User's blog

Resumo de Segurança AWS: Agosto de 2026

Written by

Make.com Service User

in

Visão geral do mês

O blog de segurança da AWS encerrou agosto de 2026 com um volume expressivo de conteúdo: 20 posts organizados em sete categorias, 23 boletins de segurança e 17 exemplos de código prontos para uso. Quem acompanha o espaço de segurança em nuvem vai notar um fio condutor claro ao longo do mês — a superfície de ataque de agentes de IA cresceu e ganhou destaque tanto nas novidades quanto nos alertas de vulnerabilidade.

Identidade e Gerenciamento de Acesso

Cinco posts cobriram o tema de identidade em agosto, com destaques práticos para quem gerencia autenticação e acesso em ambientes corporativos.

Amazon Cognito ganha limites provisionados de taxa

O Amazon Cognito passou a oferecer limites provisionados para gerenciamento de taxa de autenticação em modo self-service. O que antes exigia um ticket de suporte com prazo de 10 a 14 dias agora pode ser ajustado em minutos. O post De 2 semanas para 2 minutos: Amazon Cognito lança limites provisionados para gerenciamento de taxa explica como usar o recurso para escalar capacidade sob demanda.

Uma década do AWS Managed Microsoft AD

O AWS Managed Microsoft AD completou 10 anos como serviço de Active Directory totalmente gerenciado na nuvem. O post Uma década de identidade corporativa na nuvem com AWS Managed Microsoft AD celebra a evolução do serviço, que hoje oferece edições Standard, Enterprise e Hybrid, com replicação multi-região e mais de 20 integrações com outros serviços da AWS.

Nova experiência de login no console da AWS

A AWS está implementando gradualmente uma página de login redesenhada, com ponto de entrada unificado por e-mail, opções de provedores de identidade social e uma experiência atualizada para gerenciar múltiplas sessões ativas. Mais detalhes no post Atualizações na experiência de login da AWS.

Console Private Access para VPCs sem internet

O AWS Management Console Private Access passou a suportar VPCs sem conectividade com a internet. Todo o tráfego do console — autenticação, assets estáticos e chamadas de API — é roteado por endpoints do AWS PrivateLink, reforçando o perímetro de dados em ambientes isolados. O post Estenda seu perímetro de dados ao Console de Gerenciamento da AWS com Private Access detalha a configuração.

Governança automatizada do IAM Identity Center

O post Automatize a governança do IAM Identity Center com descoberta e relatórios contínuos mostra como implantar descoberta automatizada e relatórios para aplicações e atribuições do AWS IAM Identity Center em toda a organização, com monitoramento orientado a eventos que valida convenções de nomenclatura e permite aplicação de políticas em tempo quase real.

Proteção de Dados

Cache de chaves KMS em ambientes multi-thread

O post Cache de chaves de dados KMS em ambientes multi-thread: criptografia por tenant para sistemas orientados a eventos em escala aborda o problema de cache stampede em criptografia envelope multi-tenant, apresentando o padrão de keyring hierárquico recomendado pela AWS ou uma abordagem customizada baseada em Caffeine para reduzir custos com o AWS KMS.

Suporte ao protocolo ACME no AWS Certificate Manager

O AWS Certificate Manager passou a suportar o protocolo ACME, permitindo automatizar a emissão e renovação de certificados públicos com clientes padrão como Certbot e cert-manager. O post Automatize certificados com suporte a ACME no AWS Certificate Manager explica os controles corporativos disponíveis para escopo de domínios e visibilidade centralizada.

Remediação de buckets S3 com permissões excessivas

O post Protegendo seus buckets Amazon S3: identificando e remediando acessos com permissões excessivas ensina a detectar e corrigir buckets do Amazon S3 com permissões excessivas em ambientes multi-conta, usando AWS Lambda, AWS Config e AWS Security Hub para monitoramento contínuo.

Fim da validação de domínio por e-mail no ACM

Atenção para um prazo importante: o post AWS Certificate Manager encerrará a validação por e-mail para certificados informa que o ACM descontinuará certificados públicos validados por e-mail até 30 de setembro de 2027, alinhando-se aos padrões do Fórum CA/B. O post traz o cronograma e o passo a passo para migrar para validação por DNS.

Segurança de IA

Quatro posts cobriram segurança de IA em agosto, todos focados no ecossistema do Amazon Bedrock AgentCore.

Autenticação customizada no AgentCore Gateway

O post Implemente autenticação customizada para integração de ferramentas usando request Lambda interceptor no AgentCore Gateway mostra como usar um interceptor Lambda de requisição para integrar mecanismos legados de autenticação, como Basic Auth, isolando credenciais dos agentes de IA com o AWS Secrets Manager.

Propagação de contexto de autorização em agentes de IA

O post Propagação de contexto de autorização de usuário em agentes de IA com Amazon Bedrock AgentCore demonstra como aplicar acesso de menor privilégio em agentes de IA propagando a identidade do usuário até o Amazon DynamoDB, Knowledge Bases e Salesforce — sem embutir lógica de autorização no código do agente.

Estendendo o Bedrock Guardrails para interações com ferramentas

O post Estenda o Amazon Bedrock Guardrails para interações com ferramentas usando o Strands Agents SDK explica como levar os guardrails além do limite do modelo, aplicando-os a chamadas de ferramentas, dados externos e interações com servidores MCP por meio de três pontos de validação construídos com lifecycle hooks do Strands Agents SDK.

Detecção de Ameaças e Resposta a Incidentes

Security Hub Extended inclui segurança de cadeia de suprimentos

O AWS Security Hub Extended adicionou segurança de cadeia de suprimentos como sua décima categoria, com Chainguard e Socket como parceiros curados. O post Security Hub Extended adiciona segurança de cadeia de suprimentos como décima categoria detalha como verificar dependências de código aberto e bloquear pacotes maliciosos por meio de uma única relação de cobrança na AWS.

Correlação de sinais em ataques multi-estágio

O post Detectando ataques multi-estágio na AWS: um guia para correlação de sinais entre serviços ensina a correlacionar sinais do AWS CloudTrail, VPC Flow Logs e logs do Route 53 Resolver para detectar ataques encadeados, combinando contexto de negócio, classificação de dados e janelas de mudança sobre o Amazon GuardDuty Extended Threat Detection.

AWS Continuum integrado a ambientes de desenvolvimento

O post AWS faz parceria com Anthropic e OpenAI para integrar o AWS Continuum a fluxos de trabalho de desenvolvedores anuncia que o AWS Continuum para vulnerabilidades de código agora se integra ao Anthropic Claude Code, OpenAI Codex e Kiro, permitindo que desenvolvedores descubram, priorizem, validem e remediem vulnerabilidades diretamente em seus ambientes de codificação.

Um concorrente direto no Security Hub Extended

O post Convidamos um concorrente direto para o Security Hub Extended. Veja o porquê. explica a decisão da AWS de incluir a Upwind — empresa de segurança em nuvem com foco em runtime — no Security Hub Extended, oferecendo proteção de workloads baseada em eBPF com precificação pay-as-you-go e cobrança unificada na AWS, reforçando a escolha do cliente mesmo onde as capacidades se sobrepõem às da própria AWS.

Segurança de Infraestrutura

AWS Network Firewall passa a contar acertos de regras

O AWS Network Firewall agora rastreia quantas vezes cada regra stateful corresponde ao tráfego. O post AWS Network Firewall agora suporta contagem de acertos de regras mostra como usar o recurso para identificar regras não utilizadas, validar controles de segurança para conformidade e acelerar a resposta a incidentes — sem custo adicional.

Governança e Conformidade

Landing Zone Accelerator e o padrão C5:2020

O post Relatório de avaliação independente do Landing Zone Accelerator para C5:2020 disponível no AWS Artifact anuncia que uma avaliação independente da Schellman analisa como o Landing Zone Accelerator on AWS se alinha aos requisitos do C5:2020, implementando 325 controles de segurança.

Aceleração de ambientes ISM e avaliações IRAP

O post Acelere ambientes prontos para ISM e avaliações IRAP com o Landing Zone Accelerator on AWS apresenta uma nova avaliação independente da gwi.digital que analisa o Landing Zone Accelerator contra 1.081 controles ISM, alcançando 91% de cobertura do escopo endereçável — voltado principalmente para clientes australianos em processo de avaliação IRAP.

Como a Moeve gerencia SCPs em escala

O post Como a Moeve escala a governança AWS com Políticas de Controle de Serviço automatizadas mostra como a empresa gerencia 150 SCPs (Políticas de Controle de Serviço) em mais de 300 contas em três AWS Organizations usando um modelo de governança-como-código: políticas versionadas no Git, implantadas via GitHub Actions e vinculadas dinamicamente com base em metadados de conta durante o onboarding. O Amazon EventBridge e o AWS Lambda fornecem observabilidade em tempo real de cada mudança organizacional.

Boletins de Segurança de Agosto

Em agosto de 2026, a AWS publicou 23 boletins de segurança cobrindo vulnerabilidades em SDKs de código aberto, servidores MCP, ferramentas para desenvolvedores e o ecossistema OpenSearch. O tema dominante foi a superfície de ataque de agentes de IA: bypasses de consentimento por injeção de prompt no Strands Agents Tools permitiam execução de comandos e código; uma referência direta a objetos insegura expunha memória de agentes entre tenants; e falhas de divulgação de credenciais e autorização afetaram os servidores MCP do Amazon MQ, DocumentDB, AWS Transform e o harness do Bedrock AgentCore.

Execução remota de código também apareceu em múltiplos pontos: poluição de protótipo e desserialização Java no OpenSearch, path-traversal para root no amazon-ssm-agent, Zip Slip no awsdac e caminho de busca não controlado no Kiro IDE e CLI no Windows. Outros problemas notáveis incluem verificação de chave de host SSH desabilitada no AWS CLI, falhas de segurança de memória no AWS SDK para C++, escalada de privilégio no FreeRTOS-Kernel e negação de serviço por amplificação de memória no Amazon ion-java.

O fio condutor: autorização insuficiente e validação de entrada na fronteira entre agentes de IA e os sistemas que eles acessam. Todos os patches estão disponíveis — atualize o quanto antes. Consulte os Boletins de Segurança da AWS para detalhes completos.

Exemplos de Código (AWS Samples)

Em agosto, a AWS publicou 17 novos exemplos de código em cinco categorias: governança e conformidade (7), segurança de IA (3), proteção de dados e privacidade (3), identidade e gerenciamento de acesso (2) e segurança de infraestrutura (2). A maioria dos exemplos foca em governar, auditar e proteger agentes de IA construídos sobre o Amazon Bedrock AgentCore.

Governança e Conformidade

  • Agentic Governance Platform: plano de controle nativo AWS para governar agentes de IA com registro centralizado, SSO via Microsoft Entra ID, políticas Cedar e observabilidade com Langfuse, hospedado no Amazon Bedrock AgentCore.
  • Enterprise Agentic AI Platform Accelerator: fundação segura e governada para agentes de IA em produção com stacks CDK modulares cobrindo identidade, gateway, memória, runtime e observabilidade.
  • Video Compliance Agent: pipeline que verifica automaticamente conteúdo de vídeo contra diretrizes de conformidade de transmissão, usando Amazon Bedrock para sinalizar violações potenciais.
  • Intelligent Security for Healthcare APIs: detecção de anomalias comportamentais, classificação de sensibilidade de dados e relatórios de conformidade HIPAA para APIs FHIR, com anonimização de informações de saúde protegidas via Amazon Comprehend Medical e Bedrock Guardrails.
  • Governed Agentic Companion: companion multi-agente com gate de governança sempre ativo que aplica 13 princípios codificados, bloqueando deploys, vazamentos de segredos e respostas sem embasamento.
  • Audit the Agent: pipeline serverless de auditoria executiva diária para agentes de IA (AWS DevOps Agent, AWS Security Agent) usando AWS Step Functions e Lambda, respondendo cinco perguntas: o que o agente acessou, quem autorizou, quanto custou, seu perfil de risco e se há motivo de preocupação.

Segurança de IA

  • Telemetry Enablement for AgentCore CloudFormation: stack único de AWS CloudFormation que habilita logs do Amazon CloudWatch e traces do X-Ray para todos os tipos de recursos do Amazon Bedrock AgentCore.
  • Bedrock Guardrails to OCSF on CloudWatch: transforma eventos de intervenção do Bedrock Guardrails em registros OCSF Detection Finding e os armazena no CloudWatch, permitindo consultas com Amazon Athena.
  • Bedrock Readiness Agent: agente de avaliação somente leitura que analisa seu ambiente Amazon Bedrock em seis dimensões — governança IAM, retenção de dados, headroom de cotas, adequação de modelos, projeção de custos e observabilidade operacional — gerando findings com templates de remediação para CloudFormation e Terraform.

Segurança de Infraestrutura

  • DDoS Guardian: skill que revisa uma web ACL do AWS WAF como sistema — ordem de avaliação, interações entre regras e postura L7 contra DDoS — entregando um relatório HTML com remediações prontas para aplicar. Offline e somente leitura.
  • Biosecurity Screening Policy on Amazon Bedrock AgentCore Gateway: usa políticas Cedar com três camadas independentes de triagem (alinhamento de sequência MMseqs2, similaridade de embedding ESMC-600M e homologia estrutural Foldseek) para bloquear sequências de proteínas de alto risco antes que cheguem a ferramentas downstream.
  • MCP Fraud Investigation Agent: agente de investigação de fraude em e-commerce construído com Strands SDK no Amazon Bedrock AgentCore, com dashboard React no AWS Amplify que transmite o raciocínio do agente token a token.

Identidade

Proteção de Dados

  • Data Residency Chatbot with Amazon Bedrock AgentCore: chatbot em linguagem natural com conformidade de residência de dados, onde todos os dados e inferências de IA permanecem em uma única região AWS, com guard de residência que rejeita qualquer perfil de inferência cross-region.
  • LLM-based PII Detection: detecta informações de identificação pessoal (PII) em texto conversacional usando Amazon Bedrock, com suporte a categorias customizadas, few-shot examples e chunking por limite de palavras para entradas longas.
  • Agentic Data Classification and Redaction: assistente de pesquisa conversacional que classifica documentos automaticamente para MNPI, PII e sensibilidade de segurança, aplicando redação por usuário usando Amazon Bedrock AgentCore, Guardrails e Amazon OpenSearch Serverless.

Conclusão

Agosto de 2026 foi um mês denso em conteúdo de segurança AWS, com foco especial em workloads de IA agêntica em escala corporativa. Os posts e exemplos cobrem desde gates de governança para orquestradores e triagem de biossegurança até pipelines de auditoria executiva diária e telemetria normalizada em OCSF. Para quem trabalha com segurança em ambientes AWS, o mês entregou padrões concretos — com código executável — para console Private Access em VPCs isoladas, ABAC com IAM account access manager, remediação automatizada de menor privilégio via CI/CD e correlação de sinais para detecção de ataques multi-estágio.

Para acompanhar as publicações conforme saem, assine o RSS feed do AWS Security Blog.

Fonte

ICYMI: August 2026 @AWS Security (https://aws.amazon.com/blogs/security/icymi-august-2026-aws-security/)

Comments

Leave a Reply

Your email address will not be published. Required fields are marked *

More posts