O Security Hub dá dois passos importantes
O AWS Security Hub sempre foi posicionado como a base de operações de segurança para quem roda na AWS — um ponto central onde os sinais de risco são coletados, priorizados e transformados em ação. Agora, a AWS anunciou duas expansões significativas que ampliam esse papel de forma concreta: proteção dedicada a cargas de trabalho de Inteligência Artificial (IA) e monitoramento de segurança para ambientes Microsoft Azure.
Ambas as direções vieram de demandas reais dos clientes, e juntas representam um movimento claro da AWS em direção a uma plataforma de segurança full-stack — ou seja, que cobre toda a pilha de tecnologia de uma empresa, independentemente de onde ela roda.
Gerenciamento de segurança multicloud para o Microsoft Azure
Muitas organizações já operam em mais de uma nuvem há anos. O problema é que, até agora, o Security Hub era focado exclusivamente no ambiente AWS. Essa lacuna começa a ser fechada: o Security Hub passa a descobrir e monitorar recursos do Microsoft Azure, incluindo Máquinas Virtuais (VMs), imagens de contêiner, Function Apps e identidades.
A avaliação cobre problemas de configuração incorreta, exposição à internet e vulnerabilidades de software, com verificações de postura baseadas no CIS Microsoft Azure Foundations Benchmark™ — um padrão amplamente reconhecido do setor para boas práticas de segurança no Azure.
O que torna isso relevante do ponto de vista operacional é a integração: as descobertas do Azure são priorizadas lado a lado com as descobertas da AWS, usando o mesmo formato de alerta, as mesmas automações e os mesmos fluxos de resposta. O time de segurança passa a trabalhar com uma visão unificada de risco, sem precisar alternar entre ferramentas diferentes para cada ambiente.
Em termos de preço, os recursos do Azure são cobrados nas mesmas tarifas dos recursos equivalentes na AWS, sem taxas adicionais, e há um período de teste gratuito independente de 30 dias. Para mais detalhes, a AWS publicou um post no What’s New.
Vale destacar que essa não é a primeira iniciativa multicloud do Security Hub. Anteriormente, a AWS já havia lançado o Security Hub Extended, que integra soluções de parceiros especializados em nove categorias de segurança — cobrindo endpoints, identidades, e-mail, navegadores e dados em qualquer nuvem ou ambiente on-premises. O suporte nativo ao Azure complementa essa estratégia, ampliando o que as próprias capacidades da AWS conseguem cobrir.
Proteção para cargas de trabalho de IA
O outro grande movimento anunciado é a proteção dedicada a workloads de IA. Equipes de desenvolvimento estão colocando modelos em produção em ritmo acelerado — usando Amazon Bedrock, SageMaker e AgentCore — mas os times de segurança frequentemente não têm visibilidade sobre o que está rodando, quem está invocando modelos e quais agentes estão orquestrando fluxos de trabalho.
Um exemplo citado pela própria AWS ilustra bem o problema: um líder de segurança só descobriu que uma conta de serviço comprometida estava invocando um modelo de fundação milhares de vezes porque o time financeiro questionou a fatura. O incidente de segurança foi identificado por uma revisão contábil — não por uma ferramenta de segurança. Essa lacuna de visibilidade é real e já está gerando custos.
Para endereçar isso, a AWS anunciou três lançamentos relacionados à segurança de IA.
GuardDuty AI Protection (disponível para todos)
O Amazon GuardDuty AI Protection é uma capacidade de detecção de ameaças construída especificamente para Bedrock e SageMaker. Ele detecta invocações anômalas de modelos, ataques de “colheita de custos” — onde credenciais comprometidas são usadas para rodar inferências às custas da vítima — e tentativas de injeção de prompt, por meio da integração com o Bedrock Guardrails.
O mecanismo de detecção analisa dados de eventos do CloudTrail, aprende o padrão normal de invocação em escala e sinaliza desvios que indicam comprometimento ou abuso. A AWS destaca que esse tipo de detecção só é possível na escala da AWS, onde é possível observar o comportamento de milhões de workloads para definir o que é “normal”. O GuardDuty AI Protection está disponível para todos os clientes do GuardDuty com um período de teste gratuito de 30 dias.
Investigações com IA no GuardDuty (em prévia)
As investigações com IA do GuardDuty automatizam boa parte do trabalho manual de investigação que consome o tempo dos times de segurança e contribui para a fadiga de alertas. A capacidade analisa automaticamente as descobertas do GuardDuty e o contexto das contas envolvidas, separando ameaças reais de atividades benignas.
O processo examina o contexto de cada descoberta, atividades relacionadas dos últimos 90 dias, recursos afetados e indicadores de ameaça — usando grafos de conhecimento e inteligência de ameaças para concluir em minutos o que antes levava horas. Cada investigação retorna uma avaliação de disposição com pontuação de confiança, classificação pelo framework MITRE ATT&CK®, evidências de suporte e recomendações claras para suprimir, conter ou remediar o problema. A funcionalidade está disponível em prévia em 10 regiões da AWS.
Inventário de IA no Security Hub (disponível para todos)
O terceiro lançamento é o inventário de IA do Security Hub — uma visão continuamente atualizada de todos os ativos de IA da organização e sua postura de segurança.
O inventário descobre e cataloga cargas de trabalho de IA de duas formas: para serviços gerenciados, ele mapeia recursos do AWS Config no Bedrock, SageMaker e AgentCore; para workloads auto-hospedados e externos, ele identifica modelos rodando em EC2, ECS e EKS por meio de análise em tempo de execução, além de identificar endpoints de modelos externos que suas aplicações consomem.
Cada ativo é mapeado à infraestrutura subjacente — incluindo computação, rede, funções do IAM (Gerenciamento de Identidade e Acesso) e armazenamentos de dados — e correlacionado com sinais de segurança, como descobertas do GuardDuty. Quando o GuardDuty AI Protection sinaliza uma invocação anômala, o inventário de IA mostra imediatamente qual infraestrutura está envolvida, o que está conectado a ela e onde ela se encaixa na ordem de prioridades.
Esse recurso está disponível no plano Security Hub Essentials sem custo adicional.
Uma abordagem diferente para segurança full-stack
O que une todos esses lançamentos é uma filosofia de integração: não é necessário adquirir proteção de IA como um produto separado, nem montar operações isoladas para o Azure. Tudo é adicionado ao Security Hub que a equipe já opera, aparecendo na mesma visão priorizada de risco.
Essa mesma lógica se aplica ao Security Hub Extended, que agora conta com 21 parceiros curados em nove categorias: 7AI, Britive, CrowdStrike, Idira (CyberArk), Cyera, Island, LayerX, Native Security, Noma, Okta, Oligo, Opti, Proofpoint, SailPoint, SentinelOne, Splunk, Sublime, Upwind, Varonis, Zenity e Zscaler. São soluções de referência em endpoint, identidade, e-mail, rede, dados, navegador, nuvem, IA e operações de segurança.
Nenhum desses parceiros está presente por padrão — cada um foi selecionado com base em critérios de qualidade e comprometimento com uma visão compartilhada de segurança empresarial. O benefício comercial do Extended já é tangível hoje: precificação pay-as-you-go, fatura única na AWS, elegibilidade para o EDP (Programa de Desconto Empresarial) e sem compromissos de longo prazo.
Mas o que a AWS descreve como o trabalho mais importante vai além da parte comercial. As descobertas de cada solução parceira são emitidas no formato OCSF (Framework Aberto de Esquema de Cibersegurança) e agregadas no Security Hub. A direção é construir uma correlação única entre todos eles, para que um sinal de uma solução de endpoint, uma de identidade e uma de nuvem se combinem em uma única exposição e um único caminho de ataque — em vez de três alertas desconectados. Para saber mais, a AWS publicou um post no What’s New sobre o Extended.
O que esperar a seguir
O panorama geral está ficando mais claro: o Security Hub está se expandindo em três direções simultaneamente. Primeiro, em cobertura de provedores de nuvem — começando pelo Azure, com outros clouds previstos. Segundo, em tipos de workload — com proteção e inventário específicos para IA. Terceiro, em categorias de segurança — por meio do Extended e seus parceiros curados.
O que começou como uma ferramenta para organizar descobertas de segurança na AWS está se tornando a forma como empresas cada vez maiores operam segurança em toda a sua infraestrutura. A base é detecção e visibilidade. O que a AWS está construindo em cima disso é uma experiência que conecta sinais de todas as fontes confiáveis e ajuda os times a responder mais rápido.
Fonte
Security Hub adds AI workload protection and multicloud support for Microsoft Azure (https://aws.amazon.com/blogs/security/security-hub-adds-ai-workload-protection-and-multicloud-support-for-microsoft-azure/)
Leave a Reply