Lab 49 — Dado pessoal: minimizar, mascarar, não logar

# Rode ANTES de qualquer correcao. O numero que sair daqui e a linha de base.
aws logs start-query \
  --log-group-name "/ecs/ffv-lab-api" \
  --start-time "$(date -d '-1 day' +%s)" --end-time "$(date +%s)" \
  --query-string 'fields @timestamp, @message | filter @message like /\d{3}\.\d{3}\.\d{3}-\d{2}/ | stats count() as ocorrencias'
# Na Cadencia: 1.212 eventos analisados, 340 com padrao de CPF — cerca de 28% de
# todo log de criacao de pedido do ultimo dia. Medir corrigiu a suposicao de
# "deve ser raro".

// Esquema SIMPLIFICADO de um finding de sensitive data do Macie, ilustrativo — os
// campos completos estao na referencia de findings da documentacao oficial.
{
  "type": "SensitiveData:S3Object/Personal",
  "category": "SENSITIVE_DATA",
  "resourcesAffected": {
    "s3Object": {
      "bucket": { "name": "ffv-lab-export-logs-macie" },
      "key": "ecs/ffv-lab-api/2026/08/07/log-export.gz"
    }
  },
  "classificationDetails": {
    "result": {
      "status": "COMPLETE",
      "sensitiveData": [{
        "category": "PERSONAL_INFORMATION",
        "detections": [
          // BRAZIL_CPF_NUMBER e identificador GERENCIADO — nao exige regex propria.
          { "type": "BRAZIL_CPF_NUMBER", "count": 340 }
        ]
      }]
    }
  }
}

# logs-macie.tf — grupo de logs cifrado, exportação diária e descoberta contínua

# A CMK do L46, NÃO uma chave nova. Rotacionar chave por laboratório multiplica
# o número de chaves sem multiplicar a protecao — a granularidade certa e por
# DOMINIO de dado (o log de aplicacao da Cadencia), nao por modulo de ensino.
data "aws_kms_key" "logs" {
  key_id = "alias/${var.projeto}-app-cmk"
}

resource "aws_cloudwatch_log_group" "api" {
  name              = "/ecs/${var.projeto}-api"
  # Decisao de negocio, nao padrao tecnico: o padrao da AWS e reter para
  # sempre ate alguem configurar isto. 90 dias atende o caso real de suporte
  # investigar um pedido antigo, sem virar arquivo permanente.
  retention_in_days = 90
  kms_key_id        = data.aws_kms_key.logs.arn
  tags              = { Projeto = var.projeto }
}

# Este statement e o que resolve a falha mais silenciosa desta pilha: sem ele,
# o Macie consegue ENUMERAR os objetos do bucket mas nao DESCRIPTOGRAFAR o
# conteudo, e um job roda, conclui "COMPLETE" e nao encontra nada — nao porque
# o log esta limpo, mas porque ele nunca leu o conteudo.
data "aws_iam_policy_document" "cmk_permite_macie" {
  statement {
    sid    = "PermiteMacieDescriptografar"
    effect = "Allow"
    principals {
      type        = "Service"
      identifiers = ["macie.amazonaws.com"]
    }
    actions   = ["kms:Decrypt", "kms:DescribeKey"]
    resources = ["*"] # a policy de recurso vive na propria chave; o recurso aqui e implicito
    condition {
      test     = "StringEquals"
      variable = "aws:SourceAccount"
      values   = [data.aws_caller_identity.atual.account_id]
    }
  }
}

# O bucket NAO e armazenamento: e uma copia de trabalho para a varredura
# enxergar o log. Macie varre S3, nunca CloudWatch Logs diretamente — e essa
# frase sozinha resolve a duvida mais comum sobre por que "configurar o
# Macie" nao encontrou nada.
resource "aws_s3_bucket" "export_logs" {
  bucket = "${var.projeto}-export-logs-macie"
}

resource "aws_s3_bucket_server_side_encryption_configuration" "export_logs" {
  bucket = aws_s3_bucket.export_logs.id
  rule {
    apply_server_side_encryption_by_default {
      sse_algorithm     = "aws:kms"
      kms_master_key_id = data.aws_kms_key.logs.arn
    }
  }
}

resource "aws_s3_bucket_public_access_block" "export_logs" {
  bucket                  = aws_s3_bucket.export_logs.id
  block_public_acls       = true
  block_public_policy     = true
  ignore_public_acls      = true
  restrict_public_buckets = true
}

resource "aws_s3_bucket_lifecycle_configuration" "export_logs" {
  bucket = aws_s3_bucket.export_logs.id
  rule {
    id     = "expira-rapido"
    status = "Enabled"
    # Mante-lo mais que alguns dias duplica a superficie que a varredura
    # deveria estar REDUZINDO, nao ampliando. 7 dias cobre folga para o job
    # diario rodar de novo se o primeiro ciclo falhar.
    expiration { days = 7 }
  }
}

# Habilita a conta no Macie. ATENCAO na secao de limpeza: este recurso e por
# CONTA, nao por laboratorio — destrui-lo desabilita o Macie inteiro.
resource "aws_macie2_account" "conta" {
  finding_publishing_frequency = "FIFTEEN_MINUTES"
  status                       = "ENABLED"
}

# Descoberta AUTOMATIZADA, nao job avulso: o Macie reavalia continuamente o
# inventario do bucket e amostra objetos, sem que ninguem precise lembrar de
# disparar uma varredura. "Zero achado" aqui e resultado esperado do dia a
# dia — achado POSITIVO e a excecao que merece alerta.
resource "aws_macie2_account" "descoberta_automatizada" {
  depends_on = [aws_macie2_account.conta]
  # A configuracao fina de amostragem e escopo do bucket fica no console ou
  # na API de automated-discovery-configuration; o Terraform provider cobre a
  # habilitacao da conta, que e o pre-requisito.
}

# A engrenagem que substitui "alguem lembra de exportar": todo dia, sem
# depender de disciplina humana, o log do dia anterior vira objeto em S3.
resource "aws_scheduler_schedule" "exportar_logs" {
  name       = "${var.projeto}-exportar-logs-diario"
  group_name = "default"

  flexible_time_window { mode = "OFF" }
  schedule_expression = "cron(0 3 * * ? *)" # 03h UTC, fora do pico da Cadencia

  target {
    arn      = aws_lambda_function.exportar_log.arn # cria a export-task do dia anterior
    role_arn = aws_iam_role.scheduler_exportar.arn
  }
}

# Publica achados no EventBridge, de onde um alarme os leva a um topico SNS.
# "Achado" aqui e regressao: alguem escreveu um campo pessoal fora da
# allowlist, e o alerta precisa aparecer antes que vire habito.
resource "aws_sns_topic" "achado_pii" {
  name              = "${var.projeto}-achado-pii-log"
  kms_master_key_id = data.aws_kms_key.logs.id
}

output "bucket_export_logs" {
  value       = aws_s3_bucket.export_logs.bucket
  description = "onde a descoberta automatizada do Macie procura o log exportado"
}

# iam-logs.tf — a leitura do log nao pode ser mais ampla que a leitura do banco

data "aws_iam_policy_document" "leitura_logs_api" {
  statement {
    effect = "Allow"
    actions = [
      "logs:GetLogEvents",
      "logs:FilterLogEvents",
      "logs:DescribeLogStreams",
      "logs:StartQuery",
      "logs:GetQueryResults",
    ]
    resources = ["${aws_cloudwatch_log_group.api.arn}:*"]
    # Nenhuma acao aqui e de conta — todas suportam recurso especifico, e por
    # isso NENHUMA usa "*". Se algum dia precisar de uma que so aceite conta
    # (como logs:DescribeLogGroups em alguns cenarios), a regra da casa vale:
    # a frase que justifica o "*" entra como comentario, ou ele nao entra.
  }
}

# O TESTE que decide se a politica esta certa: liste quem ela autoriza e
# compare com a lista de quem le o banco de pedidos de origem. Se a lista de
# leitores do LOG e maior que a lista de leitores do BANCO, o log e uma copia
# menos protegida do mesmo dado — e minimizar no codigo nao resolve isso
# sozinho, porque o problema deixou de ser "o que esta no log" e passou a ser
# "quem pode ler o que esta no log".
resource "aws_iam_role" "leitor_logs_api" {
  name               = "${var.projeto}-leitor-logs-api"
  assume_role_policy = data.aws_iam_policy_document.assume_leitor.json
  # Este papel e concedido ao MESMO grupo de pessoas que ja tem leitura no
  # banco de pedidos — nao a "todo mundo no time de plantao".
}

resource "aws_iam_role_policy" "leitura_logs_api" {
  role   = aws_iam_role.leitor_logs_api.id
  policy = data.aws_iam_policy_document.leitura_logs_api.json
}

# Algumas acoes do Macie SAO de conta, nao de recurso — confira no IAM
# Policy Reference antes de copiar um "*" as cegas. Aqui, a acao que provisiona
# a descoberta automatizada e de conta, e por isso a unica que aparece com
# recurso amplo nesta pilha inteira.
data "aws_iam_policy_document" "macie_conta" {
  statement {
    effect    = "Allow"
    actions   = ["macie2:EnableMacie", "macie2:GetAutomatedDiscoveryConfiguration"]
    resources = ["*"]
  }
}

// LogSeguro.cs — a allowlist que decide o que chega ao log, na ESCRITA

public sealed record PedidoLogSeguro(
    Guid Id,
    string Loja,
    decimal Valor,
    string StatusPagamento);
    // Repare no que NAO esta aqui: CpfCliente, NomeCliente, Endereco,
    // Telefone. A ausencia E a allowlist — o campo nao existe no TIPO, entao
    // nao existe forma de ele "escapar" por um logger novo que outra pessoa
    // escreva daqui a seis meses. Bloqueio por lista de permissao e mais
    // seguro por padrao que filtrar depois: quem esquece de atualizar o
    // filtro vaza; quem esquece de atualizar a allowlist nao loga nada novo
    // ate decidir explicitamente.

public static class PedidoLogSeguroExtensions
{
    public static PedidoLogSeguro ParaLog(this Pedido pedido) =>
        new(pedido.Id, pedido.Loja, pedido.Valor, pedido.StatusPagamento.ToString());
}

public sealed class PedidosController(ILogger<PedidosController> log, AppDb db)
{
    public async Task<IResult> Criar(Pedido pedido)
    {
        await db.Pedidos.AddAsync(pedido);
        await db.SaveChangesAsync();

        // ANTES (o antipadrao que este laboratorio corrige):
        //   log.LogInformation("Pedido criado {@Pedido}", pedido);
        //   O operador `@` do Serilog SERIALIZA O OBJETO INTEIRO, incluindo
        //   Cliente, que tem Cpf. Ninguem decidiu logar o CPF — ninguem
        //   decidiu NADA: o destructuring pegou tudo o que existia no tipo
        //   no dia em que a linha foi escrita, e continua pegando tudo o que
        //   existir nele no futuro, sem revisao de codigo nenhuma.
        //
        // DEPOIS: a projecao e o UNICO caminho ate o logger.
        log.LogInformation("Pedido criado {@Pedido}", pedido.ParaLog());

        return Results.Created($"/api/pedidos/{pedido.Id}", pedido);
    }

    // O MESMO cuidado vale no caminho de erro — e e o que a secao de falhas
    // deste modulo mostra ser o mais esquecido.
    public async Task<IResult> TratarFalha(Exception ex, Pedido pedido)
    {
        // ERRADO: log.LogError(ex, "Falha ao processar {@Pedido}", pedido);
        //   Handler de excecao e o lugar onde mais se loga o objeto inteiro
        //   "para ter contexto" — e e exatamente onde a allowlist tem de
        //   valer tambem, sem excecao para o caminho de erro.
        log.LogError(ex, "Falha ao processar pedido {@Pedido}", pedido.ParaLog());
        return Results.Problem();
    }
}

// Mascaramento.cs — quando o dado parcial ainda serve, e quando nao serve

public static class Mascaramento
{
    // Usar SOMENTE quando alguem prova um caso de uso real — aqui, suporte
    // precisando confirmar um pedido a partir do CPF que o cliente informou
    // por telefone. "Pode ser util algum dia" nao e prova; e a justificativa
    // que qualquer campo indevido usa.
    //
    // Mantem os 3 ultimos digitos, suficientes para confirmacao humana
    // cruzada com outro dado (nome, numero do pedido), e derruba o resto.
    public static string Mascarar(string cpf)
    {
        var digitos = new string(cpf.Where(char.IsDigit).ToArray());
        if (digitos.Length != 11) return "***.***.***-**"; // formato inesperado: nao arrisca expor
        return $"***.***.{digitos[6..9]}-**";
    }
}

// O CAMPO DERIVADO entra na allowlist, nunca o campo bruto — e so nos tipos
// de log que genuinamente precisam dele, nao em todo lugar que loga Pedido.
public sealed record PedidoLogComSuporte(
    Guid Id, string Loja, decimal Valor, string CpfMascarado);

public static class PedidoLogComSuporteExtensions
{
    public static PedidoLogComSuporte ParaLogDeSuporte(this Pedido pedido) =>
        new(pedido.Id, pedido.Loja, pedido.Valor,
            Mascaramento.Mascarar(pedido.Cliente.Cpf));
            // O valor BRUTO do Cpf nunca sai do escopo de Pedido para o de
            // log — ele e consumido aqui dentro e descartado.
}

// IMPORTANTE, e e por isso que este mascaramento tem sua propria secao no
// modulo: "***.***.789-**" AINDA e dado pessoal. Ele e correlacionavel a uma
// pessoa por quem ja tem outro dado dela (nome, pedido, telefone). Tratar
// mascarado como anonimo e decisao de risco disfarcada de decisao tecnica —
// use o mesmo controle de acesso e retencao que valeria para o CPF completo.

# Prova complementar de seguranca: quem pode ler o grupo de logs?
aws iam simulate-principal-policy \
  --policy-source-arn "$(terraform output -raw arn_papel_amplo_de_debug)" \
  --action-names logs:GetLogEvents \
  --resource-arns "$(terraform output -raw arn_log_group)"
# Esperado: "implicitDeny" para qualquer papel que nao seja o leitor dedicado.
# Se um papel generico de debug retornar "allowed", a politica de leitura ainda
# esta mais ampla do que a do banco de origem — a correcao do codigo nao basta.

# 1. Derrube o que o Terraform administra.
terraform destroy -auto-approve

# 2. ATENCAO: aws_macie2_account desabilita o Macie para a CONTA INTEIRA, nao so
#    para este laboratorio. Confira antes se algum outro job ou laboratorio
#    (ex.: L69) ainda depende do servico habilitado.
aws macie2 get-macie-session --query "status" --output text

# 3. BUCKET DE EXPORTACAO: o destroy falha se houver objeto dentro, a menos que
#    force_destroy esteja ligado. O ciclo de vida de 7 dias normalmente ja
#    esvaziou, mas nao garante se voce interrompeu no meio do laboratorio.
aws s3 rm "s3://ffv-lab-export-logs-macie" --recursive 2>/dev/null || true
aws s3api delete-bucket --bucket ffv-lab-export-logs-macie 2>/dev/null || true

# 4. GRUPO DE LOGS: contem 90 dias de historico de diagnostico. Decida se vale
#    manter por mais alguns dias antes de apagar de vez.
aws logs describe-log-groups --log-group-name-prefix "/ecs/ffv-lab" \
  --query "logGroups[].{nome:logGroupName,retencao:retentionInDays}" --output table

# 5. Prova final: nada com o nome do projeto de pe.
aws resourcegroupstaggingapi get-resources \
  --tag-filters Key=Projeto,Values=ffv-lab \
  --query "ResourceTagMappingList[].ResourceARN" --output table