Wally Data

Fala meus jovens, tudo bem com vocês? Espero que sim !

Na atualidade com toda essa digitalização, tudo sendo tratado através de aplicativos, sites, entre outros vários canais digitais, sempre temos que ter o discernimento para sempre nos mantermos seguros desde não escrever senha do cartão de crédito no cartão de crédito até mesmo mantermos senhas de canais digitais sempre o mais difícil possível de haquear, e isso não seria diferente na AWS, principalmente pois se houver alguma invasão por força bruta, o prejuízo pode ser catastrófico pois se o hacker tiver credenciais com nível de acesso alto, poderá gerar um grande rombo financeiro na sua fatura. Este risco não se limita em ambientes corporativo mas também em contas pessoais onde colocamos cobrança automática pelo cartão de crédito.

Para que estes riscos sejam amenizados, o que pode ser feito é definir uma política de senha forte para sua conta AWS, desta forma todo e qualquer usuário AWS necessitará seguir tais políticas de senha, evitando assim cenários de invasão por força bruta.

Hoje veremos o passo a passo de como implementar esta política. Antes de começar, preciso salientar que para execução do procedimento deste post, é necessário ter permissão administrativa sobre a conta AWS, reforço que não utilizem conta root para gerenciamento de recursos.

Agora vamos para a parte prática da coisa.

Acesse a console AWS, pesquise e selecione pelo serviço “IAM” e navegue na aba “Account settings”:

Verás que já existe uma política padrão da AWS sendo usada, porém indico que utilize uma política personalizada para melhorar ainda mais a segurança do ambiente, e para isso clique no botão “Edit/Editar” e em seguida selecione botão “Custom/Personalizado”.

Na personalização, é possível fazer várias definições para um gerenciamento de senhas mais seguro, vamos repassar cada uma delas:

“Password minimum length“: Refere-se a quantidade mínima do tamanho de sua senha. Esta definição não possui uma regra geral, entretanto boa parte dos especialistas em segurança de TI indicam utilizar mínimo de 12 caracteres para senhas.

Agora veremos as definições de regras que determina o quão forte sua senha será, já que apenas quantidade de caracteres, se não definidos outros requisitos acaba não adiantando muito para tentativas de ataque bruto. As definições abaixo são recomendadas por todos os especialistas em segurança de dados:

“Require at least one uppercase letter from the Latin alphabet (A-Z)”: Define se será requerido uso de pelo menos uma letra maiúscula na definição da senha.

“Require at least one lowercase letter from the Latin alphabet (a-z)”: Estipula se será requerido uso de pelo menos uma letra minúscula na definição da senha.

“Require at least one number”: Determina se será requerido uso de pelo menos um número na definição da senha.

“Require at least one non-alphanumeric character”: Define se será requerido uso de pelo menos um caracter especial (Não alfa numérico) na definição da senha limitados a ! @ # $ % ^ & * ( ) _ + – = [ ] {} | ‘

Agora que a senha está forte, vamos ver as opções que temos para uma melhor gestão do ciclo de vida destas senhas que inclusive é indicado o uso pela grande maioria dos especialistas em segurança de dados:

“Turn on password expiration”: Poderá ser definido a quantidade de dias para que a senha expire podendo ser entre 1 e 1095 dias.

“Password expiration requires administrator reset”: Habilitando esta opção, os usuários comuns não poderão trocar sua própria senha, será necessário contatar área ou pessoa que possua permissões administrativas na conta AWS. Esta opção se diz respeito apenas quando a senha estiver expirada. Tomar cuidado com esta opção para não sobrecarregar o time que gerencia os acessos a sua conta AWS.

“Allow users to change their own password”: Com esta opção habilitada, os usuários comuns poderão trocar sua senha a qualquer momento independente de a mesma ainda não estiver expirada.

“Prevent password reuse”: Estipula a quantidade de senhas anteriores que não poderão ser reutilizadas podendo ser definido entre 1 e 24 últimas senhas.

Por último, mas não menos importante, mesmo não sendo uma indicação listada, minha maior sugestão é que não utilizem senhas para gerenciamento de ambiente corporativo as mesmas usadas em sites comuns ou de redes sociais.

Espero que tenham curtido.
Grande abraço e até breve!