MONOPOLY — Lista de Verificação de Endurecimento de Segurança

Quando Usar

• Use esta habilidade quando a tarefa corresponder a esta descrição: Revisar uma arquitetura com escopo contra controles baseados em evidências de rede, identidade, dados, segredos, dependências e resposta a incidentes.

Segurança de Rede

• Todos os serviços dentro da VPC privada; apenas LB/API GW expostos publicamente
• Grupos de segurança seguem o princípio do menor privilégio (negar tudo, permitir portas/CIDRs específicos)
• NACLs como camada secundária de defesa
• WAF habilitado com conjunto de regras OWASP top 10
• Proteção contra DDoS (Cloudflare / AWS Shield Standard no mínimo)
• VPN ou Private Link para comunicação entre serviços em múltiplas regiões

Autenticação e Autorização

• Tempos de vida de tokens, renovação e revogação seguem um modelo de ameaças; tempos de vida de exemplo não são requisitos universais
• OAuth 2.0 / OIDC para autenticação de terceiros
• MFA aplicado para contas de administrador
• RBAC ou ABAC para autorização
• Sem segredos no payload JWT (use referências opacas)
• Estratégia de revogação de token (lista de bloqueio Redis ou TTL curto)

Segurança de API

• Limitação de taxa no gateway de API (por usuário, por IP, por endpoint)
• Validação e sanitização de entrada em todos os endpoints
• Prevenção de injeção de SQL (consultas parametrizadas, ORM)
• Prevenção de XSS (codificação de saída, cabeçalhos CSP)
• Proteção CSRF (cookies SameSite, tokens CSRF)
• CORS corresponde ao modelo de confiança; APIs autenticadas privadas diferem de recursos públicos não autenticados
• Cabeçalhos de segurança HTTP (HSTS, X-Frame-Options, X-Content-Type-Options)

Segurança de Dados

• Criptografia em trânsito (TLS 1.2+ em todos os lugares, TLS 1.3 preferencial)
• Criptografia em repouso (AES-256 para bancos de dados, SSE do S3)
• Dados de PII identificados, minimizados e criptografados em nível de campo onde necessário
• Backups de banco de dados criptografados
• Nenhum dado sensível em logs (PII, senhas, tokens, números de cartão)

Gerenciamento de Segredos

• Sem segredos em código ou variáveis de ambiente em texto plano
• Gerenciador de segredos em uso (HashiCorp Vault, AWS Secrets Manager, GCP Secret Manager)
• Rotação de segredos automatizada
• Funções IAM para autenticação de serviço a serviço (não credenciais estáticas)

Cadeia de Suprimentos e Dependências

• Verificação de dependências (Snyk, Dependabot, npm audit)
• Verificação de imagem de contêiner (Trivy, verificação ECR)
• Fixar versões de dependência em produção
• SBOM (Software Bill of Materials) gerado para conformidade

Resposta a Incidentes

• Logs de auditoria para todas as ações administrativas e acesso a dados
• Alertas sobre padrões de acesso anômalos
• Manual de resposta a incidentes documentado
• Processo de avaliação e notificação de violação corresponde à jurisdição aplicável, gatilho, destinatário e prazo legal
• Testes de penetração regulares agendados

Conformidade (conforme aplicável)

• GDPR: base legal, transparência, direitos, retenção e salvaguardas de transferência legal onde aplicável
• PCI-DSS: estabelecer escopo de dados de cartão e armazenamento atual, mascaramento, criptografia e restrições de dados de autenticação sensíveis
• HIPAA: se dados de saúde — criptografia, logs de auditoria, BAA com fornecedores
• SOC 2 Tipo II: controle de acesso, disponibilidade, evidência de confidencialidade

Exemplo

Solicitação do usuário:

Revise esta implementação do Monopoly em relação à sua lista de verificação de segurança e relate cada controle falho com evidências.

Limitações

• Este é um documento de referência e pode não cobrir todos os casos extremos. Sempre verifique as arquiteturas antes da produção.

Esta lista de verificação não é uma certificação, aconselhamento jurídico ou permissão para aplicar controles. Verifique os padrões primários atuais e a arquitetura real antes de marcar a conformidade; um WAF, ORM, token ou banco de dados criptografado não prova o controle correspondente. Não force todos os produtos de nuvem em um sistema menor. Vincule cada descoberta à revisão exata, risco alcançável e evidência observada.