Segurança Avançada: KMS, Secrets Manager e WAF
⏱ 15 min·⭐ 80 XP
Pré-requisitos (0/1)0%
- ⬜🔑 IAM Avançado: Policies JSON, STS e Organizations(AWS Solutions Architect Associate)
Recomendamos completar os pré-requisitos antes de seguir, mas nada te impede de continuar.
Segurança é o maior domínio do SAA-C03 (30%). Não é “só IAM”: envolve criptografia de dados (KMS), gestão de segredos (Secrets Manager/Parameter Store), proteção de borda (WAF/Shield/CloudFront), detecção (GuardDuty/Macie/Inspector/CloudTrail), compliance (Config, Audit Manager) e governança (Organizations SCPs). Vamos focar nos que o exame cobra mais.
📘 Secure· 30%
KMS — o coração da criptografia
KMS gera, armazena e controla chaves criptográficas. A chave mestre (CMK ou KMS Key) nunca sai do KMS em claro. Aplicações usam envelope encryption: KMS gera uma data key para a operação, retorna versão em claro (usada para criptografar dados) e versão encrypted (armazenada junto com os dados).
Borda — barrar antes de entrar
Shield AdvancedDDoS L3/L4 + resposta 24x7
WAFL7: SQLi, XSS, rate limit, geo
Identidade
Cognitousuário final da aplicação
IAM Roleidentidade de serviço, credencial temporária
AplicaçãoVPC
Aplicação
Secrets Managersegredo com rotação automática
Dado em repousoVPC
KMSCMK · envelope encryption
S3 (SSE-KMS)
RDS cifrado
Detecção — vigia o resto
GuardDutyameaça, por análise de log e DNS
Macieacha PII dentro dos buckets
Security Hubagrega achado e mede conformidade
- → só o tráfego limpo
- → token do usuário
- → permissão do serviço
- → busca credencial
- → cifra o segredo
- → grava cifrado
- → data key
- → data key
- → achado
- → achado
- Segurança e identidade
- Compute
- Armazenamento
- Banco de dados
Cinco camadas com donos distintos: borda barra, identidade autoriza, segredo é gerenciado, KMS cifra a chave, detecção vigia. A questão descreve o sintoma — a camada certa segue disso.
- Barre o mais longe possível. Shield para volumétrico, WAF para camada 7. Os dois na borda, antes de a requisição custar computação. WAF na instância em vez do CloudFront/ALB significa pagar para processar ataque.
- Duas identidades diferentes. Cognito autentica o USUÁRIO da sua aplicação. IAM autentica SERVIÇO e pessoa da sua conta AWS. A prova troca os dois: "milhões de usuários do app móvel" é Cognito, nunca usuário IAM.
- Segredo tem lugar próprio. Secrets Manager rotaciona automaticamente e integra com RDS. Parameter Store é mais barato e serve para configuração não-secreta e segredo sem rotação. Se o enunciado disser "rotação automática", é Secrets Manager.
- KMS não cifra seu dado — cifra a chave dele. Envelope encryption: o serviço gera uma data key, cifra o dado com ela, e pede ao KMS para cifrar a data key. Por isso KMS escala para petabytes sem o dado passar por ele. A CMK nunca sai do KMS.
- Detecção é a camada que ninguém lembra. GuardDuty acha comportamento anômalo sem você instalar agente. Macie acha PII dentro dos buckets. Security Hub junta tudo e mede contra CIS e PCI. Quando a questão pede "detectar credencial comprometida", é GuardDuty; "achar CPF em bucket", é Macie.
🗺️ Envelope encryption — encrypt
🔑GenerateDataKeyApp → KMS (CMK, 256)
App chama KMS pedindo uma chave de dados de 256 bits derivada da CMK.
▼
📦KMS respondeDataKey plaintext + encrypted
KMS retorna duas versões: plaintext (uso imediato) e encrypted (armazenar).
▼
🔐AES-256 localdata × plaintext key
App criptografa o dado (1GB+) localmente — KMS nunca vê o payload.
▼
💾Armazena[Ciphertext + EncryptedKey]
Salva o ciphertext ao lado do encrypted data key. Plaintext é zerado da memória.
🗺️ Envelope encryption — decrypt
📂Lê armazenamento[Ciphertext, EncryptedKey]
Recupera os dois blobs salvos juntos.
▼
🔓KMS DecryptEncryptedKey → Plaintext
Chama KMS:Decrypt no data key encriptado. KMS valida policy e retorna plaintext.
▼
📄AES-256 decryptCiphertext × plaintext key
Descriptografa localmente. Plaintext key é usada e imediatamente descartada.
| Tipo de CMK | Gestão | Rotação | Cross-account? | Caso |
|---|---|---|---|---|
| AWS Owned | AWS (não visível) | AWS | Não | Default de alguns serviços |
| AWS Managed (aws/s3 etc) | AWS | Automática anual | Não | Serviços AWS que criptografam sem config |
| Customer Managed (symmetric) | Cliente | Opcional anual (automática) ou on-demand | Sim via key policy | Quando você precisa de controle/auditoria |
| Customer Managed (asymmetric) | Cliente | Manual (assinar binário ou criptografar fora da AWS) | Sim | Assinatura digital, cripto com clientes sem AWS |
| Imported Key Material | Você importa | Manual | Sim | BYOK — compliance exige origem externa |
| CloudHSM-backed | HSM dedicado | Manual | Sim | FIPS 140-2 Level 3, chave nunca sai do HSM |
Tipo de CMKAWS Owned
GestãoAWS (não visível)
RotaçãoAWS
Cross-account?Não
CasoDefault de alguns serviços
Tipo de CMKAWS Managed (aws/s3 etc)
GestãoAWS
RotaçãoAutomática anual
Cross-account?Não
CasoServiços AWS que criptografam sem config
Tipo de CMKCustomer Managed (symmetric)
GestãoCliente
RotaçãoOpcional anual (automática) ou on-demand
Cross-account?Sim via key policy
CasoQuando você precisa de controle/auditoria
Tipo de CMKCustomer Managed (asymmetric)
GestãoCliente
RotaçãoManual (assinar binário ou criptografar fora da AWS)
Cross-account?Sim
CasoAssinatura digital, cripto com clientes sem AWS
Tipo de CMKImported Key Material
GestãoVocê importa
RotaçãoManual
Cross-account?Sim
CasoBYOK — compliance exige origem externa
Tipo de CMKCloudHSM-backed
GestãoHSM dedicado
RotaçãoManual
Cross-account?Sim
CasoFIPS 140-2 Level 3, chave nunca sai do HSM
Key PolicyPrincipal policy da CMK — quem pode usar/administrar. Se não permitir IAM, IAM não funciona.
GrantsDelegação temporária para principal usar a chave sem alterar policy. Comum entre serviços AWS.
AliasesNome amigável (alias/my-app) para a chave. Permite rotacionar backing key sem mudar código.
Key RotationAutomática anual (só symmetric customer-managed). Cria novo backing material; aliases continuam apontando igual.
Multi-Region KeysReplica a CMK para outras regiões mantendo mesmo Key ID. Essencial para cross-region encryption consistente.
DeletionMínimo 7 dias de waiting period. Você cancela antes se mudou de ideia — não existe delete imediato.
Secrets Manager vs Parameter Store
| Feature | Secrets Manager | SSM Parameter Store |
|---|---|---|
| Custo | $0,40/segredo/mês + $0,05 por 10k API | Gratuito (Standard) / $0,05/10k (Advanced) |
| Rotação automática | Sim (via Lambda, templates RDS/Aurora/etc) | Não (você implementa) |
| Tamanho máx | 64KB | 4KB (Standard) / 8KB (Advanced) |
| Criptografia | KMS obrigatório | Opcional (SecureString = KMS) |
| Versioning | Sim (labels AWSCURRENT, AWSPREVIOUS, AWSPENDING) | Sim (histórico) |
| Cross-account | Sim via resource policy | Sim via resource policy (Advanced) |
| Replicação multi-region | Sim (replicate secret) | Manual |
| Hierarquia de paths | Não nativo | Sim (/prod/db/password) |
| Caso ideal | Credenciais de banco com rotation | Configs, feature flags, endpoints |
FeatureCusto
Secrets Manager$0,40/segredo/mês + $0,05 por 10k API
SSM Parameter StoreGratuito (Standard) / $0,05/10k (Advanced)
FeatureRotação automática
Secrets ManagerSim (via Lambda, templates RDS/Aurora/etc)
SSM Parameter StoreNão (você implementa)
FeatureTamanho máx
Secrets Manager64KB
SSM Parameter Store4KB (Standard) / 8KB (Advanced)
FeatureCriptografia
Secrets ManagerKMS obrigatório
SSM Parameter StoreOpcional (SecureString = KMS)
FeatureVersioning
Secrets ManagerSim (labels AWSCURRENT, AWSPREVIOUS, AWSPENDING)
SSM Parameter StoreSim (histórico)
FeatureCross-account
Secrets ManagerSim via resource policy
SSM Parameter StoreSim via resource policy (Advanced)
FeatureReplicação multi-region
Secrets ManagerSim (replicate secret)
SSM Parameter StoreManual
FeatureHierarquia de paths
Secrets ManagerNão nativo
SSM Parameter StoreSim (/prod/db/password)
FeatureCaso ideal
Secrets ManagerCredenciais de banco com rotation
SSM Parameter StoreConfigs, feature flags, endpoints
💡
Decisão simples: precisa de rotation automática? Secrets Manager. Caso contrário, Parameter Store com SecureString é mais barato e suficiente para 90% dos casos.
# Secrets Manager — buscar segredo em app
aws secretsmanager get-secret-value --secret-id prod/db/credentials
# Parameter Store — hierárquico
aws ssm get-parameters-by-path --path /prod/api/ --with-decryption --recursiveWAF — Web Application Firewall
WAF roda na frente de CloudFront, ALB, API Gateway, AppSync ou App Runner. Inspeciona requests HTTP(S) e aplica regras.
Web ACLContainer de regras. Anexa ao ALB/CloudFront/etc.
Managed Rule GroupsRegras pré-prontas da AWS e parceiros (OWASP Top 10, bot control, anonymous IP, known bad inputs).
Custom RulesMatch em IP, país, header, URI, body, query string + operadores (contains, regex, size).
Rate-based rulesBloqueia IP que excede N requests em 5min. Base para mitigação de L7 DDoS.
CAPTCHA / ChallengeIntercepta request suspeito e exige CAPTCHA silencioso ou visível.
ScopesCLOUDFRONT (global) vs REGIONAL (ALB/APIGW/AppSync).
IP Sets / Regex Pattern SetsListas reutilizáveis. Útil para whitelists corporativas ou blocklists dinâmicas.
Shield — proteção DDoS
| Feature | Shield Standard | Shield Advanced |
|---|---|---|
| Custo | Grátis | $3.000/mês por organization |
| Proteção L3/L4 | Automática (CloudFront, Route 53, Global Accelerator) | Expandida + ALB, EC2, EIP |
| Proteção L7 | Não | Sim (via WAF integrado) |
| Shield Response Team (SRT) | Não | 24/7 |
| Cost Protection | Não | Reembolso de surto de EC2/ELB/CloudFront devido a DDoS |
| Visibility | Nenhuma | Métricas e relatórios detalhados |
FeatureCusto
Shield StandardGrátis
Shield Advanced$3.000/mês por organization
FeatureProteção L3/L4
Shield StandardAutomática (CloudFront, Route 53, Global Accelerator)
Shield AdvancedExpandida + ALB, EC2, EIP
FeatureProteção L7
Shield StandardNão
Shield AdvancedSim (via WAF integrado)
FeatureShield Response Team (SRT)
Shield StandardNão
Shield Advanced24/7
FeatureCost Protection
Shield StandardNão
Shield AdvancedReembolso de surto de EC2/ELB/CloudFront devido a DDoS
FeatureVisibility
Shield StandardNenhuma
Shield AdvancedMétricas e relatórios detalhados
⚠️
SAA cobra: Shield Standard já vem ativo em tudo, de graça. Shield Advanced só quando exposição a ataques é crítica (financeiro, e-commerce em pico, gov). Não recomenda em workloads pequenos.
Quiz rápido
Qual serviço detecta que uma credencial da conta está sendo usada de um país incomum, sem instalar agente em nenhuma instância?
Detecção e compliance — o que cada um faz
| Serviço | O que detecta | Fonte de dados |
|---|---|---|
| GuardDuty | Anomalias de comportamento, malware, exfiltração, mineração | CloudTrail, VPC Flow Logs, DNS logs, S3 events, EKS audit |
| Macie | Dados sensíveis (PII, PCI, PHI) em S3 | Object scanning |
| Inspector | Vulnerabilidades em EC2, ECR, Lambda (CVEs, network reachability) | Agent SSM + container scanning |
| Detective | Investigação forense cross-service | GuardDuty, CloudTrail, VPC Flow |
| Security Hub | Agregador central de findings + CIS/PCI benchmarks | GuardDuty, Macie, Inspector, Config, third-party |
| Config | Conformidade de recursos com regras (ex: "bucket S3 não-público") | Config snapshots + change events |
| CloudTrail | Log de todas as API calls na conta | Management events + Data events |
| Audit Manager | Geração de evidências para auditorias (SOC2, PCI, HIPAA) | Todos os acima |
ServiçoGuardDuty
O que detectaAnomalias de comportamento, malware, exfiltração, mineração
Fonte de dadosCloudTrail, VPC Flow Logs, DNS logs, S3 events, EKS audit
ServiçoMacie
O que detectaDados sensíveis (PII, PCI, PHI) em S3
Fonte de dadosObject scanning
ServiçoInspector
O que detectaVulnerabilidades em EC2, ECR, Lambda (CVEs, network reachability)
Fonte de dadosAgent SSM + container scanning
ServiçoDetective
O que detectaInvestigação forense cross-service
Fonte de dadosGuardDuty, CloudTrail, VPC Flow
ServiçoSecurity Hub
O que detectaAgregador central de findings + CIS/PCI benchmarks
Fonte de dadosGuardDuty, Macie, Inspector, Config, third-party
ServiçoConfig
O que detectaConformidade de recursos com regras (ex: "bucket S3 não-público")
Fonte de dadosConfig snapshots + change events
ServiçoCloudTrail
O que detectaLog de todas as API calls na conta
Fonte de dadosManagement events + Data events
ServiçoAudit Manager
O que detectaGeração de evidências para auditorias (SOC2, PCI, HIPAA)
Fonte de dadosTodos os acima
📋 Precisa de visão única de postura de segurança da organização inteira
✓ Security Hub + delegação em Organizations
Security Hub agrega findings de todos os serviços em todas as contas com 1 dashboard. Aplica benchmarks (CIS, AWS FSBP).
Alt: Detective — investigação após o fato, não visão de postura.
Cenários arquiteturais
📋 RDS contém dados financeiros — regulação exige criptografia, auditoria de acesso à chave, rotação anual
✓ RDS encrypted com Customer Managed CMK + key rotation + CloudTrail
CMK customer-managed dá controle, rotation automática atende regulação, CloudTrail loga cada Encrypt/Decrypt.
📋 Aplicação lambda precisa acessar senha de DB sem hardcode
✓ Secrets Manager + IAM execution role com secretsmanager:GetSecretValue
Zero credenciais no código/env. Rotation automática. Lambda lê em runtime.
Alt: Parameter Store SecureString — alternativa se rotation não necessária.
📋 API pública global sofre ataque de bots preenchendo formulário de cadastro
✓ CloudFront + WAF com Managed Rule Group 'Bot Control' + rate-based rule
Bot Control ML-based. Rate-based bloqueia IPs que excedem threshold. CloudFront absorve tráfego na borda.
Q&A estilo exame
❓ Uso SSE-KMS e percebo throttling em alta carga. Fix?
Ative S3 Bucket Keys — reduz chamadas KMS em ~99%. Se isso não bastar, pedir aumento de cota KMS via Service Quotas ou usar KMS-managed key separada para cada carga.
❓ Como auditar quem usou uma CMK específica e quando?
CloudTrail registra cada chamada KMS (Encrypt, Decrypt, GenerateDataKey) com principal, timestamp, recurso criptografado. Queries com Athena ou CloudWatch Insights.
❓ Shield Standard ou Advanced para um SaaS B2B pequeno?
Standard é suficiente — já protege CloudFront/Route 53/GA contra DDoS L3/L4 automaticamente, de graça. Advanced só em casos de ataques frequentes ou SLA crítico com clientes.
❓ IAM Database Authentication vs credencial no Secrets Manager?
IAM DB Auth usa token IAM (15min) em vez de senha. Ideal para aplicações dentro da AWS. Sem rotation necessária. Limita a ~200 conexões/s por instância. Secrets Manager com rotation é mais comum em apps legacy.
Perguntas frequentes
❓ O que é cifragem em envelope?
É cifrar o dado com uma chave de dado e cifrar essa chave com a chave mestra do serviço de chaves. Assim o dado grande nunca passa pelo serviço de chaves, só a chave pequena — o que resolve desempenho e limite de tamanho. É o mecanismo por baixo de praticamente toda cifragem gerenciada na AWS.
❓ Chave gerenciada pelo cliente ou pelo serviço?
Do cliente quando você precisa controlar rotação, política de uso, auditoria por chave ou revogar acesso cortando a chave. Do serviço quando basta cifrar e o controle padrão serve. O cenário que exige a do cliente é sempre reconhecível: ele fala de política própria, de rotação ou de acesso entre contas.
❓ Cofre de segredos ou armazenamento de parâmetros?
Cofre quando há rotação automática, segredo compartilhado entre serviços ou replicação entre regiões — e ele custa por segredo. Parâmetros para configuração e para segredo simples, com custo menor e sem rotação nativa. A palavra "rotação" no enunciado decide praticamente sempre.
Fixando
Quiz rápido
Uma aplicação precisa cifrar 5 GB de arquivo. Por que ela não envia o arquivo direto ao KMS?
Quiz rápido
Onde o WAF deve ser associado para barrar ataque com o menor custo?
⚠️
Armadilhas: (1) KMS CMK é region-scoped exceto Multi-Region Keys; (2) Key Policy precede IAM — se a policy não dá acesso, IAM não compensa; (3) deletion tem waiting period mínimo 7d (não “delete agora”); (4) Secrets Manager cobra por segredo, então não crie um por ambiente se pode ser um com paths; (5) WAF em CloudFront escopo CLOUDFRONT; em ALB escopo REGIONAL — não se misturam.
✅
Take-aways: KMS = chaves + envelope encryption; Secrets Manager = credenciais com rotation; Parameter Store = config barato; WAF = L7 rules; Shield = DDoS; GuardDuty/Macie/Inspector = detecção; Security Hub = agregador; CloudTrail = log de API calls; Config = compliance contínuo.
Terminou de ler?
Marcar como concluído registra o XP, mantém sua sequência e coloca 3 cartas deste módulo na fila de revisão espaçada.
Próximos passos sugeridos
Temas deste módulo
Discussão
Carregando comentários…