Verwaltete und benutzerdefinierte Config-Regeln

Eine Config rule bewertet, ob Ihre Ressourcen einer gewünschten Konfiguration entsprechen, und meldet jede Ressource als COMPLIANT oder NON_COMPLIANT. Das Aufzeichnen des Zustands ist passiv. Regeln ergänzen eine Bewertungsebene, die unsichere Einstellungen automatisch markiert, und machen Config dadurch zu einer kontinuierlichen Compliance-Engine.

Managed rules werden von AWS für häufige Prüfungen vorkonfiguriert, sodass Sie sie aktivieren können, ohne Code zu schreiben. Beispiele sind s3-bucket-public-read-prohibited, encrypted-volumes, iam-password-policy und restricted-ssh. Es gibt Hunderte von Regeln für bewährte Vorgehensweisen. Damit sind sie der schnellste Weg, eine Compliance-Baseline einzurichten.

Wenn keine verwaltete Regel passt, schreiben Sie eine custom rule. Diese wird entweder als Lambda function ausgeführt, die die Ressourcenkonfiguration empfängt und ein Compliance-Urteil zurückgibt, oder als Guard policy unter Verwendung der Policy-as-Code-Sprache von AWS. Benutzerdefinierte Regeln bilden organisationsspezifische Anforderungen ab, die verwaltete Regeln nicht ausdrücken können.

Regeln werden durch zwei Auslösertypen gestartet. Ein configuration-change trigger bewertet eine Ressource bei jeder Änderung und ermöglicht so eine Compliance-Prüfung nahezu in Echtzeit. Ein periodic trigger wird unabhängig von Änderungen nach einem festen Zeitplan ausgeführt. Das eignet sich für Prüfungen, die von der Zeit oder von Einstellungen auf Kontoebene und nicht von einem einzelnen Ressourcenereignis abhängen.

Das Config-Dashboard zeigt die Compliance jeder Regel und listet die nicht konformen Ressourcen auf. Dadurch erhalten Sie eine priorisierte Aufgabenliste unsicherer Konfigurationen. Für die Sicherheit machen Regeln zu öffentlichen S3-Buckets, unverschlüsselten Volumes und offenen Sicherheitsgruppen genau die Ressourcen sichtbar, die korrigiert werden müssen.

Viele Regeln akzeptieren parameters, mit denen Sie die Prüfung anpassen können. Die Regel iam-password-policy ermöglicht beispielsweise die Festlegung von Mindestlänge und Anforderungen an die Rotation. Mit Parametern kann eine verwaltete Regel den spezifischen Standard Ihrer Organisation statt eines allgemeinen Standardwerts durchsetzen, ohne dass Sie benutzerdefinierten Code schreiben müssen.

Ein conformance pack bündelt viele Regeln und Maßnahmen zur Behebung in einem einzigen bereitstellbaren Paket, das häufig einem Framework wie CIS oder PCI DSS zugeordnet ist. Wenn Sie ein solches Paket über einen Aggregator oder AWS Organizations kontenübergreifend bereitstellen, wird ein vollständiger Compliance-Standard auf einmal angewendet, anstatt die Regeln einzeln zu aktivieren.

Sie können eine Regel auf bestimmte Ressourcentypen oder Tags beschränken, sodass sie nur relevante Ressourcen bewertet. Dadurch reduzieren Sie sowohl die Menge unnötiger Meldungen als auch die Kosten. Config berechnet Gebühren pro Regelauswertung. Durch eine gezielte Einschränkung und die Wahl des passenden Triggertyps bleibt auch eine große Regelsammlung bezahlbar, während sicherheitskritische Ressourcen weiterhin abgedeckt sind.

Config-Regeln und Security Hub-Standards überschneiden sich, und Security Hub verwendet für viele seiner Prüfungen tatsächlich Config im Hintergrund. Config-Regeln ermöglichen eine detaillierte, anpassbare Compliance-Bewertung auf Ressourcenebene. Security Hub fasst Ergebnisse aus verschiedenen Services zu einem Sicherheitsstatuswert zusammen. In der Prüfung kann die Frage vorkommen, welche Lösung für benutzerdefinierte Prüfungen auf Ressourcenebene verwendet werden soll: Das sind Config-Regeln.

Betrachten Sie restricted-ssh: Die Regel markiert eine Sicherheitsgruppe als NON_COMPLIANT, wenn sie uneingehenden SSH-Zugriff auf Port 22 aus dem gesamten Internet über 0.0.0.0/0 erlaubt. Wenn Sie diese einzelne Regel in Ihren Konten aktivieren, werden dadurch kontinuierlich eine der häufigsten und gefährlichsten Fehlkonfigurationen erkannt – ganz ohne eigenen Code.

Beginnen Sie mit verwalteten Regeln und conformance packs für eine breite Abdeckung und ergänzen Sie anschließend benutzerdefinierte Regeln für Ihre individuellen Richtlinien. Schränken Sie den Geltungsbereich sorgfältig ein, passen Sie die Parameter an Ihre Standards an und kombinieren Sie besonders wertvolle Regeln mit Maßnahmen zur Behebung. Dieser mehrschichtige Ansatz bietet kontinuierliche, automatisierte Sicherheit dafür, dass Ihre Umgebung sicher konfiguriert bleibt.

Testen Sie Ihr Wissen über Config-Regeln.

Config-Regeln markieren Ressourcen als COMPLIANT oder NON_COMPLIANT. Hunderte verwaltete Regeln decken gängige Prüfungen ab und bieten optionale Parameter, während benutzerdefinierte Regeln (Lambda oder Guard) individuelle Richtlinien abbilden. Regeln werden bei einer Änderung oder nach einem Zeitplan ausgelöst, für Frameworks in conformance packs gebündelt und ergänzen Security Hub durch eine detaillierte Compliance-Bewertung auf Ressourcenebene.