Trilha de estudo
Trilha Engenheiro de Seguranca em Nuvem: tudo o que estudar, tópico por tópico
Avalia seguranca especifica de nuvem — fortalecimento de IAM, CSPM, seguranca de containers e automacao de conformidade em AWS/Azure/GCP.
Resposta curta
Para aprender Engenheiro de Seguranca em Nuvem, percorra 6 módulos e 24 tópicos na ordem em que um apoia o próximo. Comece por IAM & Identidade em Nuvem e siga para Seguranca de Rede & Dados e Postura de Seguranca em Nuvem. Use o mapa como checklist, ou meça seu nível e estude só o que falta.
O que você vai estudar
Os tópicos estão agrupados por módulo. Abra um para ver os objetivos e os conceitos-chave.
1 · IAM & Identidade em Nuvem4 tópicos
Politicas IAM & Privilegio Minimo
Projetar e gerenciar politicas IAM em nuvem que imponham privilegio minimo, incluindo logica de avaliacao de politicas, limites de permissao e revisoes de acesso em AWS/Azure/GCP
Objetivos
- Projetar uma politica IAM que conceda permissoes minimas necessarias para uma carga de trabalho
- Usar o IAM Access Analyzer para identificar politicas excessivamente permissivas
Conceitos-chave
- tipos de politicas IAM
- principio do privilegio minimo
- limites de permissao
- logica de avaliacao de politicas
- analisador de acesso
- funcoes vinculadas a servico
- chaves de condicao
Acesso Entre Contas
Configurar padroes seguros de acesso entre contas usando cadeias de assume-role, politicas baseadas em recursos e AWS Organizations ou Azure Lighthouse para ambientes multi-conta
Objetivos
- Projetar um padrao de acesso entre contas que previna o problema do deputado confuso
- Implementar logging centralizado usando assume role entre contas
Conceitos-chave
- assume role entre contas
- ID externo
- politicas baseadas em recursos
- AWS Organizations
- Azure Lighthouse
- relacoes de confianca
- problema do deputado confuso
Politicas de Controle de Servico (SCPs)
Implementar barreiras organizacionais usando SCPs, Azure Policy ou GCP Organization Policies para impor invariantes de seguranca em todas as contas e projetos
Objetivos
- Projetar uma estrategia de SCP que previna expansao de regioes sem bloquear cargas de trabalho legitimas
- Implementar barreiras que bloqueiem chamadas de API perigosas permitindo acesso de emergencia
Conceitos-chave
- heranca de SCP
- estrategia deny-list vs allow-list
- unidades organizacionais
- Azure Policy
- politicas organizacionais GCP
- padroes de barreira
- ordem de avaliacao de SCP
Identidade Federada (SSO/SAML)
Implementar identidade federada com SAML 2.0, OIDC e SSO para acesso ao console e CLI de nuvem, incluindo gerenciamento de sessao e controle de acesso baseado em atributos
Objetivos
- Projetar uma arquitetura SSO que mapeie grupos corporativos para funcoes em nuvem com ABAC
- Implementar acesso privilegiado just-in-time usando assercoes de identidade federada
Conceitos-chave
- SAML 2.0
- OIDC
- AWS IAM Identity Center
- Azure AD / Entra ID
- GCP Workforce Identity
- ABAC
- tags de sessao
- acesso just-in-time
2 · Seguranca de Rede & Dados4 tópicos
Security Groups & NACLs
Configurar controles de rede stateful e stateless usando security groups e NACLs, incluindo padroes de negacao padrao, regras baseadas em referencia e solucao de problemas de conectividade
Objetivos
- Projetar uma arquitetura de security group que isole camadas web, app e banco de dados
- Solucionar problemas de conectividade de rede causados por regras conflitantes de SG e NACL
Conceitos-chave
- security groups
- NACLs
- stateful vs stateless
- negacao padrao
- regras de entrada/saida
- faixas CIDR
- encadeamento de security groups
Criptografia em Repouso & Transito
Implementar criptografia para dados em repouso (KMS, HSM, server-side/client-side) e dados em transito (TLS, gerenciamento de certificados, mutual TLS) em servicos de nuvem
Objetivos
- Projetar uma hierarquia de chaves KMS com rotacao automatica para uma aplicacao multi-servico
- Implementar criptografia ponta a ponta para dados fluindo entre microsservicos
Conceitos-chave
- gerenciamento de chaves KMS
- criptografia de envelope
- HSM
- criptografia server-side
- criptografia client-side
- terminacao TLS
- rotacao de certificados
- mutual TLS
Arquitetura de Seguranca de VPC
Projetar arquiteturas de VPC seguras com segmentacao adequada, sub-redes privadas, NAT gateways, VPC endpoints e analise de flow logs para conformidade e deteccao de ameacas
Objetivos
- Projetar uma arquitetura de VPC hub-and-spoke com inspecao centralizada
- Analisar VPC flow logs para detectar movimento lateral nao autorizado
Conceitos-chave
- design de VPC
- segmentacao de sub-redes
- NAT gateways
- VPC endpoints
- flow logs
- transit gateway
- private link
- firewall de rede
WAF & Protecao DDoS
Implementar firewalls de aplicacao web e protecao DDoS usando AWS WAF/Shield, Azure Front Door/DDoS Protection ou GCP Cloud Armor com conjuntos de regras personalizadas e limitacao de taxa
Objetivos
- Projetar um conjunto de regras WAF que proteja contra OWASP Top 10 sem bloquear trafego legitimo
- Implementar um runbook de resposta DDoS com escalonamento automatico e atualizacoes de regras WAF
Conceitos-chave
- regras AWS WAF
- regras baseadas em taxa
- grupos de regras gerenciadas
- AWS Shield Advanced
- Azure Front Door WAF
- GCP Cloud Armor
- mitigacao de bots
- bloqueio geografico
3 · Postura de Seguranca em Nuvem4 tópicos
Security Hub / Defender / SCC
Operar ferramentas CSPM nativas de nuvem — AWS Security Hub, Azure Defender for Cloud ou GCP Security Command Center — para agregacao centralizada de achados e pontuacao de postura
Objetivos
- Configurar o Security Hub com agregacao entre contas e triagem automatizada de achados
- Construir insights personalizados que priorizem achados por impacto no negocio
Conceitos-chave
- AWS Security Hub
- Azure Defender for Cloud
- GCP Security Command Center
- pontuacao de seguranca
- agregacao de achados
- formato ASFF
- insights personalizados
- parceiros de integracao
Deteccao de Misconfiguracao
Detectar e prevenir misconfiguracoes em nuvem usando ferramentas como AWS Config, Prowler, ScoutSuite, Checkov e tfsec em infraestrutura como codigo e recursos em execucao
Objetivos
- Implementar um pipeline de deteccao de misconfiguracao multi-camada de IaC a runtime
- Projetar regras Config que detectem acesso publico S3 e remedeiem automaticamente
Conceitos-chave
- regras AWS Config
- Prowler
- ScoutSuite
- Checkov
- tfsec
- deteccao de drift
- controles preventivos vs detectivos
- seguranca shift-left
Conformidade com CIS Benchmark
Implementar e medir conformidade com CIS Benchmark para fundacoes AWS, Azure e GCP, incluindo escaneamento automatizado, gerenciamento de excecoes e coleta de evidencias
Objetivos
- Implementar escaneamento automatizado de CIS Benchmark com rastreamento de excecoes e relatorios
- Projetar um painel de conformidade que rastreie aderencia ao CIS em multiplas contas de nuvem
Conceitos-chave
- CIS Benchmarks
- AWS Foundations Benchmark
- Azure CIS Benchmark
- GCP CIS Benchmark
- escaneamento automatizado de conformidade
- gerenciamento de excecoes
- coleta de evidencias
- conformidade continua
Remediacao Automatizada
Construir pipelines de remediacao automatizada usando Lambda, Azure Functions, Cloud Functions, EventBridge ou Step Functions para corrigir achados de seguranca sem intervencao humana
Objetivos
- Projetar um pipeline de remediacao automatizada com controles de raio de explosao e rollback
- Implementar remediacao orientada a eventos para achados criticos do Security Hub
Conceitos-chave
- remediacao orientada a eventos
- remediacao via Lambda
- workflows Step Functions
- automacao de barreiras
- padroes seguros de remediacao
- mecanismos de rollback
- SLAs de remediacao
- controle de raio de explosao
4 · Seguranca de Containers & Workloads4 tópicos
Escaneamento & Fortalecimento de Imagens
Implementar escaneamento de imagens de container em pipelines CI/CD usando Trivy, Snyk, ECR scanning ou Aqua, alem de fortalecer imagens base com superficies de ataque minimas
Objetivos
- Construir um gate de pipeline CI/CD que bloqueie imagens de container com CVEs criticas
- Projetar uma estrategia de fortalecimento de imagem base usando distroless e builds multi-estagio
Conceitos-chave
- Trivy
- Snyk Container
- escaneamento de imagens ECR
- imagens distroless
- builds multi-estagio
- severidade CVE
- assinatura de imagens
- controladores de admissao
Seguranca em Tempo de Execucao (Falco/Sysdig)
Monitorar workloads de container em tempo de execucao usando Falco, Sysdig ou ferramentas nativas de nuvem para detectar chamadas de sistema anomalas, acesso a arquivos e comportamento de rede
Objetivos
- Escrever regras Falco que detectem mineracao de criptomoeda em workloads de container
- Projetar uma estrategia de monitoramento de seguranca em tempo de execucao para um cluster Kubernetes em producao
Conceitos-chave
- regras Falco
- Sysdig Secure
- monitoramento de chamadas de sistema
- monitoramento de integridade de arquivos
- aplicacao de politicas de rede
- deteccao de anomalias
- eBPF
- perfilamento em tempo de execucao
Seguranca Kubernetes (RBAC/PSP/OPA)
Proteger clusters Kubernetes usando RBAC, Pod Security Standards, OPA/Gatekeeper, politicas de rede e gerenciamento de segredos para ambientes multi-tenant
Objetivos
- Projetar uma estrategia RBAC multi-tenant para Kubernetes com isolamento de namespace
- Implementar politicas OPA Gatekeeper que imponham Pod Security Standards
Conceitos-chave
- Kubernetes RBAC
- Pod Security Standards
- OPA Gatekeeper
- politicas de rede
- gerenciamento de segredos
- service mesh mTLS
- logging de auditoria
- isolamento de namespace
Seguranca da Cadeia de Suprimentos (SBOM)
Implementar seguranca de cadeia de suprimentos de software usando SBOMs, assinatura de imagens (Cosign/Notary), atestacao de proveniencia (SLSA) e rastreamento de dependencias para workloads de container
Objetivos
- Projetar um pipeline de seguranca de cadeia de suprimentos ponta a ponta com SBOM e atestacao
- Implementar autorizacao binaria que permita apenas imagens assinadas em producao
Conceitos-chave
- geracao de SBOM
- assinatura Cosign
- Notary v2
- framework SLSA
- atestacao de proveniencia
- rastreamento de dependencias
- feeds de vulnerabilidade
- autorizacao binaria
5 · Deteccao & Resposta4 tópicos
Analise de CloudTrail / Log de Atividade
Analisar trilhas de auditoria em nuvem (CloudTrail, Azure Activity Log, GCP Audit Log) para detectar acesso nao autorizado, violacoes de politica e padroes suspeitos de chamadas de API
Objetivos
- Escrever consultas Athena para detectar uso nao autorizado de chaves IAM entre contas
- Projetar uma arquitetura de log de auditoria centralizada para um ambiente multi-conta
Conceitos-chave
- eventos CloudTrail
- eventos de gerenciamento vs dados
- Azure Activity Log
- GCP Audit Log
- consultas Athena
- centralizacao de logs
- correlacao de eventos
- chamadas de API anomalas
Deteccao de Ameacas (GuardDuty/Sentinel)
Operar servicos nativos de deteccao de ameacas em nuvem — GuardDuty, Microsoft Sentinel ou GCP Chronicle — para identificar instancias comprometidas, mineracao de criptomoeda e exfiltracao de dados
Objetivos
- Configurar GuardDuty em uma Organization com roteamento automatizado de achados
- Projetar workflows de triagem de alertas que reduzam fadiga por falsos positivos
Conceitos-chave
- tipos de achados GuardDuty
- Microsoft Sentinel
- GCP Chronicle
- feeds de inteligencia de ameacas
- regras de supressao
- habilitacao multi-conta
- deteccao personalizada de ameacas
- severidade de achados
Forense em Nuvem
Conduzir investigacoes forenses em ambientes de nuvem — preservacao de evidencias, aquisicao de disco/memoria, reconstrucao de linha do tempo e cadeia de custodia em infraestrutura efemera
Objetivos
- Executar uma investigacao forense de uma instancia EC2 comprometida preservando a cadeia de custodia
- Reconstruir uma linha do tempo de ataque usando CloudTrail, VPC Flow Logs e artefatos do sistema
Conceitos-chave
- preservacao de evidencias
- forense de snapshot EBS
- aquisicao de memoria
- reconstrucao de linha do tempo
- cadeia de custodia
- evidencia volatil
- estacao de trabalho forense
- retencao legal
Resposta Automatizada a Incidentes
Construir playbooks automatizados de resposta a incidentes usando Step Functions, Logic Apps ou plataformas SOAR para conter ameacas, isolar recursos e notificar partes interessadas
Objetivos
- Projetar um playbook automatizado de resposta a incidentes que isole instancias comprometidas em minutos
- Construir um workflow Step Functions que orquestre contencao, coleta de evidencias e notificacao
Conceitos-chave
- integracao SOAR
- contencao automatizada
- isolamento de instancia
- revogacao de credenciais
- playbooks Step Functions
- integracao PagerDuty/OpsGenie
- automacao de runbook
- workflows de escalonamento
6 · Governanca & Conformidade4 tópicos
Conformidade como Codigo
Implementar requisitos de conformidade como politicas programaticas usando OPA, Sentinel, AWS Config ou frameworks personalizados que integrem em pipelines CI/CD
Objetivos
- Escrever politicas OPA que imponham padroes de criptografia e tagueamento em planos Terraform
- Projetar um pipeline de conformidade como codigo que valide infraestrutura antes da implantacao
Conceitos-chave
- politica como codigo
- OPA Rego
- HashiCorp Sentinel
- regras personalizadas AWS Config
- gates de politica CI/CD
- drift de conformidade
- automacao de evidencias
- conformidade continua
Automacao SOC 2 / HIPAA / PCI-DSS
Automatizar coleta de evidencias e mapeamento de controles para conformidade SOC 2 Type II, HIPAA e PCI-DSS usando ferramentas nativas de nuvem e plataformas GRC
Objetivos
- Mapear servicos e configuracoes AWS para criterios de servico de confianca SOC 2
- Projetar coleta automatizada de evidencias que satisfaca requisitos de auditores para HIPAA
Conceitos-chave
- controles SOC 2 Type II
- salvaguardas HIPAA
- requisitos PCI-DSS
- mapeamento de controles
- coleta de evidencias
- trilha de auditoria
- plataformas GRC
- monitoramento continuo
Governanca de Seguranca Multi-Conta
Projetar e operar governanca de seguranca multi-conta usando AWS Organizations, Azure Management Groups ou GCP Resource Hierarchy com aplicacao centralizada de politicas
Objetivos
- Projetar uma landing zone multi-conta com baselines de seguranca e vending automatizado de contas
- Implementar governanca centralizada de seguranca em 100+ contas com administracao delegada
Conceitos-chave
- AWS Organizations
- Azure Management Groups
- GCP Resource Hierarchy
- vending de contas
- logging centralizado
- baseline de seguranca
- administrador delegado
- heranca de barreiras
Padroes de Arquitetura de Seguranca em Nuvem
Projetar arquiteturas de referencia de seguranca para workloads em nuvem incluindo zero trust, defesa em profundidade, servicos compartilhados e planos de controle de seguranca para implantacoes empresariais
Objetivos
- Projetar uma arquitetura de referencia zero trust para uma implantacao empresarial multi-nuvem
- Criar um registro de decisao de arquitetura de seguranca para migracao de perimetro para zero trust
Conceitos-chave
- arquitetura zero trust
- defesa em profundidade
- plano de controle de seguranca
- servicos de seguranca compartilhados
- arquiteturas de referencia
- modelagem de ameacas para nuvem
- registros de decisao de seguranca
- estrategia de seguranca multi-nuvem
Níveis: Júnior, Pleno, Sênior e Especialista
Explique com suas palavras
Corrigido por IA · sem cadastro · 1 perguntaSem alternativas para chutar: você escreve, a IA corrige com a rubrica do tópico e diz em que nível sua resposta está.
Já estuda Engenheiro de Seguranca em Nuvem?
A avaliação mede tópico por tópico, e o plano pula o que você já sabe.
Aberto para ler. A conta só é necessária para ser medido.
Perguntas frequentes
Por onde começar a estudar Engenheiro de Seguranca em Nuvem?
Comece por IAM & Identidade em Nuvem: Politicas IAM & Privilegio Minimo, Acesso Entre Contas e Politicas de Controle de Servico (SCPs). O mapa ordena os tópicos pelo que depende de quê, então cada um prepara o seguinte.
Quanto tempo leva uma avaliação completa de Engenheiro de Seguranca em Nuvem?
Uma avaliação completa desta trilha leva cerca de 50 minutos. O tempo de estudo depende de onde você começa; o diagnóstico mostra quais tópicos você pode pular.
Preciso de conta para usar esta página?
Não. O mapa, os objetivos e os conceitos-chave são abertos. A conta só é necessária para ser medido, ver seu gap por tópico e receber um plano.