AWS WAF, Shield e GuardDuty: a Camada de Segurança Perimetral na AWS

No primeiro trimestre de 2020, a AWS mitigou um ataque de reflexão CLDAP com pico de 2,3 Tbps e 293,1 milhões de pacotes por segundo — um volume de tráfego malicioso que nenhuma equipe de rede humana consegue filtrar em tempo real. O dado está no AWS Shield Threat Landscape Report, e ele resume por que a proteção de borda na nuvem deixou de ser uma camada opcional: em escala AWS, quem não tem mitigação automatizada rodando 24×7 simplesmente não sobrevive ao pico. Este guia explica como o AWS WAF, o AWS Shield e o Amazon GuardDuty formam essa camada — o que cada um bloqueia, onde eles se sobrepõem, quanto custam de verdade e como decidir o que ativar primeiro.

Vale uma distinção antes de começar: este artigo é sobre proteção de borda contra ataque externo — DDoS, exploração de aplicação web, inteligência de ameaça. Não é sobre quem tem permissão para acessar o quê dentro da conta AWS; esse tema, incluindo IAM, MFA e princípio do menor privilégio, já foi coberto no guia de Zero Trust e IAM Avançado na AWS. As duas camadas são complementares e, na prática, uma empresa madura em segurança na nuvem precisa das duas — mas são projetos, times e decisões diferentes.

O Que São AWS WAF, Shield e GuardDuty — e Como Formam uma Camada Só

Os três serviços atacam o mesmo problema geral — tráfego malicioso vindo de fora — em pontos diferentes da pilha:

• AWS WAF é um firewall de aplicação web: inspeciona o conteúdo de cada requisição HTTP/HTTPS (camada 7) e decide permitir, bloquear, contar ou desafiar com CAPTCHA, com base em regras que você define ou em conjuntos de regras gerenciadas pela AWS.
• AWS Shield protege contra ataques de negação de serviço distribuída (DDoS), principalmente nas camadas de rede e transporte (3 e 4), com uma camada adicional de mitigação em nível de aplicação na versão paga.
• Amazon GuardDuty não bloqueia nada em tempo real — ele monitora continuamente logs e eventos da conta (CloudTrail, VPC Flow Logs, DNS, atividade de contêiner, banco de dados) e usa machine learning e feeds de threat intelligence para gerar alertas (findings) sobre atividade suspeita, seja ela originada de fora ou já em execução dentro do ambiente.

A documentação da AWS descreve os três como peças de uma mesma frente: "You can use AWS WAF, AWS Shield, and AWS Firewall Manager together to create a comprehensive security solution." Na prática, o WAF e o Shield atuam como a barreira que barra o ataque na borda, e o GuardDuty funciona como o observador que percebe o que passou — ou o que já estava lá dentro tentando se mover.

AWS WAF: Como o Firewall de Aplicação Web Bloqueia Ataques na Camada 7

O AWS WAF protege um conjunto específico de recursos: distribuições do Amazon CloudFront, Application Load Balancer, API REST do Amazon API Gateway, API GraphQL do AWS AppSync, user pool do Amazon Cognito, serviço do AWS App Runner, gateway do Amazon Bedrock AgentCore, instância do AWS Verified Access e aplicações no AWS Amplify. Se o seu workload não passa por nenhum desses pontos, o WAF simplesmente não tem onde atuar — é uma ferramenta de borda de aplicação, não um firewall de rede genérico.

A unidade central de configuração é a Web ACL (web access control list): um conjunto de regras associado a um recurso protegido. Dentro dela, cada regra avalia características da requisição — endereço IP de origem, país, valores de cabeçalho, presença de padrões de SQL injection ou cross-site scripting, tamanho da requisição — e decide permitir, bloquear, contar (para testar uma regra nova sem afetar tráfego real) ou desafiar com CAPTCHA ou challenge silencioso contra bots.

Duas capacidades merecem destaque específico:

• Regras baseadas em taxa (rate-based rules): bloqueiam ou contam requisições que excedem um número definido em um intervalo de um ou cinco minutos — a defesa mais direta contra tentativas de força bruta e DDoS em camada de aplicação.
• AWS Managed Rules: grupos de regras mantidos pela própria AWS ou por parceiros no AWS Marketplace, cobrindo padrões conhecidos de ataque (OWASP Top 10, bots conhecidos, IPs de reputação ruim), sem que sua equipe precise escrever e manter cada assinatura manualmente.

Sobre o preço, a página oficial de preços do AWS WAF é direta: US$ 5,00 por Web ACL/mês, US$ 1,00 por regra/mês, US$ 0,60 por milhão de requisições processadas/mês e US$ 1,00/mês por cada grupo de regras gerenciadas ativado. Recursos avançados têm cobrança própria: Bot Control custa US$ 10,00/mês por Web ACL mais US$ 1,00 por milhão de requisições (com 10 milhões de requisições gratuitas por mês na versão Common), e o CAPTCHA é cobrado a US$ 0,40 por mil tentativas. Não há taxa de adesão nem compromisso mínimo — o modelo é pay-as-you-go, coerente com o resto da AWS.

!Painel de status de segurança representando regras e Web ACLs do AWS WAF filtrando tráfego HTTP

Um erro comum em implantações novas é ativar regras gerenciadas direto em modo Block sem passar primeiro pelo modo Count. Regras genéricas de OWASP geram falso positivo contra aplicações legadas com URLs incomuns ou payloads grandes — testar em modo de contagem por alguns dias antes de bloquear evita que o WAF vire a causa da indisponibilidade que ele deveria prevenir.

AWS Shield Standard e Advanced: Proteção Contra Ataques DDoS

O AWS Shield Standard é ativado automaticamente, para todo cliente AWS, sem custo adicional. Ele cobre os eventos de DDoS mais comuns nas camadas de rede e transporte — SYN flood, UDP flood, ataques de reflexão — e já reduz consideravelmente a superfície de risco sem exigir nenhuma configuração.

O AWS Shield Advanced é o upgrade pago, com escopo mais amplo: mitigação automática também na camada de aplicação, visibilidade detalhada de cada evento de ataque, acesso à equipe de resposta especializada da AWS (o Shield Response Team, ou SRT) e proteção financeira contra picos de custo de escala (scaling) gerados durante um ataque real. Ele cobre instâncias EC2, load balancers, distribuições CloudFront, zonas hospedadas no Route 53 e aceleradores padrão do AWS Global Accelerator.

O preço do Shield Advanced pesa na decisão: US$ 3.000 por mês, com assinatura de compromisso mínimo de um ano e renovação automática (é possível cancelar em até 30 dias antes da renovação). Além da assinatura, há cobrança por uso de dados: US$ 0,025/GB via CloudFront, US$ 0,050/GB via Elastic Load Balancing ou EC2, e US$ 0,050/GB via Global Accelerator. Um benefício que ajuda a compensar o custo: contas com Shield Advanced ativo recebem até 50 bilhões de requisições WAF por mês sem custo adicional nos recursos protegidos — para uma operação que já usa WAF pesadamente, isso reduz boa parte da conta de requisições.

!Profissional monitorando tela à noite representando a mitigação contínua de ataques DDoS pelo AWS Shield

Na prática, US$ 3.000/mês só se justifica para quem tem exposição real a ataques direcionados — aplicação voltada ao público com marca visível, e-commerce em data de pico, fintech, ou operação que já sofreu incidente. Para a maioria das empresas de porte médio, o Shield Standard combinado com um WAF bem configurado já cobre o risco real; o Advanced é uma decisão de apetite a risco, não um padrão universal.

Amazon GuardDuty: Detecção Contínua de Ameaças com IA e Threat Intelligence

O GuardDuty resolve um problema diferente do WAF e do Shield: ele não impede a entrada de tráfego malicioso, ele detecta comportamento anormal depois que algo já está acontecendo — seja um ataque externo em andamento, uma credencial comprometida ou uma instância minerando criptomoeda sem autorização.

Segundo a documentação do Amazon GuardDuty, o serviço usa feeds de threat intelligence (listas de IPs e domínios maliciosos, hashes de arquivo conhecidos) combinados a modelos de machine learning para identificar atividade suspeita em quatro categorias principais: credenciais AWS comprometidas ou exfiltradas; exfiltração e destruição de dados que podem indicar ransomware; mineração de criptomoeda não autorizada em instâncias EC2 e workloads de contêiner; e presença de malware em instâncias EC2, contêineres e novos objetos enviados a buckets S3.

Ao ativar o GuardDuty, ele já começa a analisar automaticamente três fontes de dados fundamentais sem nenhuma configuração extra: eventos de gerenciamento do AWS CloudTrail, VPC Flow Logs e logs de consulta DNS. A partir daí, planos de proteção opcionais ampliam a cobertura: logs de auditoria do Amazon EKS, atividade de login do Amazon RDS e Aurora, eventos de dados do S3 no CloudTrail, volumes EBS, Runtime Monitoring (EKS, ECS-Fargate e EC2) e, mais recentemente, atividade de workloads de IA no Amazon Bedrock e SageMaker. Um recurso chamado Extended Threat Detection correlaciona eventos isolados ao longo do tempo e de múltiplos recursos para identificar ataques em múltiplos estágios — sem custo adicional, incluso automaticamente.

!Analista de SOC observando múltiplos monitores representando a detecção contínua de ameaças do Amazon GuardDuty

Segundo a página de preços do Amazon GuardDuty, o modelo de cobrança acompanha o consumo de cada fonte: eventos de CloudTrail são cobrados por milhão de eventos/mês, VPC Flow Logs e logs de DNS por GB processado (com desconto progressivo — na região Leste dos EUA, US$ 1,00/GB nos primeiros 500 GB, caindo para US$ 0,50/GB e depois US$ 0,25/GB), e o Runtime Monitoring por vCPU/mês. Toda conta nova recebe um teste gratuito de 30 dias ao ativar o serviço, cobrindo praticamente todos os planos de proteção — tempo suficiente para estimar o custo real antes de decidir quais fontes vale manter ativas em produção.

O GuardDuty se integra nativamente ao AWS Security Hub (consolidação e priorização de findings de múltiplos serviços), ao Amazon Detective (investigação visual da cadeia de eventos por trás de um alerta) e ao Amazon EventBridge, o que permite automatizar resposta — por exemplo, isolar automaticamente uma instância EC2 comprometida assim que um finding crítico é gerado, sem esperar intervenção manual.

AWS WAF, Shield e GuardDuty vs Cloudflare e Firewall On-Premises Tradicional

A dúvida mais comum de quem já usa Cloudflare ou um appliance de firewall físico é se vale a pena duplicar a proteção com os serviços nativos da AWS. A resposta curta é: depende de onde a maior parte do tráfego já passa e de quanto controle granular sobre a infraestrutura AWS você precisa.

Não existe resposta única. Empresas que já rodam a maior parte do tráfego atrás de CloudFront ou Application Load Balancer tendem a ganhar mais com o WAF nativo, porque a proteção fica no mesmo lugar onde o recurso já é gerenciado, sem outro fornecedor no meio. Quem tem múltiplas nuvens ou uma origem que não é 100% AWS costuma preferir a Cloudflare pela cobertura única acima de qualquer provedor. E o firewall físico on-premises, tema já coberto no artigo sobre como escolher o melhor firewall para sua empresa, continua relevante para proteger a rede local — mas não substitui a defesa de borda de uma aplicação que já roda na AWS, porque o link de internet do escritório nunca vai competir em capacidade com a rede da AWS.

Modelos de Implementação: do Básico ao SOC Gerenciado com Firewall Manager

A adoção normalmente segue uma progressão, não um pacote fechado:

1. Shield Standard + WAF com Managed Rules básicas. É o piso de qualquer aplicação exposta publicamente: proteção DDoS automática mais um conjunto de regras gerenciadas contra os padrões de ataque mais comuns, configurado em horas.
2. WAF com regras customizadas e rate-based rules. Depois de observar o tráfego real em modo Count, a equipe ajusta regras específicas do negócio — bloqueio geográfico, limites de taxa por endpoint sensível (login, checkout), bloqueio de bots conhecidos.
3. GuardDuty com planos de proteção ampliados + integração com EventBridge. Detecção contínua alimentando resposta automatizada, não apenas um alerta que alguém precisa olhar manualmente.
4. AWS Firewall Manager para ambiente multi-conta. Em uma Landing Zone com várias contas via AWS Organizations — tema do guia de Landing Zone e AWS Organizations — o Firewall Manager centraliza a aplicação de políticas de WAF, Shield Advanced e Security Groups em todas as contas de uma vez, inclusive novas contas criadas depois.
5. Shield Advanced + SOC gerenciado (interno ou terceirizado). O nível mais alto, reservado a quem tem exposição real a ataques direcionados e precisa de resposta 24×7 com escalonamento humano — seja com equipe própria ou via um parceiro de outsourcing de segurança da informação.

A maioria das empresas de porte médio nunca precisa passar do nível 3. Pular direto para Shield Advanced sem antes configurar bem o WAF é gastar US$ 3.000/mês para resolver um problema que uma Web ACL bem ajustada já resolveria por uma fração do custo.

Quanto Custa Essa Camada de Segurança na Prática

Para dar dimensão real, considere uma aplicação de porte médio atrás de um Application Load Balancer, com uma Web ACL, cinco regras customizadas, dois grupos de regras gerenciadas e 20 milhões de requisições/mês:

• Web ACL: US$ 5,00
• 5 regras customizadas: US$ 5,00
• 2 grupos de regras gerenciadas: US$ 2,00
• 20 milhões de requisições: US$ 12,00
• Total WAF: aproximadamente US$ 24,00/mês

Somando o GuardDuty com as três fontes fundamentais em uma conta de tráfego moderado, o custo mensal costuma ficar na faixa de dezenas a poucas centenas de dólares, dependendo do volume de VPC Flow Logs — o componente que mais varia. O Shield Standard não entra na conta, porque é gratuito. Ou seja: uma defesa de borda funcional, cobrindo WAF e detecção contínua, sai por muito menos do que o preço de uma única assinatura de Shield Advanced.

Esse é exatamente o tipo de gasto que vale colocar sob prática de FinOps: regras gerenciadas duplicadas entre Web ACLs diferentes, grupos de regras nunca usados que continuam cobrando US$ 1,00/mês cada, ou fontes de dados do GuardDuty ativas em contas de teste que geram volume de log sem gerar valor de detecção. Nenhum item isolado é caro — a soma de itens esquecidos é que pesa na fatura, o mesmo tipo de achado que costuma aparecer numa análise de custos AWS completa.

Casos de Uso por Porte de Empresa

• 30-100 funcionários, primeira aplicação exposta publicamente. Shield Standard (automático) mais AWS WAF com Managed Rules da AWS já cobre a maior parte do risco real, com esforço de configuração de poucos dias e custo mensal na casa de dezenas de dólares.
• 100-300 funcionários, e-commerce ou SaaS com dados de cliente. WAF com regras customizadas por endpoint, GuardDuty com planos de proteção ampliados (especialmente S3 e RDS, se houver dados sensíveis ali) e integração com EventBridge para resposta automatizada a findings críticos.
• 300-700 funcionários, múltiplas contas AWS e marca visível. Firewall Manager centralizando políticas entre contas, GuardDuty com Runtime Monitoring em cargas de contêiner, e avaliação criteriosa de Shield Advanced com base em histórico real de ataques ou exigência contratual de SLA de disponibilidade.
• Qualquer porte com pico sazonal previsível (Black Friday, lançamento de produto). Vale reforçar regras de rate-based rules e revisar limites de WAF antes do pico — a defesa de borda também precisa de um plano de capacidade, não só de configuração padrão.

Tendências: IA Aplicada à Detecção e Resposta a Ameaças

Duas frentes recentes mostram para onde a AWS está levando essa camada. A primeira é o GuardDuty Investigation, em preview, que aplica IA generativa para analisar findings automaticamente e devolver um resumo estruturado com avaliação de risco, pontuação de confiança, classificação segundo o framework MITRE ATT&CK e passos de remediação sugeridos — reduzindo o tempo entre "recebi um alerta" e "entendi o que fazer com ele", que historicamente é o gargalo de qualquer SOC pequeno.

A segunda é o AWS Shield network security director, também em preview: um serviço que avalia continuamente a postura de segurança de rede de toda a conta, cruza a topologia real com as melhores práticas da AWS e prioriza descobertas por severidade, com remediação explicável via linguagem natural pelo Amazon Q Developer. É uma sinalização clara de que a AWS está movendo a régua de "você configura regra por regra" para "o serviço aponta onde está a lacuna e sugere a correção" — sem eliminar a necessidade de alguém decidir o que fazer com a resposta.

Para times pequenos, essa direção importa mais do que qualquer feature isolada: o gargalo real de segurança perimetral raramente é falta de ferramenta, é falta de gente para interpretar o que a ferramenta já está dizendo. IA aplicada à triagem de findings ataca exatamente esse gargalo.

Perguntas Frequentes sobre AWS WAF

AWS WAF e AWS Shield fazem a mesma coisa?

Não. O AWS WAF filtra o conteúdo de cada requisição HTTP/HTTPS na camada de aplicação (camada 7), com base em regras que você define. O AWS Shield protege contra ataques volumétricos de negação de serviço (DDoS), principalmente nas camadas de rede e transporte (3 e 4). Eles se complementam: o Shield absorve o volume, o WAF filtra o conteúdo malicioso que passa.

Preciso pagar pelo Shield Advanced para ter alguma proteção contra DDoS?

Não. O Shield Standard é gratuito e ativado automaticamente para toda conta AWS, cobrindo os ataques DDoS mais comuns nas camadas de rede e transporte. O Shield Advanced é uma camada adicional paga (US$ 3.000/mês, com assinatura anual), voltada a quem precisa de mitigação em camada de aplicação, suporte dedicado do Shield Response Team e proteção contra picos de custo durante um ataque.

O Amazon GuardDuty bloqueia ataques automaticamente?

Por padrão, não. O GuardDuty gera findings — alertas sobre atividade suspeita — mas não bloqueia tráfego nem revoga credenciais sozinho. A automação de resposta (por exemplo, isolar uma instância comprometida) exige configurar uma integração própria, tipicamente via Amazon EventBridge acionando uma função Lambda.

Quanto custa, em média, proteger uma aplicação de porte médio com AWS WAF?

Depende do volume de requisições e do número de regras, mas uma configuração típica — uma Web ACL, cinco regras customizadas, dois grupos de regras gerenciadas e 20 milhões de requisições mensais — fica em torno de US$ 24 por mês, segundo os valores publicados na página de preços do AWS WAF. Recursos avançados como Bot Control e CAPTCHA têm cobrança separada.

O AWS WAF protege qualquer recurso da AWS?

Não. Ele protege um conjunto específico de recursos que recebem tráfego HTTP/HTTPS: CloudFront, Application Load Balancer, API Gateway, AppSync, Cognito, App Runner, Bedrock AgentCore Gateway, Verified Access e Amplify. Uma instância EC2 exposta diretamente por IP, sem passar por nenhum desses recursos, não pode ser protegida pelo WAF.

Vale a pena usar Cloudflare e AWS WAF ao mesmo tempo?

Em alguns casos sim — normalmente quando a Cloudflare já é usada para CDN e proteção de borda em múltiplos provedores de nuvem, e o WAF nativo entra como uma segunda camada específica para os recursos que já estão na AWS. O ponto de atenção é evitar duplicidade de regras que geram falso positivo em cascata; a decisão certa depende de qual das duas já concentra a maior parte do tráfego real.

O que é o AWS Firewall Manager e quando ele é necessário?

É o serviço que centraliza a aplicação de políticas de WAF, Shield Advanced, Security Groups e outras proteções em múltiplas contas AWS gerenciadas por AWS Organizations. Ele passa a valer a pena a partir do momento em que a empresa opera mais de uma conta AWS e precisa garantir que toda conta nova já nasça com a proteção padrão aplicada, sem depender de alguém lembrar de configurar manualmente.

A Segurança Perimetral na AWS Não É Uma Ferramenta — É uma Combinação Deliberada

AWS WAF, Shield e GuardDuty resolvem problemas diferentes e, por isso, raramente competem entre si na decisão de qual comprar: a pergunta certa não é "qual dos três", é "qual combinação, em qual ordem, para o nível de exposição real da minha aplicação". Começar pelo Shield Standard gratuito e um WAF bem configurado cobre a maior parte do risco pelo menor custo; GuardDuty acrescenta o olho que continua vigiando depois que a borda já filtrou o óbvio; e Shield Advanced, Firewall Manager e um SOC dedicado entram quando a exposição – e o orçamento – realmente justificam.

O erro mais caro nessa área não costuma ser técnico, é de sequência: pular direto para a ferramenta mais cara sem primeiro configurar bem a mais barata, ou nunca revisar as regras depois da configuração inicial. Segurança de borda que funciona é a que alguém continua ajustando. Para quem prefere não montar essa camada sozinho, é o tipo de trabalho que cabe dentro de uma consultoria em cibersegurança ou da página de segurança da informação da DOMINIT.

Artigos Relacionados

• Zero Trust e IAM Avançado na AWS: Como Reduzir a Superfície de Ataque na Nuvem — enquanto este artigo cobre a defesa contra ataque externo, o Zero Trust trata de quem tem permissão para acessar o quê dentro da conta — as duas camadas se complementam.
• VPC e Transit Gateway: a Arquitetura de Rede Avançada para Ambientes AWS Multi-Região — a segmentação de rede interna que decide até onde um ataque que passou pela borda consegue se espalhar.
• Landing Zone e AWS Organizations: Como Estruturar uma Arquitetura Multi-Conta Segura e Escalável — é na Landing Zone que o AWS Firewall Manager aplica as políticas de WAF e Shield em todas as contas de uma vez.
• AWS Well-Architected Framework: o Guia Avançado para Auditar e Otimizar sua Arquitetura na Nuvem — o pilar de segurança do Well-Architected é onde a decisão sobre WAF, Shield e GuardDuty deveria aparecer formalmente em toda revisão de arquitetura.