CF: Distribuições do CloudFront com o registro de logs desativado

Esta regra identifica distribuições Amazon CloudFront que:

• Estão habilitadas (Enabled = True)

• Não possuem Standard Logging ativado

• Atendem aos filtros de tag definidos

O objetivo é identificar distribuições ativas que não possuem geração de logs para auditoria e rastreabilidade.

---

Contexto da regra e impacto no negócio

CloudFront é frequentemente utilizado para:

• Distribuição de conteúdo público

• APIs expostas

• Aplicações web críticas

• Integrações com múltiplas origens

Quando o logging não está habilitado:

• Não há trilha de auditoria de acessos

• Não é possível analisar padrões de tráfego

• Fica mais difícil investigar incidentes

• Compromete requisitos de compliance

Impacto:

• Risco de segurança

• Dificuldade de resposta a incidentes

• Perda de visibilidade operacional

• Não conformidade regulatória

Classificação: SEGURANÇA + GOVERNANÇA

---

Detalhamento técnico da regra

A regra avalia distribuições CloudFront em escopo global.

CloudFront é um serviço global e não regional.

---

Como a regra é executada

1. Listagem de Distribuições

API:

cloudfront:ListDistributions

Utiliza paginação para recuperar todas as distribuições da conta.

---

2. Obtenção de Tags

Para cada distribuição:

cloudfront:ListTagsForResource

Os filtros de tag são aplicados antes da avaliação final.

---

3. Verificação de Status

A distribuição só é analisada se:

Enabled = True

Distribuições desabilitadas são ignoradas.

---

4. Verificação de Logging

Campo analisado no objeto da distribuição:

Logging.Enabled

A distribuição é sinalizada quando:

Enabled = True
AND
Logging.Enabled = False

---

Lógica aplicada

Uma distribuição será sinalizada quando:

Enabled = True
AND
Logging.Enabled = False
AND
Atender aos filtros de tag (se configurados)

---

Campos analisados

Distribuição CloudFront:

• Id

• ARN

• DomainName

• Status

• Enabled

• Logging.Enabled

• Tags

---

Parâmetros considerados na busca

APIs utilizadas:

• cloudfront:ListDistributions

• cloudfront:ListTagsForResource

Parâmetros configuráveis:

• Filtros de tag (inclusão/exclusão)

Não há filtro temporal.

---

Período Avaliado (Filtro Temporal)

Período Avaliado: Não aplicado

A regra avalia o estado atual da configuração da distribuição.

---

Intervalo de Análise

Execução padrão: a cada 8 horas.

---

Impacto Financeiro

Esta regra não possui savings direto.

O objetivo é:

• Garantir visibilidade de acessos

• Melhorar capacidade de investigação

• Atender requisitos de auditoria

• Fortalecer postura de segurança

O impacto financeiro é indireto, podendo ser significativo em caso de incidente ou investigação forense sem logs disponíveis.

---

Exemplo de Impacto

Cenário:

Distribuição:

Enabled = True
Logging.Enabled = False

Resultado:

Distribuição sinalizada como ativa sem logging habilitado.

---

Dicas de uso e boas práticas para o usuário

Recomendações:

• Habilitar Standard Logging para todas as distribuições de produção.

• Direcionar logs para bucket S3 dedicado.

• Implementar retenção e lifecycle no bucket de logs.

Boas práticas:

• Separar bucket de logs por ambiente.

• Ativar compressão de logs.

• Integrar logs com SIEM.

• Monitorar acessos anômalos.

Exceções possíveis:

• Ambientes temporários de teste.

• Distribuições internas sem exposição pública.

• Cenários onde logging é substituído por outra solução centralizada.

---