قواعد Config المُدارة والمخصصة

تقيّم قاعدة Config مدى توافق مواردكم مع تكوين مطلوب، وتبلغ عن كل مورد باعتباره COMPLIANT أو NON_COMPLIANT. ويُعد تسجيل الحالة عملية سلبية؛ أما القواعد فتضيف طبقة الحكم التي تضع علامة تلقائيًا على الإعدادات غير الآمنة، وتحول Config إلى محرك امتثال مستمر.

تُنشئ AWS القواعد المُدارة مسبقًا لإجراء الفحوصات الشائعة، ولذلك يمكنكم تمكينها دون كتابة تعليمات برمجية. ومن أمثلتها s3-bucket-public-read-prohibited وencrypted-volumes وiam-password-policy وrestricted-ssh. وهناك مئات القواعد التي تغطي أفضل الممارسات، مما يجعلها أسرع طريقة لإنشاء خط أساس للامتثال.

عندما لا تناسبكم قاعدة مُدارة، يمكنكم كتابة قاعدة مخصصة. وتعمل هذه القواعد باعتبارها دالة Lambda تتلقى تكوين المورد وتعيد حكمًا بشأن الامتثال، أو باعتبارها سياسة Guard باستخدام لغة AWS الخاصة بالسياسات كتعليمات برمجية. وتشفّر القواعد المخصصة المتطلبات الخاصة بالمؤسسة التي لا تستطيع القواعد المُدارة التعبير عنها.

تعمل القواعد بنوعين من المشغلات. يقيّم مشغل تغيير التكوين المورد كلما تغير، مما يوفر امتثالًا شبه فوري. أما المشغل الدوري فيعمل وفق جدول ثابت بغض النظر عن التغييرات، وهو مفيد للفحوصات التي تعتمد على الوقت أو على إعدادات مستوى الحساب بدلًا من حدث مورد واحد.

تعرض لوحة معلومات Config حالة امتثال كل قاعدة، وتسرد الموارد غير المتوافقة. ويوفر ذلك قائمة مهام مرتبة حسب الأولوية للإعدادات غير الآمنة. ومن منظور الأمان، تُظهر قواعد مثل الحاويات العامة في S3 ووحدات التخزين غير المشفرة ومجموعات الأمان المفتوحة الموارد المحددة التي تحتاج إلى إصلاح.

تقبل العديد من القواعد معلمات لتخصيص الفحص. فعلى سبيل المثال، تتيح لكم قاعدة iam-password-policy تحديد الحد الأدنى للطول ومتطلبات التدوير. وتتيح المعلمات لقاعدة مُدارة واحدة فرض المعيار الخاص بمؤسستكم بدلًا من إعداد عام افتراضي، من دون كتابة تعليمات برمجية مخصصة.

تجمع حزمة التوافق العديد من القواعد وإجراءات المعالجة في حزمة واحدة قابلة للنشر، وغالبًا ما تكون مرتبطة بإطار عمل مثل CIS أو PCI DSS. يؤدي نشر حزمة عبر مُجمِّع أو عبر Organizations إلى تطبيق معيار امتثال كامل دفعة واحدة بدلًا من تفعيل القواعد واحدةً تلو الأخرى.

يمكنكم تحديد نطاق القاعدة ليشمل أنواعًا معينة من الموارد أو العلامات، بحيث تقيّم فقط ما يهمكم، مما يقلل الضوضاء والتكلفة معًا. تفرض Config رسومًا مقابل كل تقييم للقاعدة، لذا يساعد تحديد النطاق واختيار نوع المشغّل المناسب في إبقاء تكلفة مجموعة كبيرة من القواعد منخفضة مع الاستمرار في تغطية الموارد المهمة أمنيًا.

تتداخل قواعد Config مع معايير Security Hub، بل إن Security Hub يستخدم Config فعليًا وراء العديد من عمليات التحقق التي يجريها. تمنحكم قواعد Config امتثالًا دقيقًا وقابلًا للتخصيص لكل مورد، بينما يجمع Security Hub النتائج عبر الخدمات في درجة واحدة لوضعية الأمان. قد يسألكم الاختبار عن الخدمة المناسبة لعمليات التحقق المخصصة على مستوى المورد؛ والإجابة هي قواعد Config.

خذوا القاعدة restricted-ssh مثالًا: فهي تضع مجموعة الأمان في حالة NON_COMPLIANT إذا سمحت باتصالات SSH الواردة غير المقيّدة على المنفذ 22 من 0.0.0.0/0. يؤدي تفعيل هذه القاعدة الواحدة عبر حساباتكم إلى اكتشاف أحد أكثر الإعدادات الخاطئة شيوعًا وخطورة باستمرار، من دون الحاجة إلى كتابة أي تعليمات برمجية مخصصة.

ابدؤوا بالقواعد المُدارة وحزم التوافق لتوفير تغطية واسعة، ثم أضيفوا قواعد مخصصة لسياساتكم الفريدة. حدّدوا النطاق بعناية، واضبطوا المعلمات بما يتوافق مع معاييركم، واربطوا القواعد عالية القيمة بإجراءات المعالجة. يوفّر هذا النهج متعدد الطبقات ضمانًا مستمرًا ومؤتمتًا لبقاء بيئتكم مُهيّأة بأمان.

اختبروا معرفتكم بقواعد Config.

تضع قواعد Config الموارد في حالة COMPLIANT أو NON_COMPLIANT. تغطي مئات القواعد المُدارة عمليات التحقق الشائعة مع معلمات اختيارية، بينما تعبّر القواعد المخصصة (Lambda أو Guard) عن السياسات الفريدة. تعمل القواعد عند حدوث تغيير أو وفق جدول زمني، ويمكن تجميعها في حزم توافق لأطر العمل، كما تكمل Security Hub بتوفير امتثال دقيق لكل مورد.