Conformance Packs mit Config-Regeln

Eine einzelne AWS-Config-Regel prüft jeweils einen Aspekt, etwa "Ist die Verschlüsselung aktiviert?" Echte Compliance-Frameworks erfordern Dutzende von Prüfungen für jedes Konto.

Ein Conformance Pack bündelt viele Config-Regeln und Behebungsaktionen in einem bereitstellbaren Paket, sodass Sie Compliance als Einheit statt Regel für Regel verwalten.

Ein Conformance Pack ist eine Sammlung von Config-Regeln und Behebungsaktionen, die in einer einzigen YAML-Vorlage definiert sind.

• Stellen Sie es bereit, um alle enthaltenen Regeln gleichzeitig anzuwenden.
• Verfolgen Sie die Compliance als Paket.

AWS stellt Beispielpakete für gängige Frameworks bereit; Sie können auch eigene Pakete schreiben.

AWS liefert Beispiel-Conformance-Packs, die an Standards wie PCI DSS, HIPAA, NIST und CIS-Benchmarks ausgerichtet sind.

Sie bieten einen schnellen Einstieg in die technischen Controls eines Frameworks. Dennoch müssen Sie diese sorgfältig Ihren tatsächlichen Verpflichtungen zuordnen.

Ein Paket kann von AWS verwaltete Regeln (vorgefertigte Prüfungen) und benutzerdefinierte Regeln kombinieren, die von Lambda-Funktionen unterstützt werden.

So können Sie Standardanforderungen mit verwalteten Regeln abdecken und gleichzeitig organisationsspezifische Richtlinien, etwa ein vorgeschriebenes Tag-Schema, als benutzerdefinierte Regeln in demselben Paket hinterlegen.

Über ein Konto mit delegierten Administratorrechten können Sie ein Conformance Pack gleichzeitig in jedem Konto Ihrer Organisation bereitstellen.

Neue Konten, die hinzukommen, übernehmen das Paket automatisch. Dadurch werden überall konsistente Compliance-Prüfungen gewährleistet, ohne dass Arbeiten pro Konto erforderlich sind.

Conformance Packs unterstützen Parameter, sodass sich eine Vorlage an unterschiedliche Umgebungen anpassen lässt.

Beispielsweise können Sie eine erforderliche Mindestlänge für Passwörter oder eine Liste zugelassener Regionen zum Zeitpunkt der Bereitstellung übergeben. So lässt sich dasselbe Paket mit umgebungsspezifischen Werten wiederverwenden.

Compliance-Ergebnisse aus vielen Konten werden über einen Config-Aggregator in einer einzigen Ansicht zusammengeführt.

Ein zentrales Team sieht konto- und regelweise, wo die Organisation konform ist und wo nicht – und zwar in einem einzigen Dashboard, ohne sich bei jedem Konto anmelden zu müssen.

Pakete können eine Behebung enthalten, die bei einer Regelverletzung mithilfe von SSM-Automatisierungsdokumenten (Systems Manager) ausgelöst wird.

Eine Regel, die beispielsweise einen unverschlüsselten Bucket erkennt, kann automatisch eine Behebung auslösen, sodass Drift korrigiert und nicht nur gemeldet wird.

Control-Tower-Guardrails und Conformance Packs überschneiden sich, erfüllen aber unterschiedliche Anforderungen:

• Control Tower bietet eine ausgewählte Ausgangsbasis und Kontoverwaltung.
• Conformance Packs ermöglichen die Bereitstellung beliebig großer Mengen von Config-Regeln, die einem bestimmten Framework zugeordnet sind.

Sie werden häufig gemeinsam verwendet.

Ein Conformance Pack meldet einen Compliance-Wert, also den Prozentsatz der bestandenen Regeln innerhalb des Pakets.

Diese einzelne Zahl verfolgt den Fortschritt in Richtung eines Frameworks im Zeitverlauf und zeigt, welche Konten zurückliegen. So wird aus einer umfangreichen Regelsammlung eine übersichtliche Kennzahl zur Sicherheitslage für Auditoren und Führungskräfte.

Verwenden Sie Conformance Packs, wenn Sie die Einhaltung eines benannten Compliance-Frameworks für viele Konten mit gruppierten und nachverfolgbaren Config-Regeln nachweisen müssen.

In Prüfungen werden sie mit PCI-DSS- oder HIPAA-Szenarien verbunden, die konsistente und prüfbare organisationsweite Kontrollen erfordern.

Ordnen Sie die Anforderung dem passenden Feature zu.

Sie haben gelernt, wie Conformance Packs Compliance skalieren.

• Sie bündeln viele Config-Regeln einschließlich Behebungen in einer Vorlage.
• Beispielpakete sind auf PCI DSS, HIPAA, NIST und weitere Standards ausgerichtet.
• Stellen Sie sie organisationsweit bereit und führen Sie die Ergebnisse zentral zusammen.