacidade

suficiente para permitir o trafego a ser balanceado para os locais restantes.

AWS fornece a flexibilidade para colocar instâncias e armazenar dados dentro de

várias regiões geográficas, bem como em várias zonas de disponibilidade dentro de cada região.

Cada zona de disponibilidade é projetada como uma zona de falha independente. Isto significa

que zonas de disponibilidade estão fisicamente separados dentro de uma região

2.6.2 Resposta a incidentes

A equipe de gerenciamento de incidentes da Amazon utiliza métodos de diagnóstico

de padrão industriais para garantir melhor solução de eventos. Operadores fornecem cobertura

24x7x365 para detectar incidentes e garantir o menor impacto e a resolução

11

2.6.3 Revisão executiva em toda a empresa

O grupo de auditoria interna da Amazon tem recentemente revisado os planos de

resiliência de serviços, que são também periodicamente revisados por membros da equipe de

executivos sênior de gerenciamento e comitê de auditoria do conselho de diretores.

2.6.4 Comunicação

AWS implementou vários métodos de comunicação interna a nível mundial para

ajudar os funcionários a compreender os seus papéis e responsabilidades individuais e para

comunicar eventos significativos de uma forma rápida. Estes métodos incluem programas de

orientação e treinamento para funcionários recém contratados, regularmente reuniões de gestão

para atualizações sobre o desempenho dos negócios e outros assuntos, videoconferência,

mensagens de correio eletrônico, e a publicação de informações via intranet Amazon.

A AWS também implementou vários métodos de comunicação externa para apoiar a

sua base de clientes. Existem mecanismos que permitem que a equipe de suporte ao cliente seja

notificada de problemas operacionais que impactam a experiência do cliente. O painel de status

apresentado na figura 2 está disponível e é mantido pala equipe de suporte para alertar os

clientes de qualquer problema que possa ser de grande impacto par a infraestrutura.

12

Figura2: Portal de status

Fonte: http://status.aws.amazon.com/

2.7 SEGURANÇA DE REDE

A rede da AWS tem sido arquitetada para permitir que o usuário selecione o nível de

segurança e resiliência apropriado para seu fluxo de trabalho. Para permitir que se construa

arquiteturas web com recursos de nuvem geograficamente separadas e tolerante a falhas, a AWS

tem implementado a Infraestrutura de rede world-class que é cuidadosamente monitorada e

gerenciada.

2.7.1 Arquitetura de segurança de rede

Dispositivos de rede, incluindo firewall e outros dispositivos de borda, estão no local

para monitorar e comunicações de controle de borda externa da rede e nos limites chaves dentro

da rede. Esses dispositivos de borda empregam regras, ACL’s, e configurações para reforçar o

fluxo de informação para um específico serviço de sistema de informação.

13

ACLs, ou políticas de fluxo de tráfego, são estabelecidas em cada interface de

gerenciamento, que gerencia e reforça o fluxo de tráfego. Politicas de ACL são aprovadas pela

Amazon Information Security.

Essas políticas são automaticamente aplicadas usando a ferramenta de gerenciamento

de ACLs da AWS, para ajudar a manter essas interfaces gerenciadas garantindo a atualização

da maioria das ACLs.

2.7.2 Pontos de acesso Seguros

A AWS tem estrategicamente colocado um número limitado de pontos de acesso para

a nuvem para permitir um monitoramento da comunicação de entrada e de saída e trafego de

rede mais compreensivos. Esses pontos de acessos de clientes são chamados de API endpoints,

e eles permitem acesso HTTP seguro (HTTPS), que permite estabelecer uma sessão de

comunicação segura com o storage ou instância dentro da AWS. Para suporte a usuários com

requisitos de criptografia FIPS, os balanceadores de carga de terminações SSL na AWS

GovCloud (US) são compatíveis com FIPS 140-2.

Adicionalmente, AWS tem implementado dispositivos de rede que são dedicados para

gerenciar as comunicações de interfaces com Provedores de Internet (ISPs). A AWS

implementa uma conexão redundante para mais de um serviço de comunicação em cada ponta

conectada a Internet da rede da AWS. Cada uma dessas conexões tem dispositivos de rede

dedicados.

2.7.3 Proteção de transmissão

É possível conectar à um ponto de acesso na AWS via HTTP ou HTTPS usando Secure

Socket Layer (SSL), um protocolo de criptografia que é designado para proteger

contraespionagem, adulteração e falsificação de mensagem.

Para clientes que precisam de uma camada adicional de segurança de rede, a AWS

oferece o Amazon Private Cloud (VPC), que fornece uma subrede privada com a nuvem AWS,

e o recurso de usar um dispositivo de VPN IPsec para prover um túnel criptografado entre a

VPC da Amazon e o data center do cliente.

2.7.4 Separação corporativa da Amazon

Logicamente, a rede de produção AWS é separada da rede corporativa da Amazon por

meio de um conjunto complexo de dispositivos de segurança. Desenvolvedores e

14

administradores da AWS na rede corporativa que precisam acessar componentes da nuvem

AWS por motivos de manutenção devem solicitar explicitamente o acesso através da emissão

de tickets através do sistema da AWS. Todos os pedidos são analisados e aprovados pelo dono

do serviço.

Após aprovação a rede é conecta a AWS através de um bastion host que restringe o

acesso para dispositivos de rede e outros componentes da nuvem, logando todas as atividades

para revisões de segurança. Acesso para o bastion host requer uma chave pública de

autenticação SSH para todas as contas de usuários no host.

2.7.5 Design de tolerante a falhas

A Infraestrutura da Amazon tem um alto nível de disponibilidade e oferece a

capacidade para deploy uma arquitetura de TI elástica. A AWS tem desenhado seus sistemas

para sistema tolerante ou falhas de hardware com mínimo impacto para o cliente.

Os data centers são construídos em clusters em várias regiões globais. Todos os data

centers são on-line e servem clientes.

AWS fornece a flexibilidade para colocar instâncias e armazenar dados dentro de

várias regiões geográficas, bem como em várias zonas de disponibilidade dentro de cada região.

Cada zona de disponibilidade é projetada como uma zona de falha independente.

Devemos arquitetar o uso da AWS para tirar proveito de várias regiões e zonas de

disponibilidade. A distribuição de aplicativos em várias zonas de disponibilidade fornece a

capacidade de permanecer resiliente em face da maioria dos cenários de falha, incluindo

catástrofes naturais ou falhas no sistema. Os dados não são replicados entre as regiões, a menos

que feito pelo cliente.

Toda a comunicação entre regiões é feita através da internet, portanto, métodos de

cifragem devem ser usados para proteger dados sensíveis.

Atualmente a nuvem AWS atua em 30 zonas de disponibilidade em divididas em 11

regiões geográficas em todo o mundo conforme mostra as figuras 3 e 4, em constante

crescimento.

15

Figura3: Regiões

Fonte: Amazon Web Services

Figura4: Zonas de disponibilidades

Fonte: Amazon Web Services

2.7.5 Monitoramento e proteção de rede

A AWS utiliza uma grande variedade de sistemas de monitoramento automatizados

para fornecer um alto nível de performance de serviço e disponibilidade. As ferramentas de

monitoramento da AWS são desenhadas para detectar atividades incomuns ou não autorizadas

e condições de entrada ou saída nos pontos de comunicação. Essas ferramentas monitoram a

utilização de servidores e redes, atividades de escaneamento de portas, uso de aplicações e

16

tentativas de intrusão não autorizadas. As ferramentas tem a habilidade para configurar métricas

customizadas de performance para atividade usual.

Os sistemas dentro da AWS são amplamente equipados para monitorar as principais

métricas operacionais. Alarmes são configurados para automaticamente notificar o pessoal de

operações e gerenciamento quando indicadores de alerta são disparados nas principais métricas

operacionais. Um agendamento on-call é usado de modo que o pessoal está sempre disponível

para responder as questões operacionais. Isso inclui um sistema de pager assim os alarmes são

rapidamente e com segurança comunicados para o pessoal operacional.

A documentação é mantida para ajudar e informar o pessoal de operação no tratamento

de incidentes ou problemas. Se a solução de um problema requer colaboração, um sistema de

conferência e usado que suporta comunicação e capacidade de logs. Líderes treinados na

chamada facilitam a comunicação e o progresso durante o tratamento do problema operacional

que requer colaboração. Reuniões são convocadas após qualquer problema operacional

significante, independentemente do impacto externo, e um documento de “Cause of Error”

(COE) são escritos de modo que a causa raiz é capturada e ações preventivas são tomadas no

futuro. As Implementações das medidas preventivas são monitoradas durante as reuniões

semanais de operações.

As ferramentas de monitoramento de segurança da AWS ajudam a identificar muitos

tipos de ataques de negação de serviço (DoS), incluindo distribuído, flooding e ataques

lógicos/software. Quando ataques DoS são identificados, o processo de resposta de incidente é

iniciado. Adicionalmente para a ferramenta de prevenção de DoS provedores redundantes de

telecomunicações em cada região bem como capacidade adicional de se proteger contra a

possibilidade de um ataque DoS.

A rede da AWS fornece significante proteção contra tradicionais problemas de

segurança de rede, e o cliente pode implementar proteção adicional. Os listados abaixo são

alguns exemplos:

Ataque de DoS distribuído. Os endpoints de API da AWS são hospedados em

uma infraestrutura muito grande que se beneficia da mesma experiência de engenharia que

construiu a maior loja online do mundo. Técnicas proprietárias de migração de DDoS são

usadas. Adicionalmente, as redes da AWS são multi-hospedadas através de um número de

provedores para alcançar acesso diversificado a Internet.

Ataque Man in the Middle (MITM). Todas as APIs da AWS são

disponibilizadas via endpoints protegidos por SSL que fornecem autenticação no servidor. As

AMIs do Amazon EC2 automaticamente geram novo certificados host SSH no primeiro boot e

17

informa isso para o console da instância. É possível então usar as APIs seguras para conectar

ao console e acessar o certificado do host antes de logar na instância pela primeira vez. O

usuário é incentivado a usar SSL para todas as interações com a AWS.

IP Spoofing. As instâncias do Amazon EC2 não podem enviar trafego de

spoofing de rede. O firewall de infraestrutura não permite que uma instância envie trafego com

outro IP de origem ou MAC address que não seja o seu próprio.

Port Scanning. Escaneamentos de portas não autorizados por clientes do

Amazon EC2 são uma violação da “AWS Acceptable Use Policy”. Estas violações são tratadas

com seriedade, e toda a violação reportada é investigada. Clientes podem reportar suspeita de

abuso via contato disponível no website. Quando uma varredura de portas não autorizada é

detectada pena AWS, ela é parada e bloqueada. Varreduras de portas no EC2 são geralmente

ineficientes porque, por padrão, todas as portas de entrada nas instâncias do EC2 são fechadas

e são apenas abertas pelo usuário. Estritamente o gerenciamento dos grupos de segurança do

usuário pode atenuar a ameaça de varredura de portas. Se o usuário configura o grupo de

segurança para permitir trafego de qualquer origem para uma porta específica, então essa porta

específica estará vulnerável à uma varredura de portas. Nesses casos, o usuário precisa usar

medidas de segurança apropriada para proteger serviços que estão ouvindo e que são essenciais

para essa aplicação. Por exemplo, um servidor web precisa claramente ter a porta 80 aberta para

o mundo, e o administrador desse servidor é responsável pela segurança do software do servidor

HTTP, como Apache. O usuário pode solicitar permissão para conduzir varreduras de

vulnerabilidades. Essas varreduras precisam ser limitadas para o dono da instância e não pode

violar o ”AWS Acceptable Use Policy”.

Sniffer de Pacotes de outros tenants. É impossível para uma instância virtual

executando em modo promiscuo para receber ou “sniffar” trafego que é pretendido para uma

instância diferente. Enquanto o usuário colocar suas instâncias em modo promiscuo, o

hypervisor não vai entregar nenhum tráfego para elas que não são endereçados à elas.

Igualmente, duas maquinas virtuais do mesmo dono localizadas no mesmo host físico não pode

ouvir o trafego da outra. Ataques tipo envenenamento de cache ARP não funcionam dentro do

Amazon EC2 e Amazon VPC. Enquanto o Amazon EC2 fornece uma ampla proteção contra

um cliente que, inadvertidamente ou maliciosamente tentar ver os dados de outro, como uma

pratica padrão o cliente pode criptografar o tráfego mais sensível.

Adicionalmente para monitorar, varreduras de vulnerabilidades regulares são

executadas no sistema operacional do host, aplicação web, e bancos de dados no ambiente da

18

AWS usando uma variedade de ferramentas. Também, a equipe de segurança da AWS

subscrever feeds de notícias para falhas do fornecedor aplicáveis e monitorar ativamente sites

dos fornecedores e outros pontos relevantes para os novos patches. Clientes AWS também

podem relatar problemas para a AWS através do AWS Vulnerability Reporting website em:

http://aws.amazon.com/security/vulnerability-reporting/.

3 CONSIDERAÇÕES FINAIS

Apesar de ser uma tecnologia nova, conforme apontado por FRAMINGHAM a

computação em nuvem está em grande crescimento e ainda em fase de amadurecimento, a

nuvem traz consigo muitos riscos e incertezas. As soluções para adoção de um serviço de

segurança ainda são vistas como um grande desafio.

Este trabalho teve como objetivo principal apresentar um estudo teórico sobre a

segurança na nuvem da Amazon Web Services, uma vez que este ainda é um tema recente e

muitas pessoas não conhecem totalmente os serviços e segurança oferecidos pela tecnologia.

Visando atingir estes objetivos foram citados vários recursos de segurança, tais como: o modelo

de segurança, responsabilidades, segurança física e de rede, gestão da continuidade do negócio,

dentre outras. Através dos estudos realizados, foi possível ver que, o modelo de segurança

adotado pela AWS satisfaz alguns dos requisitos básicos de segurança da informação.

Para trabalhos futuros, sugere-se um estudo sobre as responsabilidades dos clientes

para garantir um nível maior de segurança em suas aplicações.

4 REFERÊNCIAS

ABNT – ASSOCIAÇÃO BRASILEIRA DE NORMA TÉCNICAS NBR ISO/IEC

27002:2005 - Tecnologia da informação – Técnicas de segurança – Código de prática para

a gestão de segurança da informação. Rio de Janeiro, 2005b

_______. NBR ISO/IEC 17799:2005 - Tecnologia da informação – Técnicas de segurança

– Código de prática para a gestão de segurança da informação. Segunda edição, 2005.

AMAZON. Homepage [S.I] 2015 Disponível em: <

http://aws.amazon.com/pt/resources/analyst-reports/ >Acesso em 12 dez 2015

19

AMAZON. Homepage [S.I] 2015 Disponível em: < http://

http://aws.amazon.com/pt/security/ >Acesso em 12 Dez 2015

AMAZON. Homepage [S.I] 2015 Disponível em: < http://

https://d0.awsstatic.com/whitepapers/aws-security-best-practices.pdf >Acesso em 14 Dez

2015

AMAZON. Homepage [S.I] 2015 Disponível em: < http://

http://media.amazonwebservices.com/pdf/AWS_Security_Whitepaper.pdf >Acesso em 14

Dez 2015

BARROS. Fabio. Convergência Digital – Hotsite Cloud Computing [S.I.] 2012.

Disponível em:<

http://convergenciadigital.uol.com.br/cgi/cgilua.exe/sys/start.htm?infoid=29995&sid=97#.

Vmx3YPkrLIU > Acesso em 12 dez 2015

DIÓGINES, Yuri ; VERAS, Manoel. Cloud Essentials – Guia preparatório para p exame

CLO – 001. Rio de Janeiro: Nova Terra 2015

LOUDON, Kenneth C.; LOUDON, Jame P. Sistemas de Informações Gerenciais 11° ed

São Paulo: Pearson 2014.

GARTNER. Critical Capabilities for Public Cloud Infrastructure as a Service,

Worldwide [S.I.] 2015 Disponível em: <

http://www.gartner.com/technology/reprints.do?id=1-2QQX6UM&ct=151027&st=sb >

Acessado em 12 dez 2015.

IDC. Analyze the Future [S.I] 2015. Disponível em:

<http://www.idc.com/getdoc.jsp?containerId=prUS25946315> Acesso em 10 dez 2015

MELL, Peter; GRANCE, Timothy, The NIST Definition of Cloud Computing Special

Publication 800-145, 2011 Disponível em:

<http://faculty.winthrop.edu/domanm/csci411/Handouts/NIST.pdf> Acesso em: 11 dez.

2015.