Bodytech migra para AWS e melhora a segurança da infraestrutura

e-Core • July 28, 2023

Sobre a Bodytech

A Bodytech é a rede composta pelos maiores e mais completos centros de atividades físicas, esportes, bem-estar e lazer do país. Inserida no conceito “wellness”, que busca promover a saúde física e mental de toda a família, a Bodytech se tornou referência no mercado nacional de fitness. Tamanho sucesso é fruto de uma sólida administração aliada a infraestruturas super modernas.

A Bodytech Company opera com duas marcas de academias e tem hoje 104 unidades instaladas: 69 sob a marca Bodytech e 35 sob a marca Fórmula. São mais de 150 mil clientes ativos na rede. Uma corrente de pessoas que buscam qualidade de vida através de um serviço diferenciado, com diversas atividades e profissionais qualificados.


O principal diferencial é um time multidisciplinar de mais de 6.000 profissionais preparados para cuidar dos clientes com atenção, levando em consideração suas particularidades. Além disso, a empresa busca sempre inovar e utilizar novas tecnologias para se destacar no mercado.


O Desafio

A Bodytech procurou a e-Core para auxiliar na realização da transformação digital da empresa, com uma estratégia de adoção de nuvem, migrando seus sistemas de data centers próprios e co-locations para a AWS.

Com diversas unidades espalhadas por todo Brasil, e cada unidade com sua própria infraestrutura, com seu mini-datacenter conectado ao datacenter corporativo central, a sincronização dos dados era realizada diariamente. Por conta dessa arquitetura, havia uma grande dificuldade para expandir e implantar novos serviços.


Esse modelo estava apresentando problemas de gestão, custo e manutenção, devido à grande quantidade de unidades e a crescente expansão da marca. Isso gera desafios para a implantação de novos serviços e impede a rápida inovação.

Além dos desafios relacionados à infraestrutura, a Bodytech também gostaria de transformar suas aplicações existentes e as futuras utilizando as melhores práticas voltadas para os ambientes em nuvem.


No início da utilização dos serviços da AWS por conta própria, havia dificuldade de visibilidade do que estava sendo executado e quais os serviços utilizados, além de não ter uma política definida de permissionamento, que respeitasse o princípio do privilégio mínimo. Além disso, a estrutura de redes utilizada originalmente, com a Virtual Private Cloud (VPC) sem seguir as melhores práticas, não permitia crescimento, não garantia alta disponibilidade e deixava algumas brechas de segurança nas políticas de firewall.


A comunicação com as várias academias era feita pela Internet e faltava visibilidade das ameaças às aplicações. Além disso, não havia um repositório centralizado e estruturado para o armazenamento dos logs de infraestrutura e das aplicações. Para completar, os diferentes ambientes de produção, homologação e desenvolvimento eram compartilhados, corroborando para as dificuldades de controle e permissões de acesso.


Com todas as preocupações, havia um sentimento de não terem o controle do que acontecia na nuvem e que faltavam mecanismos para garantir as melhores práticas operacionais e de segurança do ambiente.


Solução

Para solucionar os desafios e implementar boas práticas de operação na nuvem, alinhado com a estratégia de adoção da empresa, foi estruturada uma Landing Zone. Os ambientes foram separados em múltiplas contas, com uma padronização no tagueamento dos recursos, com VPCs estruturadas para crescimento e alta disponibilidade, conectado ao datacenter através de VPN. Foram definidas as políticas de acesso e permissionamento dos usuários para cada conta, seguindo o princípio do privilégio mínimo, e sempre com autenticação com MFA.


Para atender aos requisitos de segurança e compliance, foi definido o plano de backup para os servidores de aplicação e bancos de dados relacionais e não relacionais, e também implementado o Amazon GuardDuty, com automação de regras no AWS WAF (Web Application Firewall) e Network ACLs das VPCs.


Para gerenciar a infraestrutura crescendo rapidamente de forma mais otimizada, garantindo as melhores práticas, todo o ambiente foi estruturado utilizando AWS CloudFormation, para recursos como EC2, RDS e CloudFront, e o Serverless Framework, para recursos como Lambda e API Gateway. Os deploys utilizam o CircleCI para a integração contínua. Para gerenciar os templates de CloudFormation e mantê-los genéricos para deploys em diversos ambientes, são utilizados os AWS Pseudo Parameters. Além disso, para utilizar informações como IDs das VPCs, subnets, security groups, subnet groups, funções Lambda, distribuições de cloudfront, hosted zones, record sets e outras de forma dinâmica, mantendo os templates de CloudFormation genéricos, os valores corretos são importados a partir de exportação dos parâmetros com Cross-Stack.


Todos os CloudFormations utilizam o Validation de Parameter Inputs para endereços de IP, nomes de ambientes, tags, databases, etc. Os campos são validados com tamanho máximo e mínimo de caracteres, formatos de input permitidos de acordo com expressões regulares, valores padrões e valores permitidos como tipos de instâncias e nomenclatura dos ambientes, tipos aceitos pelo parâmetro como string e number, quantidade de zonas de disponibilidade, regiões AWS utilizadas, entre outros. Além disso, utiliza-se labels e descrição nos parâmetros para facilitar o entendimento e qual o formato de input aceito no campo do parâmetro, facilitando a manutenção do ambiente e a documentação.


Os diversos templates de CloudFormation seguem regras de separação lógica em stacks e módulos, de acordo com as regras de negócio, para facilitar a manutenção e reutilização. Os componentes de rede, como VPC e Security Group, são configurados em Stacks de redes, enquanto componentes de aplicações, como Frontend e Backend, são configurados em Stacks específicas de cada aplicação. Nesse cenário, os Outputs exportam informações dos recursos criados em uma Stack, como o ID de uma Subnet, para ser utilizado por outra Stack, como a de Banco de Dados para criar o Subnet Group. Todas as Stacks são configuradas com a opção Termination Protection, garantindo que as Stacks não sejam removidos acidentalmente.


Além do CloudFormation, para o gerenciamento de forma mais estruturada, outro elemento importante na gestão do ambiente é o AWS Config. Ele monitora alterações feitas nos Stacks do CloudFormations, utilizando regras customizadas de compliance, como, por exemplo, uma regra que avalia se estão sendo utilizadas as tags definidas, garantindo que as políticas estabelecidas estão sendo seguidas.


São utilizadas 51 managed rules do AWS Config, sendo um conjunto de 43 regras criadas a partir da ativação do framework CIS AWS Foundations Benchmark do AWS Security Hub e 8 regras ativadas no AWS Config, configuradas de acordo com regras de negócio e compliance, como por exemplo, regra para padrão de tags utilizados nos recursos criados na AWS, regra para validar se todas as funções lambda criadas rodam dentro de VPC, regra que checa se todos os bancos de dados criados em produção estão com multi-AZ ativado, entre outras. Estas regras avaliam mais de 2.000 recursos AWS na conta de produção.


Para garantir a segurança do ambiente, dois serviços importantes utilizados são o Amazon GuardDuty e o AWS WAF. Os findings gerados pelo GuardDuty, a partir de atividades suspeitas, disparam um evento no CloudWatch Events, que, por sua vez, invoca uma função Lambda que coleta o endereço IP do host suspeito para realizar o bloqueio através de regra no NACL (a nível de subnet) e no WebACL do WAF, que é utilizado nos Application Load Balancers (ALBs) e distribuições do Amazon CloudFront, utilizados pelas aplicações. Além disso, ao realizar um bloqueio, é enviado um email para o time de segurança da e-Core com as informações de registro da ocorrência, como IP do host bloqueado, dia e hora, tipo do ataque, instância alvo, NACL e WebACLs em que a regra de bloqueio foi inserida. Esse e-mail é enviado através de uma estrutura de notificações do AWS SNS que a e-Core mantém em todos os seus clientes e alimenta sua estrutura de monitoramento, direcionando os alertas de cada cliente para o time adequado.



É utilizado também o WAF Security Automations, que implanta automaticamente um conjunto de regras projetadas para filtrar ataques web comuns baseadas no OWASP top 10. Esta automação inspeciona as solicitações realizadas para o Cloudfront e ALBs e compara com as regras estipuladas para bloquear as que são consideradas como atividades suspeitas. A solução configura rules nativas do WAF criadas para proteger contra ataques comuns de SQL injection e cross-site scripting. Além disso, possui um componente que protege contra ataques do tipo HTTP flood, como um alto número de requisições oriundas de um endereço IP ou tentativas de login via brute-force. A solução também conta com um componente que analisa logs de acesso a procura de comportamento suspeito, como uma quantidade anormal de erros gerados por uma origem, bloqueando o atacante em seguida.


O Resultado

Com os elementos de gerenciamento, segurança e compliance implementados, a empresa pode agora inovar de maneira mais ágil e segura, com a garantia de que o ambiente está de acordo com as suas regras de compliance. A Bodytech já implementa uma política de Cloud First, estruturando todos os seus produtos digitais na nuvem e planeja novas aplicações utilizando esse ambiente estruturado e seguro.


A sensação de insegurança e descontrole total foi resolvida e as equipes de segurança e infraestrutura da Bodytech agora já acreditam no ambiente para hospedar todas as suas aplicações. Além disso, a equipe técnica da Bodytech vem se capacitando e estudando para as certificações da AWS, através dos treinamentos da e-Core, para criar um CCoE (Cloud Center of Excellence) dentro da empresa para inovar de forma mais ágil e segura.



e-Core

Combinamos experiência global com tecnologias emergentes para ajudar empresas como a sua a criar produtos digitais inovadores, modernizar plataformas de tecnologia e melhorar a eficiência nas operações digitais.


Isso pode te interessar:

Guia de Recursos: Técnicas de Fine Tuning em GenAI
By e-Core August 11, 2025
Por trás da popularização de GenAI e dos benefícios em eficiência e tomada de decisões, existe um grande trabalho ao identificar padrões em enormes volumes de dados, estabelecendo relações entre essas informações que precisa ser otimizada. Nesse e-book iremos conhecer melhor uma delas, o fine tunning.
By e-Core August 7, 2025
Durante o processo de procura de novas oportunidades de emprego é comum surgirem algumas dúvidas com relação a candidatura, processo, como se comportar e etc. Nesse texto você vai encontrar algumas dicas que podem te ajudar em diversas situações. Primeiro passo: A procura! Durante a pesquisa por vagas, que fazem sentido para cada um, é comum levarmos em consideração coisas como nome da empresa, nível da vaga, benefícios e se de fato temos a compatibilidade técnica e comportamental exigida. Porém, é de extrema importância analisar o quanto de afinidade a empresa e a oportunidade tem com você, pessoa candidata. Além de colocar na balança as exigências e as oportunidades, e fatores como a distância, horários e modelo de trabalho, lembre-se de prestar atenção à estrutura, à cultura e ao negócio da empresa. Uma boa forma de fazer isso é conferindo os feedbacks das pessoas que trabalham ou trabalharam na empresa, tanto nas redes sociais quanto no Glassdoor, por exemplo, para que você possa compreender no detalhe como é a cultura daquela empresa de acordo com os seus valores. Isso aumenta sua assertividade na hora de avaliar a Oferta de Emprego, bem como traz um prognóstico mais fiel de como será sua adaptação no novo desafio. Segundo passo: Participando do processo. O Processo começou, e agora? Nesta etapa é extremamente importante esclarecer as dúvidas e perguntar. Calma! O nervosismo é normal, mas lembre-se que é extremamente importante organizar as ideias e perguntar. Por exemplo, aqui na e-core temos algumas etapas onde você poderá tirar dúvidas direcionadas em cada fase: Na etapa de RH : nessa fase você consegue tirar dúvidas sobre benefícios, estrutura da empresa, iniciativas de saúde e bem estar, dentre outros pontos, principalmente relacionados à cultura no geral. Na etapa técnica : Nesta etapa você tem contato com pessoas da sua área, então as perguntas podem ser aprofundadas – como é o dia a dia de trabalho com seu futuro time? Como é o contato com o cliente? Quais tecnologias são utilizadas? Você gosta de trabalhar na empresa – e por quê? Na etapa de liderança: você consegue não só tirar dúvidas sobre o time, mas sobre desafios futuros, expectativas para o cargo e desenvolvimento profissional. Durante o processo seletivo, o ideal é aproveitar ao máximo e ter em mente que estamos nos avaliando mutuamente, e por isso tanto a empresa quanto você deve perguntar e esclarecer dúvidas sobre o que for necessário. Afinal é como o início de um relacionamento. Uma experiência positiva, durante um processo seletivo, está sempre ligada à transparência e feedback, independente do resultado. Tome alguns cuidados ao trazer seus exemplos vividos, lembre-se que o tempo de uma entrevista apesar de parecer longo, é muito curto, mas ele é tudo que temos para nos conhecer e ter um overview geral das suas experiências, e é onde nós do RH podemos entender se faz ou não sentido avançar com você para as próximas etapas. Por isso, busque organizar suas ideias para trazer suas experiências, evite ser prolixo (nós sempre pediremos mais informações quando necessário então não precisa se preocupar em contar tudo de uma vez, pois vamos focar nos pontos que são importantes para a oportunidade em questão), e o importante é focar em suas experiências, nos seus objetivos, metas e vulnerabilidades (afinal, todos temos!). Terceiro passo: Recebendo feedback do processo. Feedbacks nem sempre são fáceis, podem nos trazer um sentimento de medo antes mesmo de sabermos qual o assunto, mas respire, lembre-se que todo feedback nos traz um crescimento. Essa é uma etapa muito importante, pois estar com a mente aberta para feedbacks vai ajudar no seu desenvolvimento pessoal e profissional e vai deixar você, pessoa candidata, cada vez mais preparada. Todo feedback abre um espaço para pedir dicas de como se preparar, de como aprender mais, de como crescer! Pedir feedbacks não é problema, seu desenvolvimento é exclusivamente seu, por isso, esse comportamento é extremamente valorizado e vai te ajudar a criar redes de networking além de impulsionar seu desenvolvimento. Boa sorte na sua jornada! Bom, agora que já falamos sobre algumas dicas rápidas, lembre-se que você é o protagonista da sua carreira. Por isso, é importante analisar com cuidado e atenção os passos que você escolhe dar nesse trajeto. Busque conhecimento e não tenha medo de pedir feedbacks, assim, você estará cada vez mais perto de conquistar a oportunidade ideal e de crescer profissionalmente. Boa sorte na sua jornada!
A group of people are having a meeting in a conference room.
By e-Core July 29, 2025
Com mais de 150 mil times ativos em todo o mundo e presença em mais de 200 países, a Atlassian tem se consolidado como uma referência em colaboração e produtividade empresarial.