Reduzir o escopo de gestão

Pelo modelo de responsabilidade compartilhada, o tamanho da sua parte depende do serviço escolhido. Em uma instância Amazon EC2, você cuida do sistema operacional convidado (incluindo patches), de todo software instalado e da configuração dos security groups. Em serviços abstratos como Amazon S3 e Amazon DynamoDB, a AWS opera a infraestrutura, o sistema operacional e a plataforma; você cuida dos dados, da criptografia e das permissões.

A boa prática SEC01-BP05 pede que você avalie se dá para reduzir o escopo de gestão de segurança usando serviços gerenciados, que deslocam para a AWS tarefas como provisionamento, instalação de software, patching e backups. O tempo liberado vai para o que gera mais valor ao negócio.

Banco de dados: EC2 + MySQL → Amazon RDS → Aurora Serverless

Opção	O que continua com você
MySQL instalado em EC2	Patches do SO e do MySQL, hardening do SO, backups, alta disponibilidade, monitoramento do host, rede e acesso.
Amazon RDS for MySQL	Escolher a janela de manutenção e quando aplicar atualizações; a AWS executa as atualizações de SO e do motor. Você mantém configuração, acesso, criptografia e rede.
Aurora Serverless	O mesmo do RDS, sem dimensionar capacidade: ela é ajustada automaticamente conforme a demanda.

Site estático: servidor web → Amazon S3 + Amazon CloudFront

Em vez de manter um servidor com Nginx, SO e certificados, publique os arquivos em um bucket S3 privado servido pelo CloudFront com origin access control (OAC), que a AWS recomenda em vez do antigo OAI. Some a superfície de SO e de servidor web; ficam com você a política do bucket, o bloqueio de acesso público e a configuração da distribuição.

Tarefa agendada: cron em EC2 → EventBridge Scheduler + AWS Lambda

Uma instância ligada 24 horas só para rodar um script às 2h é uma máquina inteira para corrigir e proteger. O Amazon EventBridge Scheduler é um agendador serverless que aceita expressões cron e rate e pode invocar uma função Lambda. Nos runtimes gerenciados, o Lambda aplica por padrão as atualizações de segurança do runtime. Ficam com você o código, as dependências, as permissões da função e a migração para um runtime suportado antes que o atual seja descontinuado.

• Menos superfície de ataque: sem SSH, sem SO exposto, sem agentes para manter.
• Menos patching: correções de SO e de plataforma passam a ser executadas pela AWS.
• Menos escopo de conformidade: controles herdados da AWS podem ser comprovados com os relatórios do AWS Artifact, se a sua equipe de conformidade aceitar.
• Mais padronização: menos configurações artesanais divergindo entre ambientes.

• Custo total: compare o preço do serviço com o custo de operar a alternativa (TCO), incluindo as horas de patching, backup e resposta a incidentes que o Well-Architected diz para não esquecer.
• Controle e flexibilidade: alguns casos exigem acesso ao SO, extensões específicas ou versões que o serviço gerenciado não oferece.
• Migração: na hora de decidir entre rehost, replatform ou refactor, considere a redução de risco e de gestão; às vezes investir mais no início economiza muito depois.
• Novas habilidades: o time precisa entender o modelo do serviço (limites, configurações de segurança, eventos).

Cada serviço gerenciado ou serverless que substitui software operado por você reduz a superfície de ataque, o patching e o escopo de conformidade. Pese o TCO e a flexibilidade, mantenha a configuração segura (ela continua sua) e acompanhe o ciclo de vida das versões pelo AWS Health.

SEC01-BP05 Reduce security management scope — risco exposto se não for estabelecida: médio.

• Shared Responsibility Model
• Maintaining a DB instance — Amazon RDS
• Restrict access to an Amazon S3 origin — CloudFront
• What is Amazon EventBridge Scheduler?