c1.3 Avalie a postura de segurança cloud
Verifique continuamente suas contas da AWS em relação às melhores práticas de segurança com uma ferramenta de Cloud Security Posture Management (CSPM). O AWS Security Hub CSPM oferece esse recurso de forma nativa.
Guia de implementação
Automatize a avaliação da sua postura de segurança
Ler o CIS AWS Foundations Benchmark e outras melhores práticas e revisar suas contas manualmente não escala. Automatize a avaliação com uma ferramenta de Cloud Security Posture Management (CSPM) para que as configurações incorretas apareçam continuamente, e não apenas em uma revisão anual.
AWS Security Hub CSPM
Nota sobre o nome: o serviço que executa essas verificações de padrões de segurança foi renomeado para AWS Security Hub CSPM (Cloud Security Posture Management) no fim de 2025. Antes era chamado apenas de "AWS Security Hub". O nome "AWS Security Hub" agora designa uma oferta mais ampla de operações de segurança, então este controle se refere especificamente ao Security Hub CSPM.
Habilitar o Security Hub CSPM com seus padrões de segurança (por exemplo, AWS Foundational Security Best Practices e o CIS AWS Foundations Benchmark) identifica suas lacunas em relação às melhores práticas e fornece orientação de remediação. Ele é ativado em poucos cliques e, com a configuração central, você o habilita e gerencia de forma consistente em todas as contas e Regiões a partir de uma conta de administrador delegado.
Aja primeiro no que importa
É um controle detectivo (alinha-se à função Identify do NIST CSF). A detecção só agrega valor se alguém agir, então designe uma pessoa ou equipe de segurança para triar e remediar primeiro as descobertas críticas e de severidade alta e depois seguir adiante. Reporte o security score como KPI e acompanhe a tendência melhorar ao longo do tempo.
Alternativas e complementos
Para avaliações pontuais (em vez de contínuas), a Self-Service Security Assessment tool reúne scanners open source como Prowler e ScoutSuite. O Cloud Custodian pode enviar suas descobertas nativamente ao Security Hub CSPM. CSPMs de terceiros (Prowler, Palo Alto Prisma Cloud, Trend Micro, Check Point CloudGuard, Wiz e outros) são comuns em ambientes multinuvem e também podem centralizar descobertas no Security Hub CSPM.
Complemente com o AWS Trusted Advisor
O AWS Trusted Advisor adiciona uma visão complementar de configurações incorretas e alertas de segurança críticos. Um conjunto básico de verificações de segurança está disponível para todos; clientes com Suporte Business ou Enterprise obtêm o conjunto completo de verificações.
Como validar
- O AWS Security Hub CSPM (ou outro CSPM) está habilitado em todas as contas e Regiões usando configuração central?
- Há uma pessoa ou equipe remediando ativamente as descobertas críticas e de severidade alta?
- O security score é reportado como KPI e a tendência melhora ao longo do tempo?
- Ou está habilitado de forma inconsistente (por exemplo, apenas em produção, ou apenas onde o AWS Config está ativo)?
- Se você não usa um CSPM: alguém revisa regularmente as descobertas do Trusted Advisor, e qual é o seu nível de Suporte (as verificações disponíveis dependem dele)?
Ameaças atendidas
- Configurações incorretas são uma das principais causas de incidentes de segurança na nuvem. Um CSPM como o AWS Security Hub CSPM identifica continuamente os recursos que se desviam das melhores práticas e oferece orientação de remediação, fechando lacunas antes que um adversário as encontre.
Serviços AWS
AWS Security Hub 
AWS Trusted Advisor Preços
As verificações de segurança do Security Hub CSPM são cobradas por verificação, por conta e por Região, em uma escala por faixas: as primeiras 100.000 verificações/mês custam USD 0,001 cada, de 100.001 a 500.000 são USD 0,0008 e acima de 500.000 são USD 0,0005. Uma avaliação gratuita de 30 dias informa o uso que seria cobrado, para você estimar o custo do próximo mês antes de se comprometer. Consulte os preços atuais do Security Hub CSPM.