Questão de Redes de Computadores — Cloud Computing (Computação em Nuvem) — CESPE / CEBRASPE 2023

Amazon S3: proteção contra exclusão acidental

Gabarito: letra E. Para proteger arquivos de exclusão acidental em um bucket do Amazon S3, a medida correta é ativar o versionamento, que vem desabilitado por padrão. O versionamento mantém múltiplas versões de um objeto, permitindo recuperar versões anteriores caso um arquivo seja sobrescrito ou excluído — é a proteção nativa contra exclusão acidental. As demais alternativas ou não protegem contra exclusão acidental (como mover para o Glacier Deep Archive ou criar registros de auditoria) ou são medidas incorretas (como desabilitar o MFA Delete).

O Amazon S3 (Simple Storage Service) é um serviço de armazenamento de objetos da AWS, amplamente utilizado para guardar arquivos, backups e dados de aplicações. Um bucket é um contêiner lógico onde os objetos (arquivos) são armazenados. Quando se fala em proteger arquivos contra exclusão acidental, o recurso mais direto e eficaz é o versionamento (versioning).

O versionamento, quando habilitado em um bucket, faz com que cada objeto tenha um histórico de versões. Se um arquivo for sobrescrito, uma nova versão é criada, e a versão anterior permanece acessível. Se um arquivo for excluído, ele não é removido permanentemente, mas sim marcado com um delete marker (marcador de exclusão), e a versão anterior continua disponível. Isso permite restaurar o arquivo a qualquer momento, simplesmente removendo o marcador de exclusão ou recuperando a versão anterior. É a proteção mais simples e direta contra exclusão acidental.

Outros recursos do S3 também oferecem proteção, mas com propósitos diferentes:

• Object Lock: impede que objetos sejam excluídos ou sobrescritos por um período determinado (retenção) ou indefinidamente (modo legal hold). É uma proteção forte, mas voltada para conformidade e requisitos regulatórios, não especificamente para exclusão acidental no dia a dia.

• MFA Delete: exige autenticação multifator para operações destrutivas (excluir versões ou desabilitar o versionamento). É uma camada extra de segurança, mas desabilitá-lo reduziria a proteção, não a aumentaria.

• S3 Glacier Deep Archive: é uma classe de armazenamento de baixíssimo custo para dados de arquivamento de longo prazo, com recuperação que pode levar horas. Mover arquivos para lá não protege contra exclusão acidental — apenas os coloca em um armazenamento mais barato e de acesso mais lento.

• Amazon CloudWatch: é um serviço de monitoramento e observabilidade, que coleta logs e métricas. Criar registros de auditoria ajuda a detectar exclusões após ocorrerem, mas não as previne.

A pegadinha da questão está em distinguir o que previne a exclusão acidental (versionamento) do que apenas detecta (auditoria) ou dificulta (MFA Delete, Object Lock). O versionamento é a resposta clássica para esse cenário, pois é um recurso nativo, simples de habilitar e que resolve diretamente o problema descrito.

Alternativa A — ❌ Incorreta

O Object Lock é um recurso que impede a exclusão ou alteração de objetos por um período de retenção ou indefinidamente (legal hold). Embora proteja contra exclusão, ele é mais voltado para conformidade e requisitos regulatórios, e não é a medida mais direta para o cenário de exclusão acidental descrito. Além disso, o Object Lock só pode ser habilitado na criação do bucket (ou em buckets com versionamento já ativado), o que o torna menos flexível que o versionamento.

Alternativa B — ❌ Incorreta

Mover arquivos para o S3 Glacier Deep Archive não protege contra exclusão acidental. Essa classe de armazenamento é projetada para dados de arquivamento de longo prazo, com custo muito baixo e recuperação demorada (horas). Ela não adiciona nenhuma proteção contra exclusão — apenas muda onde o arquivo está armazenado.

Alternativa C — ❌ Incorreta

Desabilitar o MFA Delete reduz a proteção, não a aumenta. O MFA Delete exige autenticação multifator para operações destrutivas, como excluir versões de objetos ou desabilitar o versionamento. Desabilitá-lo tornaria o bucket mais vulnerável a exclusões acidentais ou maliciosas.

Alternativa D — ❌ Incorreta

Criar registros de auditoria com o Amazon CloudWatch é uma medida de detecção, não de prevenção. Os logs permitem identificar quem excluiu um arquivo e quando, mas não impedem que a exclusão ocorra. Para proteger contra exclusão acidental, é necessário um mecanismo que preserve os dados, como o versionamento.

Alternativa E — ✅ Correta ⟵ GABARITO

Ativar o versionamento no bucket é a medida correta. O versionamento mantém múltiplas versões de cada objeto, permitindo recuperar versões anteriores caso um arquivo seja sobrescrito ou excluído. Ele vem desabilitado por padrão, mas pode ser ativado a qualquer momento no console da AWS, via CLI ou API. Com o versionamento ativo, uma exclusão não remove o objeto permanentemente — ela cria um delete marker, e a versão anterior permanece acessível para recuperação.

Gabarito: letra E