awslabs/aws-security-assessment-solutionUma ferramenta AWS para ajudar você a criar uma avaliação pontual da sua conta AWS usando o Prowler.
## Soluções de Avaliação de Segurança Self-Service (v2.0)<!-- omit from toc -->
A cibersegurança continua a ser um tópico muito importante e um ponto de preocupação para muitos CIOs, CISOs e os seus clientes. Para responder a estas preocupações importantes, a AWS desenvolveu um conjunto principal de serviços que os clientes devem utilizar para ajudar a proteger as suas contas. As revisões do [Amazon GuardDuty](https://aws.amazon.com/guardduty/), [AWS Security Hub](https://aws.amazon.com/security-hub/), [AWS Config](https://aws.amazon.com/config/) e [AWS Well-Architected](https://aws.amazon.com/architecture/well-architected/?wa-lens-whitepapers.sort-by=item.additionalFields.sortDate&wa-lens-whitepapers.sort-order=desc&wa-guidance-whitepapers.sort-by=item.additionalFields.sortDate&wa-guidance-whitepapers.sort-order=desc) ajudam os clientes a manter uma postura de segurança forte nas suas contas AWS. À medida que mais organizações implementam na cloud, especialmente se o fazem rapidamente, e ainda não implementaram os serviços AWS recomendados, pode haver a necessidade de conduzir uma avaliação de segurança rápida do ambiente cloud.
Desenvolvemos uma solução económica, fácil de implementar, segura e rápida para fornecer aos nossos clientes um relatório de avaliação de segurança. Estes relatórios são gerados utilizando o projeto open source [Prowler](https://github.com/prowler-cloud/prowler). O Prowler realiza uma avaliação de segurança pontual com base nas melhores práticas da AWS e pode ajudar a identificar rapidamente quaisquer áreas de risco potenciais no ambiente implementado de um cliente. Se estiver interessado em conduzir estas avaliações de forma contínua, a AWS recomenda ativar o [padrão Foundational Security Best Practices](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-standards-fsbp.html) do Security Hub. Se estiver interessado em integrar os resultados da sua avaliação Prowler com o Security Hub, pode seguir as instruções na [Documentação do Prowler](https://docs.prowler.cloud/en/latest/tutorials/aws/securityhub/).
>Nota: O Prowler não é uma solução propriedade da AWS. Os clientes devem rever independentemente o Prowler antes de executar esta solução. Quaisquer dependências associadas ao Prowler devem ser mantidas atualizadas. Esta solução instala uma versão fixa do Prowler (atualmente 5.41.0) a partir do instalador de pacotes pip, para que uma alteração no formato de saída do Prowler não possa quebrar uma análise sem aviso. Para migrar para uma versão mais recente, edite a linha `pip3 install prowler==` em `2-sat2-codebuild-prowler.yaml`.
📕 Para instruções passo a passo mais detalhadas, visite o módulo 2 no [SHIP Workshop](https://catalog.us-east-1.prod.workshops.aws/workshops/3bd6e4da-265a-4c79-ab47-639b7ef23c9d/en-US/20-satv2).
## Índice<!-- omit from toc -->
- [Visão geral](#overview)
- [Parâmetros](#parameters)
- [Implementação](#deployment)
- [Análise de conta única](#single-account-scan)
- [AWS CloudShell](#aws-cloudshell)
- [Implementar a solução](#deploy-the-solution)
- [Consola AWS](#aws-console)
- [Implementar a solução](#deploy-the-solution-1)
- [Análise multi-conta](#multi-account-scan)
- [AWS CloudShell](#aws-cloudshell-1)
- [Passo 1: Implementar o role de pré-requisito](#step-1-deploy-prerequisite-role)
- [Passo 2: Implementar a solução SATv2](#step-2-deploy-the-satv2-solution)
- [Consola AWS](#aws-console-1)
- [Passo 1: Implementar o role de pré-requisito](#step-1-deploy-prerequisite-role-1)
- [Passo 2: Ativar administrador delegado para AWS Organizations](#step-2-enable-delegated-administrator-for-aws-organizations)
- [Passo 3: Implementar a solução SATv2](#step-3-deploy-the-satv2-solution)
- [Rever os resultados](#review-the-results)
- [Dashboard SATv2 (recomendado)](#satv2-dashboard-recommended)
- [Dashboard Prowler](#prowler-dashboard)
- [Tipos de análise](#scan-types)
- [Análise Básica](#basic-scan)
- [Análise Intermédia](#intermediate-scan)
- [Análise Completa](#full-scan)
- [Verificações de segredos](#secrets-checks)
- [Notificações](#notifications)
- [Resumo de Relatórios](#reporting-summary)
- [Como a tabela Athena é construída](#how-the-athena-table-is-built)
- [Histórico de análises e duplicados](#scan-history-and-duplicates)
- [Perguntas Frequentes (FAQ)](#frequently-asked-questions-faq)
- [Limpeza](#clean-up)
- [Segurança](#security)
- [Licença](#license)
## Visão geral
A solução é implementada com [AWS CloudFormation](https://aws.amazon.com/cloudformation/). Quando implementada, são criados um projeto [AWS CodeBuild](https://aws.amazon.com/codebuild/) e um bucket [Amazon S3](https://aws.amazon.com/s3/) para armazenar os relatórios gerados pelo Prowler. É então utilizada uma função [AWS Lambda](https://aws.amazon.com/lambda/) para iniciar o projeto AWS CodeBuild.
Os valores predefinidos dos parâmetros (entrada do utilizador) executam uma análise básica numa única conta. No entanto, pode escolher parâmetros diferentes para executar análises mais extensas ou para analisar múltiplas contas. O processo de implementação demora menos de 5 minutos a concluir. Os templates AWS CloudFormation da solução são fornecidos para revisão neste repositório Github.
Assim que o template for implementado, o projeto CodeBuild será executado. A avaliação predefinida demora cerca de 5 minutos a concluir. O tempo para concluir uma avaliação de segurança varia consoante o número de recursos e as opções de análise selecionadas. No final das avaliações, os relatórios são entregues no bucket S3 criado.
## Parâmetros
O SATv2 pode ser personalizado atualizando os parâmetros do CloudFormation. Esta secção resume as opções disponíveis e fornece uma ligação para a secção com mais informações.
| Parâmetro | Descrição | Mais informação |
| ------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------- |
| ProwlerScanType | Especifique que tipo de análise executar. Selecionar full sem especificar diferentes ProwlerOptions fará uma análise completa. Para executar uma verificação específica, escolha Full e acrescente -c <check> a ProwlerOptions. | [Tipos de análise](#scan-types) |
| ExcludeSecretsChecks | O valor predefinido é true, o que ignora as verificações do Prowler que procuram segredos codificados no conteúdo dos recursos. Defina como false para as executar. | [Verificações de segredos](#secrets-checks) |
| MultiAccountScan | Defina como true se quiser analisar todas as contas na sua organização. Deve ter implementado o template de pré-requisito para provisionar um role, ou especificar um ProwlerRole diferente com as permissões adequadas. | [Análise multi-conta](#multi-account-scan) |
| Reporting | Defina como true se quiser resumir os relatórios do Prowler num único csv. Isto é útil ao analisar múltiplas contas. | [Resumo de Relatórios](#reporting-summary) |
| EmailAddress | Especifique um endereço se quiser receber um email quando a avaliação for concluída. | [Notificações](#notifications) |
| **Parâmetros Avançados** |
| ConcurrentAccountScans | Para análises multi-conta, especifique o número de contas a analisar em simultâneo. Isto é útil para grandes organizações com muitas contas. Selecionar mais de três altera o tamanho da instância CodeBuild e pode incorrer em custos adicionais. |
| CodeBuildTimeout | Defina o timeout para a tarefa CodeBuild. O valor predefinido é 300 minutos (5 horas). |
| MultiAccountListOverride | Especifique uma lista de contas a analisar separada por espaços. Deixar isto em branco analisará todas as contas na sua organização. Certifique-se de que definiu o parâmetro `MultiAccountScan` acima como true se quiser analisar contas específicas. Se não puder fornecer acesso delegado a ListAccount, pode fornecer o parâmetro MultiAccountListOverride. | [Análise multi-conta](#multi-account-scan) |
| ProwlerOptions | Especifique os parâmetros para o Prowler. O --role e o ARN serão automaticamente adicionados ao final dos parâmetros que especificar. Isto também pode ser usado para especificar uma única verificação. | [Análise Completa](#full-scan) |
| ProwlerRole | O role que o Prowler deve assumir para realizar a análise. Altere isto se quiser especificar o seu próprio role com permissões diferentes. |
## Implementação
Pode utilizar este projeto para executar o Prowler em múltiplas contas numa Organização AWS, ou numa única conta. Fornecemos instruções para utilizar o AWS CloudShell ou a consola AWS. Escolha uma opção para começar.
| Tipo de Implementação | AWS CloudShell | Consola AWS |
| --------------- | ------------------------- | ---------------------- |
| Conta única | [Ligação](#aws-cloudshell) | [Ligação](#aws-console) |
| Multi-conta | [Ligação](#aws-cloudshell-1) | [Ligação](#aws-console-1) |
## Análise de conta única
Para executar a solução Self-Service Security Assessment (SATv2) numa única conta, siga as instruções abaixo. Pode optar por utilizar a AWS CLI ou a Consola AWS.
### AWS CloudShell
<details>
<summary>Mostrar passos</summary>
#### Implementar a solução
1. Inicie sessão na sua conta AWS.
2. Na barra de navegação, escolha [AWS CloudShell](https://console.aws.amazon.com/cloudshell/home).
3. Para descarregar o template CloudFormation, introduza o seguinte comando.
```bash
wget https://raw.githubusercontent.com/awslabs/aws-security-assessment-solution/main/2-sat2-codebuild-prowler.yaml
```
4. Para criar um bucket S3 para preparar o template, introduza os seguintes comandos. O template é maior que 51.200 bytes, pelo que o CloudFormation exige que seja carregado para o S3 em vez de passado inline.
```bash
TEMPLATE_BUCKET=sat2-cfn-templates-$(aws sts get-caller-identity --query Account --output text)-$AWS_REGION
aws s3 mb s3://$TEMPLATE_BUCKET --region $AWS_REGION
```
5. Para implementar o template CloudFormation, introduza o seguinte comando. A opção `--s3-bucket` carrega o template para o bucket antes de criar a stack.
```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2 \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET
```
6. Após a criação da stack, pode eliminar o bucket de preparação. Este é utilizado apenas para entregar o template ao CloudFormation.
```bash
aws s3 rb s3://$TEMPLATE_BUCKET --force
```
</details>
### Consola AWS
<details>
<summary>Mostrar passos</summary>
#### Implementar a solução
1. Descarregue o template CloudFormation [2-sat2-codebuild-prowler.yaml](https://github.com/awslabs/aws-security-assessment-solution/blob/main/2-sat2-codebuild-prowler.yaml).
2. Navegue até à [consola AWS CloudFormation](https://console.aws.amazon.com/cloudformation).
3. No painel de navegação, escolha **Stacks**.
4. Escolha **Create stack**.
5. Em Specify template, selecione **Upload a template file**.
6. Escolha **2-sat2-codebuild-prowler.yaml** que descarregou no passo 1.
7. Escolha **Next**.
8. Em Stack name, introduza **sat2**.
9. Escolha **Next**.
10. Na página Configure stack options, escolha **Next**.
11. Na página Review SAS, selecione a caixa **I acknowledge that AWS CloudFormation might create IAM resources.** e escolha **Submit**.
</details>
## Análise multi-conta
A solução Self-Service Security Assessment (SAT) também suporta análises multi-conta. Deve implementar um role de pré-requisito em cada conta na qual pretende realizar a análise. Para executar o SATv2 em múltiplas contas, siga as instruções abaixo. Pode optar por utilizar a AWS CLI ou a Consola AWS.
Estas instruções assumem que já tem os pré-requisitos para operações de stack set. Para mais informações, visite o [AWS CloudFormation User Guide](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-prereqs.html).
>Nota: Os StackSets não se aplicam à conta de gestão. Para avaliar a conta de gestão, implemente o 1-sat2-member-role como uma Stack CloudFormation.
### AWS CloudShell
<details>
<summary>Mostrar passos</summary>
#### Passo 1: Implementar o role de pré-requisito
1. Inicie sessão na sua conta AWS Management.
2. Na barra de navegação, escolha [AWS CloudShell](https://console.aws.amazon.com/cloudshell/home).
3. Identifique a partir de que conta irá executar a análise Prowler. Os clientes normalmente utilizam uma conta de ferramentas de segurança, ou conta de auditoria. Tome nota do ID da conta para o parâmetro **ProwlerAccountID**.
4. Para descarregar o template CloudFormation, introduza o seguinte comando.
```bash
wget https://raw.githubusercontent.com/awslabs/aws-security-assessment-solution/main/1-sat2-member-roles.yaml
```
5. Implemente o template CloudFormation através de CloudFormation StackSets. Atualize os seguintes parâmetros:
- Substitua **\<aws-account-id\>** pelo ID da conta a partir da qual irá executar o Prowler.
- Substitua **\<region\>** pela Região para a qual pretende implementar o template.
```bash
aws cloudformation create-stack-set --template-body file://1-sat2-member-roles.yaml \
--stack-set-name sat2-member-roles \
--permission-model SERVICE_MANAGED \
--auto-deployment Enabled=true,RetainStacksOnAccountRemoval=false \
--capabilities CAPABILITY_NAMED_IAM \
--parameters ParameterKey=ProwlerAccountID,ParameterValue=<aws-account-id> \
--region <region>
```
6. Utilize o seguinte comando para criar instâncias de stack para cada conta na sua organização. Pode direcionar para uma OU específica, ou para a OU raiz. Atualize os seguintes parâmetros:
- Substitua **\<root-ou\>** pelo [ID da raiz da organização](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org_details.html#orgs_view_root).
- Substitua **\<region\>** pela Região para a qual pretende implementar o template.
```bash
aws cloudformation create-stack-instances --stack-set-name sat2-member-roles \
--deployment-targets OrganizationalUnitIds='["<root-ou>"]' \
--regions '["<region>"]' \
--operation-preferences FailureTolerancePercentage=100,MaxConcurrentPercentage=100 \
--region <region>
```
7. Determine se tem um administrador delegado ou uma política de recursos que já existe para a sua conta Prowler. Apenas é necessária uma opção e a política de recursos é encorajada por ser mais granular.
>Nota: As políticas de recursos não estão disponíveis no GovCloud, pelo que terá de utilizar um administrador delegado.
7a. A sua conta Prowler pode já ter uma delegação. Pode utilizar os seguintes comandos para verificar:
```bash
aws organizations list-delegated-administrators
```
7b. A sua conta Prowler pode já ter uma política de recursos. Pode utilizar os seguintes comandos para verificar:
```bash
aws organizations describe-resource-policy
```
8. Se não tiver um administrador delegado ou uma política de recursos, pode utilizar os seguintes comandos para adicionar o acesso adequado.
>Nota: Se não puder fornecer acesso delegado a ListAccount, pode fornecer o parâmetro MultiAccountListOverride no `2-sat2-codebuild-prowler template`.
>Nota: Se estiver a utilizar o GovCloud, utilize o passo 8a para criar um administrador delegado. Se estiver a utilizar uma região comercial, utilize o passo 8b para fornecer acesso de privilégio mínimo a ListAccounts.
8a. Utilize o seguinte comando para delegar um administrador se ainda não tiver um. Substitua **\<aws-account-id\>** pelo ID da conta a partir da qual irá executar o Prowler.
```bash
aws organizations register-delegated-administrator <aws-account-id>
```
8b. Utilize os seguintes comandos para adicionar uma política de recursos.
- Substitua **\<aws-account-id\>** pelo ID da conta a partir da qual irá executar o Prowler.
```bash
aws organizations put-resource-policy --content \
'{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::<aws-account-id>:root"
},
"Action": [
"organizations:ListAccounts",
"organizations:DescribeAccount",
"organizations:ListTagsForResource",
"organizations:ListParents",
"organizations:DescribeOrganizationalUnit"
],
"Resource": "*"
}
]
}'
```
>Nota: `ListParents` e `DescribeOrganizationalUnit` são o que preenche as colunas `account_ou_uid` e `account_ou_name` nos resultados. Omita-os e o resto da análise continua a funcionar, mas essas duas colunas ficam vazias.
#### Passo 2: Implementar a solução SATv2
>Nota: Certifique-se de que mudou para a conta que especificou que irá executar o Prowler.
1. Para descarregar o template, abra o AWS CloudShell na **conta Prowler** e introduza o seguinte comando.
```bash
wget https://raw.githubusercontent.com/awslabs/aws-security-assessment-solution/main/2-sat2-codebuild-prowler.yaml
```
2. Para criar um bucket S3 para preparar o template, introduza os seguintes comandos. O template é maior que 51.200 bytes, pelo que o CloudFormation exige que seja carregado para o S3 em vez de passado inline.
```bash
TEMPLATE_BUCKET=sat2-cfn-templates-$(aws sts get-caller-identity --query Account --output text)-$AWS_REGION
aws s3 mb s3://$TEMPLATE_BUCKET --region $AWS_REGION
```
3. Para implementar o template na conta Prowler. Defina **MultiAccountScan** como **true** para analisar todas as contas na sua organização. A opção `--s3-bucket` carrega o template para o bucket antes de criar a stack.
```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2-prowler \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET \
--parameter-overrides MultiAccountScan=true
```
4. Após a criação da stack, pode eliminar o bucket de preparação. Este é utilizado apenas para entregar o template ao CloudFormation.
```bash
aws s3 rb s3://$TEMPLATE_BUCKET --force
```
</details>
### Consola AWS
<details>
<summary>Mostrar passos</summary>#### Etapa 1: Implantar a função de pré-requisito
1. Baixe os arquivos **1-sat2-member-roles.yaml** e **2-sat2-codebuild-prowler.yaml**.
2. Implante o modelo do CloudFormation por meio do CloudFormation StackSets. Atualize os seguintes parâmetros:
- Substitua \<aws-account-id\> pelo ID da conta a partir da qual você executará o Prowler.
- Substitua \<region\> pela Região na qual você deseja implantar o modelo.
3. Navegue até o [console do AWS CloudFormation](https://console.aws.amazon.com/cloudformation).
4. No painel de navegação, escolha **StackSets**.
5. Escolha **Create StackSet**.
6. Em Permissions, deixe **Service-managed permissions** selecionado.
7. Em Specify template, selecione **Upload a template file**.
8. Escolha **1-sat2-member-roles.yaml**, que você baixou na etapa 1-1.
9. Escolha **Next**.
10. Em Stack name, insira **sat2-member-role**.
11. Em Parameters, insira o seguinte:
- ProwlerAccountID - O ID da conta a partir da qual você executará o Prowler.
12. Escolha **Next**.
13. Na página Configure StackSet options, escolha **Next**.
14. Em Set deployment options, insira o seguinte:
1. Em **Deployment targets**, deixe **Deploy to organization** selecionado.
2. Em **Specify regions**, escolha **us-east-1**.
3. Em **Region Concurrency**, escolha **Parallel**.
15. Escolha **Next**.
16. Na página **Review**, marque a caixa **I acknowledge that AWS CloudFormation might create IAM resources.** e escolha **Submit**.
#### Etapa 2: Habilitar administrador delegado para o AWS Organizations
Determine se você tem um administrador delegado ou uma política de recursos que já existe para a conta na qual deseja implantar o Prowler. Recomenda-se executar o Prowler a partir da sua conta de ferramentas de segurança (Audit). Para atualizar ou verificar se a conta de auditoria tem permissões para ListAccounts, siga estas etapas.
1. Navegue até o [console do AWS Organization](https://console.aws.amazon.com/organizations).
2. No painel de navegação, escolha **Settings**.
3. Em Delegated administrator for AWS Organizations, inclua a seguinte declaração.
```json
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::<aws-account-id>:root"
},
"Action": [
"organizations:ListAccounts",
"organizations:DescribeAccount",
"organizations:ListTagsForResource",
"organizations:ListParents",
"organizations:DescribeOrganizationalUnit"
],
"Resource": "*"
}
]
}
```
>Nota: `ListParents` e `DescribeOrganizationalUnit` são o que preenchem as colunas `account_ou_uid` e `account_ou_name` nos achados. Omita-as e o restante da verificação ainda funcionará, mas essas duas colunas voltarão vazias.
#### Etapa 3: Implantar a solução SATv2
1. Navegue até o [console do AWS CloudFormation](https://console.aws.amazon.com/cloudformation) na conta a partir da qual você executará a ferramenta (ProwlerAccountID).
2. No painel de navegação, escolha **Stacks**.
3. Escolha **Create stack**.
4. Em Specify template, selecione **Upload a template file**.
5. Escolha **2-sat2-codebuild-prowler.yaml**, que você baixou na etapa 1-1.
6. Escolha **Next**.
7. Em Stack name, insira **sat2-prowler**.
8. Na seção Parameters, em **MultiAccountScan**, selecione **true**.
9. Opcionalmente, você pode habilitar o relatório para obter um resumo de todas as contas em um único arquivo csv. Em **Reporting**, selecione **true**.
10. Escolha **Next**.
11. Na página Configure stack options, escolha **Next**.
12. Na página Review SAS, marque a caixa **I acknowledge that AWS CloudFormation might create IAM resources.** e escolha **Submit**.
</details>
## Revise os resultados
Depois que a solução é implantada, uma função Lambda inicia o projeto do CodeBuild. Depois que o projeto do CodeBuild termina de ser compilado, os resultados do Prowler são enviados para o bucket do Amazon S3 criado. Se você configurou [notificações](#notifications), receberá um e-mail quando a verificação do Prowler for concluída. Se você configurou [relatórios](#reporting-summary), terá um arquivo csv consolidado na pasta /reports.
Se você não configurou alertas por e-mail, poderá monitorar o progresso no [console do CodeBuild](https://console.aws.amazon.com/codesuite/codebuild/projects).
Para revisar os resultados, siga estas etapas.
1. Navegue até o console do Amazon S3 na conta na qual você implantou o Prowler.
2. Selecione o bucket que começa com **sat2-prowler-prowlerfindingsbucket-**
3. Escolha a pasta do formato de saída que você deseja e, em seguida, as pastas `scan_date=` e `scan_time=` da execução que deseja revisar.
Cada formato de saída tem sua própria pasta de nível superior, e cada execução grava em uma subpasta `scan_date=YYYY-MM-DD/scan_time=HHMMSS` abaixo dela. O horário é o horário UTC em que a verificação começou:
```
csv/scan_date=2026-09-01/scan_time=204955/ Prowler's CSV findings, as written
html/scan_date=2026-09-01/scan_time=204955/ per-account HTML reports
json/scan_date=2026-09-01/scan_time=204955/ per-account JSON
ocsf-json/scan_date=2026-09-01/scan_time=204955/ per-account OCSF JSON
parquet/scan_date=2026-09-01/scan_time=204955/ the copy Athena queries
compliance/scan_date=2026-09-01/scan_time=204955/ compliance CSVs, when produced
reports/ consolidated CSV and dashboard
```
Cada execução recebe sua própria pasta, portanto executar a solução novamente nunca mistura novos achados com os antigos, inclusive quando você a executa mais de uma vez no mesmo dia. As execuções anteriores são mantidas para que você possa compará-las.
4. Para cada conta, haverá 4 tipos de arquivo (csv, html, json, json-ocsf) no formato `prowler-output-<aws-account-id>-<datetime>`.
5. Selecione um dos objetos html.
6. Escolha **Open**.
7. Uma nova janela será aberta com o seu relatório. Você pode usar os filtros para identificar e priorizar os achados.
### Painel do SATv2 (recomendado)
Se você habilitou o relatório, um painel html estático estará na pasta de relatórios.
1. Selecione o objeto **satv2-dashboard.html** e escolha **Open**.
2. Selecione o csv consolidado, escolha **Actions**, **Share with a presigned URL**.
>Nota: Não compartilhe sua URL pré-assinada com ninguém. Uma URL pré-assinada usa credenciais de segurança para conceder permissão por tempo limitado para baixar objetos. A URL pode ser inserida em um navegador ou usada por um programa para baixar o objeto. As credenciais usadas pela URL pré-assinada são as do usuário da AWS que gerou a URL. Para obter mais informações, revise Sharing objects with presigned URLs.
3. Em **number of minutes**, insira **1**.
4. Cole a URL na página satv2-dashboard.html.
5. Revise um exemplo de saída do painel em [img/satv2-dashboard.png](https://github.com/awslabs/aws-security-assessment-solution/blob/main/img/satv2-dashboard.png)
### Painel do Prowler
O Prowler tem um painel integrado para revisar os resultados. Para usar o painel do Prowler, o Prowler deve estar instalado localmente e você deve baixar os resultados do Prowler localmente.
Você deve ter a Interface de Linha de Comando (CLI) da AWS e credenciais válidas. Para obter mais informações, revise o [guia do usuário da Interface de Linha de Comando da AWS](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html).
1. Instale o Prowler. Para obter mais informações, revise as [instruções de instalação do Prowler](https://docs.prowler.com/projects/prowler-open-source/en/latest/#installation).
```
pip install prowler
```
2. Obtenha o nome do bucket do Amazon S3. O nome do bucket está no console do CloudFormation como o recurso ProwlerFindingsBucket. Como alternativa, navegue até o console do S3 e procure um bucket no formato `{stack_name}-prowlerfindingsbucket-{ID}`
3. Baixe os CSVs e os dados de conformidade do S3. Se você não executou uma verificação completa, talvez não tenha dados de conformidade. Substitua `{bucket_name}` pelo nome do seu bucket, e `{scan_date}` e `{scan_time}` pela execução que deseja carregar, por exemplo `2026-09-01` e `204955`. Para listar as execuções disponíveis, use `aws s3 ls s3://{bucket_name}/csv/scan_date={scan_date}/`.
```
aws s3 sync s3://{bucket_name}/compliance/scan_date={scan_date}/scan_time={scan_time}/ output/compliance/
aws s3 sync s3://{bucket_name}/csv/scan_date={scan_date}/scan_time={scan_time}/ output/
```
>Nota: Sincronize uma execução por vez. O painel do Prowler lê `output/*.csv` e não pesquisa subpastas, portanto copiar as próprias pastas `scan_date=` para `output/` produzirá um painel vazio. Carregar duas execuções ao mesmo tempo mostraria cada achado duas vezes.
4. Execute o painel. Use o seguinte comando para executar o painel. Por padrão, ele será iniciado em http://127.0.0.1:11666/.
```
prowler dashboard
```
## Tipos de verificação
Por padrão, o SAT2 executará uma verificação intermediária, que executa todas as verificações de severidade crítica e alta. Você pode optar por executar uma verificação básica ou completa escolhendo um valor diferente para o parâmetro ProwlerScanType.
Por exemplo, uma verificação de conta única usando a opção de verificação intermediária usaria este comando:```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2-prowler \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET \
--parameter-overrides ProwlerScanType=Intermediate
```
>Nota: A opção `--s3-bucket` é obrigatória porque o template é maior que 51.200 bytes, o máximo que o CloudFormation aceita inline. `$TEMPLATE_BUCKET` é o bucket de staging criado nas etapas de implantação do CloudShell acima. Ela se aplica a todos os exemplos de `aws cloudformation deploy` neste README.
Verificações são adicionadas com frequência; para ver as verificações mais recentes, execute o comando `prowler aws --list-checks`. Um exemplo foi fornecido abaixo para cada nível de verificação.
### Verificação Básica
Para ver uma lista de verificações, consulte [verificações básicas](https://github.com/awslabs/aws-security-assessment-solution/blob/main/checks/basic_checks.txt).
- Verificação manual - Mantenha os detalhes de contato atualizados.
- Encontre runtimes do Lambda obsoletos.
- Garanta que o CloudTrail esteja habilitado em todas as regiões
- Garanta que o AWS Config esteja habilitado em todas as regiões.
- Garanta que nenhum security group permita entrada de 0.0.0.0/0 ou ::/0 para qualquer porta.
- Verifique se o GuardDuty está habilitado
- Garanta que a política de senha do IAM exija pelo menos uma letra minúscula
```
---
[Read more](https://github.com/awslabs/aws-security-assessment-solution)