Stela Segurança em Nuvem Aulas Aula 9
Servidor blindado, borda protegida
Instâncias atualizadas, acesso administrativo sem porta aberta, WAF e DDoS.
Proteger servidores e o acesso administrativo e conhecer as proteções de borda.
Estudar o módulo de proteção de infraestrutura do Cloud Security Foundations.
Roteiro de laboratório.
Do servidor até a borda
Protegendo a instância
Sistema atualizado, só as portas necessárias abertas e nada instalado "por via das dúvidas".
Acesso administrativo sem expor a porta 22 (SSH) ou 3389 (RDP) para a internet: use um serviço de sessão gerenciada, como o Session Manager, que não precisa de porta aberta.
WAF: o filtro da aplicação
O firewall de aplicação web olha o conteúdo das requisições e barra ataques conhecidos, como injeção de SQL e scripts maliciosos, antes de chegarem ao site.
DDoS: quando o problema é a multidão
No ataque de negação de serviço distribuído, milhares de máquinas mandam tráfego ao mesmo tempo até o serviço parar.
Na nuvem, a defesa usa a escala do provedor: o tráfego ruim é absorvido e filtrado na borda.
Dica: no Azure, os nomes são Azure Firewall, WAF e Azure DDoS Protection.
2,3 terabits por segundo
Em fevereiro de 2020, a AWS informou ter barrado um ataque DDoS de 2,3 Tbps contra um cliente, o maior registrado até então. O ataque durou três dias e usou uma técnica de reflexão que multiplica o tráfego.
O cliente não teve o serviço derrubado: o tráfego foi absorvido pela proteção na borda.
Para discutir em grupo
- Por que um servidor sozinho, fora da nuvem, não aguentaria esse volume?
- O que é responsabilidade do provedor e o que é do cliente num ataque desses?
- Que outras proteções de borda você colocaria num site de vendas?
Fonte: Techzine, junho de 2020, a partir do relatório AWS Shield Threat Landscape do 1º trimestre de 2020.
Protegendo uma instância
Correção comentada da prova e laboratório. O que você marcar fica salvo neste navegador.
Ondas fora da tela
Matemática
2,3 Tbps é cerca de 2,3 trilhões de bits por segundo: o equivalente a milhares de conexões de fibra doméstica ao mesmo tempo.
Engenharia
Proteção de borda é como o quebra-mar de um porto: a onda gigante quebra longe dos barcos.
Para estudar e praticar
AWS WAF
O firewall de aplicação web da AWS.
Documentaçãoconsulta seguranca-nuvem/materiaisSegurança de APIs e serviços em nuvem
Atividade extra: o que fica atrás do WAF também precisa de proteção.
Atividadematerial extra Microsoft LearnSC-900: segurança, conformidade e identidade
O jeito do Azure em cada pilar, de graça e em português.
Azurecomo é no Azure
Roteiro de laboratório no Moodle
Na próxima aula, a Unidade 3: proteger os dados com criptografia e chaves.