AWS publica boas práticas para blindar a supply chain de software

A AWS não está apenas atualizando um guia genérico: ela responde a um salto quase exponencial em ataques à cadeia de suprimentos. Em 2025, o número de pacotes maliciosos no npm cresceu mais de 100%, atingindo 10.819 unidades, e em maio/junho de 2026, campanhas como TrapDoor (34 pacotes, 384 versões) e Megalodon (5.561 repositórios infectados com workflows falsos) mostraram que o vetor mais lucrativo agora é o desenvolvedor, não o servidor. O custo médio por violação subiu para US$ 4,91 milhões, com tempo médio de detecção de 267 dias, mais que o dobro do tempo de resposta a ataques diretos. As recomendações da AWS são técnicas e operacionais: credenciais de curto prazo via STS + IAM Identity Center (não só MFA, mas revogação automática em 15 minutos), CodeArtifact como repositório centralizado com políticas de upstream strict e verificação de assinatura SLSA Level 3, e escaneamento contínuo de dependências integrado ao pipeline, não só no CI, mas também em ambientes de staging com GuardDuty Custom Event Patterns.

O ponto crítico que a notícia atual omite, mas que os dados da Verizon e IBM confirmam, é que 30% das violações agora envolvem terceiros, e 31% dos acessos iniciais vêm de exploração de vulnerabilidades em dependências, não de senhas fracas. Isso muda o foco da segurança: não basta proteger o acesso humano, é preciso validar a integridade do código antes mesmo de ele ser executado. A AWS está alinhando sua stack com o NIST SSDF e exigindo SBOMs nativas em CodeBuild e ECR, algo que já era opcional em versões anteriores do Well-Architected Framework.

Em comparação com as orientações anteriores da AWS sobre segurança de IaC (como no artigo de 29/05 sobre Resilience Hub com IA generativa), essa publicação marca uma virada tática: antes, o foco estava na resiliência pós-implantação; agora, o controle começa na primeira linha do arquivo package.json. A adoção de SLSA Level 3 como padrão mínimo para artefatos em produção é nova, não constava nas recomendações de maio. Também é inédito o comando aws login integrado ao fluxo de CI/CD, que substitui o uso manual de aws sts assume-role e reduz erros de configuração em pipelines. O envenenamento de cache no GitHub Actions (coberto em 22/05) foi citado explicitamente como caso de uso para a nova política de 'cache isolation' no CodeArtifact, algo ausente nas versões anteriores do guia.

Essas práticas não são opcionais para quem usa nuvem pública: elas se tornam obrigatórias para conformidade com CIRCIA (EUA) e NIS2 (UE) a partir de 2027, com multas que podem chegar a 2% do faturamento global. Mais concretamente, empresas que já adotaram CodeArtifact com SLSA signing reportaram queda de 73% em falsos positivos em ferramentas de escaneamento de dependências, porque o problema deixou de ser 'quem escreveu esse código?' e passou para 'esse código foi construído no ambiente certo, com as versões corretas e sem modificações?'. Para equipes de segurança, isso significa menos tempo investigando alertas genéricos e mais tempo bloqueando ataques reais, como o que comprometeu 32 pacotes da Red Hat em 2/06/2026.