c1.1 Atribua contatos de segurança da conta
Mantenha o contato de segurança alternativo atualizado em cada conta para que a AWS possa avisá-lo sobre abuso ou um problema de segurança detectado — por exemplo, uma access key vazada em um repositório de código público.
Guia de implementação
Permita que a AWS entre em contato sobre um problema de segurança
Configure o contato de segurança alternativo em cada conta e monitore essa caixa de correio. A AWS o utiliza para alertá-lo sobre abuso ou possíveis incidentes de segurança que detecta na sua infraestrutura — por exemplo, se uma das suas access keys for exposta em um repositório de código público.
Aponte o contato para uma lista de distribuição de duas ou três pessoas, não para uma única, para que o alerta seja visto mesmo quando alguém estiver de férias. Evite endereços de ex-funcionários: um contato desatualizado é uma falha silenciosa.
Gerencie os contatos de forma central com o AWS Organizations
Você pode definir e atualizar os contatos alternativos (segurança, faturamento, operações) de cada conta membro de forma central a partir da conta de gerenciamento com o AWS Organizations, em vez de entrar em cada conta — e automatizar com a API do Accounts.
Proteja o caminho de recuperação
O e-mail do contato pode ser usado para redefinir a senha do root via "Esqueci minha senha", então use um domínio de e-mail seguro e restrinja quem o controla. Configurar o MFA no root também reforça a recuperação de MFA perdido ou com defeito.
Defina o contato de segurança pela CLI
Defina o contato de segurança alternativo em uma conta (execute a partir da conta, ou passe --account-id a partir da conta de gerenciamento):
aws account put-alternate-contact \
--alternate-contact-type SECURITY \
--name "Lista de distribuição de segurança" \
--email-address security-alerts@example.com \
--phone-number "+1-555-0100" \
--title "Equipe de Segurança"Como validar
- Há contatos de segurança definidos em todas as contas da organização?
- As informações estão atualizadas (não apontam para um ex-funcionário)?
- O contato é uma lista de distribuição para que mais de uma pessoa receba os alertas?
Ameaças atendidas
- Se a AWS não conseguir contatá-lo, um relatório de abuso ou um comprometimento detectado (como uma access key exposta) pode ficar sem ação por mais tempo, dando mais margem a um adversário.
Serviços AWS
AWS Organizations Preços
Atribuir os contatos de segurança da conta é oferecido sem custo adicional — é um recurso da sua conta AWS.