Acompanhar ameaças e recomendações

O cenário muda toda semana: uma vulnerabilidade nova numa biblioteca que você usa, uma técnica de ataque que passou a ser explorada, um recurso de segurança novo que resolve um problema antigo. A boa prática SEC01-BP04 pede um mecanismo confiável e repetível para ficar informado e, principalmente, para agir sobre o que chega.

Os antipadrões citados pelo Well-Architected são três: não ter esse mecanismo; manter inventário manual de tecnologias e dependências que alguém precisa revisar à mão; e não ter como atualizar workloads e dependências para as versões que corrigem ameaças conhecidas.

Fonte	O que traz
AWS Security Bulletins	Vulnerabilidades que afetam serviços, softwares e produtos da AWS, classificadas como Important (exigem avaliação ou mitigação) ou Informational. Tem feed RSS.
AWS Security Blog	Guias, boas práticas, lançamentos e análises de inteligência de ameaças da Amazon.
What's New with AWS	Todos os lançamentos e novos recursos, com feed RSS. Filtre por segurança.
AWS Health	Eventos específicos da sua conta: notificações de segurança, mudanças agendadas e fim de suporte de versões.
CVE e NVD	O CVE dá o identificador público de cada vulnerabilidade; o NVD, do NIST, enriquece os registros com pontuação CVSS e dados do produto afetado.
CISA KEV	Catálogo de vulnerabilidades com exploração conhecida em ataques reais. Ótimo filtro de prioridade.
MITRE ATT&CK	Base de conhecimento de táticas, técnicas e procedimentos (TTPs) de adversários, incluindo uma matriz para nuvem.
OWASP Top 10	Os riscos mais críticos em aplicações web, citado pelo próprio Well-Architected.

A lista completa com frequência sugerida está no complemento Fontes de informação de segurança.

Boletins e blogs são genéricos; o AWS Health fala dos seus recursos. Cada evento tem uma categoria (como account notification, issue ou scheduled change), um campo de actionability (por exemplo ACTION_REQUIRED) e uma lista de personas, incluindo SECURITY. Um exemplo de notificação da conta é AWS_S3_OPEN_ACCESS_BUCKET_NOTIFICATION, que avisa sobre bucket que pode permitir acesso público.

O AWS Health Dashboard e a entrega de eventos pelo Amazon EventBridge não têm custo adicional. Com o EventBridge, você encaminha eventos para um canal do time ou abre um ticket automaticamente. Em organizações, a visão organizacional agrega os eventos de todas as contas.

Nem todo CVE é problema seu. Para cada item, responda em ordem:

1. Eu uso isso? O produto e a versão estão no meu inventário? Sem inventário automático, essa pergunta não tem resposta rápida.
2. Está exposto? O componente recebe tráfego da internet ou processa dados sensíveis?
3. Está sendo explorado? Se aparece no CISA KEV, a prioridade sobe.
4. Qual a severidade? Use o CVSS como um dos fatores, não como o único.
5. Quem é responsável? Em serviço gerenciado, a correção pode ser da AWS; em EC2, é sua.

• Corrigir: aplicar o patch ou atualizar a dependência pelo processo padrão de gestão de frota e patching (veja o pilar de Excelência Operacional).
• Atualizar o modelo de ameaças: uma técnica nova do ATT&CK aplicável ao seu workload vira uma ameaça a avaliar na modelagem.
• Atualizar objetivos e controles: se o ataque explora algo que você não verifica, crie o controle (ex.: uma regra do AWS Config) e registre no template.
• Avaliar o novo recurso: um lançamento no What's New pode substituir um controle manual; isso é assunto da lição 15.

Assine as fontes certas (boletins e blog da AWS, What's New, AWS Health, CVE/NVD, KEV, ATT&CK), trie pelo que você usa, pelo que está exposto e pelo que está sendo explorado, e transforme o relevante em ação com dono e prazo. Prefira serviços que se atualizam sozinhos para reduzir o trabalho manual.

SEC01-BP04 Stay up to date with security threats and recommendations — risco exposto se não for estabelecida: alto.

• AWS Security Bulletins
• Concepts for AWS Health
• CISA Known Exploited Vulnerabilities Catalog
• NVD — Vulnerability Metrics (CVSS)