Automatische Fehlerbehebung durch Config-Regeln

Eine nicht konforme Ressource zu finden, ist nur die halbe Aufgabe. Die automatische Behebung korrigiert sie automatisch. AWS Config kann einer Regel eine Maßnahme zur Behebung zuordnen. Sobald eine Ressource den Status NON_COMPLIANT erhält, wird die Korrektur ausgeführt, ohne dass ein Mensch eingreifen muss. Dadurch verkürzt sich die Zeit, in der eine unsichere Konfiguration ungeschützt besteht.

Die Behebung durch Config wird von AWS Systems Manager (SSM) Automation documents unterstützt, die auch als Runbooks bezeichnet werden. AWS stellt viele vordefinierte Dokumente bereit, beispielsweise eines zum Deaktivieren des öffentlichen Zugriffs auf einen S3-Bucket oder zum Verschlüsseln eines Volumes. Das Dokument legt die genauen Schritte fest, mit denen die Ressource wieder in einen konformen Zustand versetzt wird.

Sie verknüpfen eine Maßnahme zur Behebung mit einer Config-Regel und ordnen die Ausgabe der Regel, etwa die Ressourcen-ID, den Eingabeparametern des Runbooks zu. Wenn die Regel einen Verstoß gegen die Compliance meldet, ruft Config das SSM-Dokument für genau diese Ressource auf. So wird die Lücke zwischen Erkennung und Korrektur geschlossen.

Die Behebung kann automatisch erfolgen und unmittelbar nach der Erkennung eines Compliance-Verstoßes ausgelöst werden. Alternativ kann sie manuell erfolgen, wobei eine zuständige Person die Änderung prüft und die Korrektur anschließend auslöst. Automatische Behebung eignet sich für eindeutige, sichere Korrekturen. Manuelle Behebung ist sinnvoll, wenn eine Änderung einen Workload beeinträchtigen könnte und vor der Ausführung menschliches Ermessen erforderlich ist.

Das SSM-Dokument wird unter einer von Ihnen angegebenen IAM-Rolle ausgeführt. Diese Rolle benötigt die Berechtigungen, um die Korrektur durchzuführen, etwa eine Sicherheitsgruppe zu ändern oder Verschlüsselung zu aktivieren. Nach dem Prinzip der geringsten Berechtigung sollte die Rolle nur die Aktionen erlauben, die das Runbook benötigt, da sie effektiv über die Möglichkeit verfügt, Ihre Ressourcen zu ändern.

Sie können festlegen, wie oft die Behebung wiederholt werden soll und über welchen Zeitraum. Wenn eine Korrektur wiederholt fehlschlägt, bleibt die Ressource nicht konform und wird zur manuellen Bearbeitung angezeigt. Wenn Sie dieses Verhalten verstehen, vermeiden Sie Überraschungen: Die Behebung erfolgt nach bestem Bemühen und ist keine Garantie. Daher ist es weiterhin wichtig, die Ergebnisse zu überwachen.

Ein klassisches Muster kombiniert die Regel s3-bucket-public-read-prohibited mit einem Behebungs-Runbook, das für jeden als öffentlich erkannten Bucket den Block Public Access aktiviert. Sobald jemand einen Bucket öffentlich zugänglich macht, erkennt Config dies und das Runbook stellt die Absicherung wieder her – häufig innerhalb weniger Minuten und ohne Eingreifen einer zuständigen Person.

Eine Behebung reagiert, nachdem ein unerwünschter Zustand eingetreten ist. Präventive Schutzmechanismen wie SCPs oder Berechtigungsgrenzen verhindern, dass dieser Zustand überhaupt entsteht. Die stärksten Konzepte kombinieren beides: Verhindern Sie, was möglich ist, und beheben Sie die verbleibenden Lücken automatisch. In Prüfungen werden präventive Kontrollen häufig detektivischen und korrigierenden Kontrollen gegenübergestellt.

Automatische Korrekturen können Nebenwirkungen haben. Das erneute Verschlüsseln oder Absichern einer Ressource kann einen Service kurzzeitig beeinträchtigen oder mit einer legitimen Änderung in Konflikt geraten. Testen Sie Runbooks zunächst in einer Nicht-Produktionsumgebung, schränken Sie den Geltungsbereich der Regeln sorgfältig ein und ziehen Sie für sensible Ressourcen eine manuelle Behebung in Betracht. So verhindert die Automatisierung, dass sie mehr Schaden verursacht als die Fehlkonfiguration, die sie korrigiert.

Über conformance packs können Sie Regeln zusammen mit ihren Maßnahmen zur Behebung gleichzeitig in jedem Konto einer Organisation bereitstellen. Dadurch wird überall ein einheitlicher, sich selbst heilender Sicherheitsstatus durchgesetzt. Eine Fehlkonfiguration in einem beliebigen Konto wird somit nach demselben automatisierten Standard erkannt und korrigiert.

Die automatische Behebung vervollständigt das Konzept von Config: Zustand aufzeichnen, mit Regeln bewerten und mithilfe von SSM-Runbooks unter einer Rolle mit geringsten Berechtigungen automatisch korrigieren. Zusammen mit sorgfältig eingesetzten präventiven Schutzmechanismen hält sie Ihre Umgebung kontinuierlich konform und verkürzt die Dauer, über die eine unsichere Einstellung bestehen kann, erheblich.

Testen Sie Ihr Wissen über die automatische Behebung.

Automatische Behebung verknüpft ein SSM Automation document mit einer Config-Regel, sodass nicht konforme Ressourcen automatisch oder nach einer manuellen Prüfung korrigiert werden. Das Runbook wird unter einer IAM-Rolle mit geringsten Berechtigungen ausgeführt und kann mit konfigurierbaren Wiederholungen versehen werden. Kombinieren Sie diesen Ansatz mit präventiven Schutzmechanismen, testen Sie Runbooks zuerst und stellen Sie sie über conformance packs organisationsweit bereit, um eine sich selbst heilende, kontinuierlich konforme Umgebung zu schaffen.