Verlauf der Konfigurations-Timeline anzeigen

Für jede überwachte Ressource erstellt Config eine configuration timeline: eine chronologisch geordnete Historie aller dafür aufgezeichneten Konfigurationselemente. Sie können zurückblättern und genau sehen, wie die Ressource zu jedem vergangenen Zeitpunkt eingerichtet war – eine Zeitmaschine für Ihre Infrastruktur.

Während eines Vorfalls beantwortet die Timeline eine entscheidende Frage: was hat sich wann geändert? Wenn eine Sicherheitsgruppe plötzlich Datenverkehr von überall zulässt, zeigt die Timeline, wann diese Regel hinzugekommen ist. Die genaue Bestimmung des Änderungszeitpunkts grenzt den Untersuchungszeitraum ein und erleichtert die Korrelation mit anderen Ereignissen.

Jeder Eintrag in der Timeline kennzeichnet eine Konfigurationsänderung mit einem Zeitstempel und den before-and-after differences. Sie sehen genau, welche Attribute geändert wurden, etwa dass ein Portbereich erweitert oder die Verschlüsselung deaktiviert wurde. Diese Diff-Ansicht macht aus einem vagen „Etwas wurde geändert“ einen konkreten, eindeutigen Befund.

Config zeigt, what aus dem Zustand wurde. Um herauszufinden, who dies verursacht hat, wechseln Sie mithilfe des Zeitstempels aus dem Config-Eintrag zu CloudTrail. Durch den Abgleich des Änderungszeitpunkts mit CloudTrail-Ereignissen lassen sich Principal, Quell-IP und verantwortlicher API-Aufruf ermitteln. Dieser Wechsel von Config zu CloudTrail ist eine zentrale Untersuchungstechnik.

Die Timeline erfasst auch Änderungen an relationships, etwa wenn ein Volume an eine andere Instance angehängt oder die Routing-Tabelle eines Subnetzes geändert wird. Diese Änderungen an Beziehungen können bei einem Vorfall die eigentliche Ursache offenlegen: Sie zeigen, wie ein Angreifer Verbindungen neu verdrahtet hat, selbst wenn einzelne Ressourcenattribute unverändert aussehen.

Neben den Timelines einzelner Ressourcen kann Config nach einem Zeitplan vollständige configuration snapshots aller aufgezeichneten Ressourcen an S3 übermitteln. Ein Snapshot ist ein vollständiges Inventar zu einem bestimmten Zeitpunkt. Er eignet sich dazu, bei einer Prüfung den Zustand der gesamten Umgebung nachzuweisen oder den Sicherheitsstatus an verschiedenen Tagen zu vergleichen.

Config bewahrt die Konfigurationshistorie für einen konfigurierbaren Zeitraum von bis zu mehreren Jahren auf. Die zugrunde liegenden Daten liegen außerdem in Ihrem S3-Bucket. Für langfristige forensische und Compliance-Anforderungen ist es ebenso wichtig, diesen Bucket zu schützen und die Daten aufzubewahren wie die Aufzeichnung selbst, denn die Historie ist nur nützlich, wenn sie erhalten bleibt.

Anhand der Timeline untersuchen Sie configuration drift: eine Ressource entfernt sich unbemerkt von ihrem vorgesehenen sicheren Zustand. Der Vergleich des aktuellen CI mit einem früheren, bekannten fehlerfreien CI zeigt genau, was abgewichen ist. Das ist besonders wertvoll, wenn eine gestern noch konforme Kontrolle heute fehlschlägt.

In der Konsole öffnen Sie eine Ressource in Config und sehen ihre Timeline direkt ein, wobei der Compliance-Status an jedem Punkt eingeblendet wird. Sie erkennen nicht nur, wie sich die Ressource verändert hat, sondern auch, ob jede Version Ihren Regeln entsprach. So können Sie den historischen Zustand mit Ihrem Sicherheitsstatus zu diesem Zeitpunkt verknüpfen.

Config bewahrt die Historie auch für deleted resources auf und zeichnet ein abschließendes CI auf, das die Löschung markiert. Das ist bei Untersuchungen wichtig, wenn ein Angreifer eine Ressource erstellt und anschließend entfernt, um Spuren zu verwischen. Das Löschereignis und der vorherige Zustand der Ressource bleiben beide im Datensatz erhalten und können von Ihnen gefunden werden.

Die Konfigurations-Timeline bildet das Rückgrat Ihrer forensischen Untersuchungen: Sie zeigt, wann sich eine Ressource geändert hat und was geändert wurde, und in Verbindung mit CloudTrail auch, wer dafür verantwortlich war. Die Beherrschung dieses Wechsels von der Zustandsänderung zum verantwortlichen API-Aufruf entspricht genau der Art von Untersuchung, die in der Prüfung von Ihnen erwartet wird.

Testen Sie Ihre Anwendung der Config-Historie.

Die configuration timeline ist eine chronologisch geordnete Historie der configuration items einer Ressource. Sie zeigt before-and-after diffs und Änderungen an Beziehungen mit Zeitstempeln. Sie grenzt ein, what sich when geändert hat; der Wechsel zu CloudTrail zeigt, who dafür verantwortlich war. Config bewahrt die Historie gelöschter Ressourcen auf und unterstützt snapshots. Dadurch bildet der Dienst das forensische Rückgrat für die Untersuchung von Drift und Vorfällen.