Conformance Packs y trails de la organización

Los AWS Config Conformance Packs son conjuntos de reglas de Config y acciones de corrección empaquetados como una única unidad implementable mediante una plantilla YAML similar a CloudFormation. Representan un conjunto de controles de cumplimiento para un estándar o marco específico, como CIS AWS Foundations Benchmark, PCI-DSS, HIPAA o NIST 800-53. En lugar de implementar manualmente docenas de reglas individuales de Config, puede implementar un paquete de conformidad y obtener una cobertura completa en cuestión de minutos.

AWS proporciona docenas de plantillas de ejemplo de conformance packs en GitHub y en la consola de AWS. Algunos ejemplos son: Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (controles de seguridad fundamentales), Operational-Best-Practices-for-PCI-DSS (controles del sector de las tarjetas de pago) y Operational-Best-Practices-for-HIPAA-Security (controles para datos sanitarios). Puede utilizar estas plantillas tal como están o personalizarlas agregando, eliminando o modificando reglas individuales antes de la implementación.

Una plantilla de conformance pack es un documento YAML que contiene una sección Parameters y una sección Resources. Cada recurso de la plantilla es una definición de regla de Config que utiliza el tipo de recurso de CloudFormation AWS::Config::ConfigRule. También puede incluir recursos AWS::Config::RemediationConfiguration para asociar acciones de corrección automáticas. Los parámetros hacen que la plantilla sea reutilizable; por ejemplo, puede parametrizar qué bucket de S3 almacena los resultados o qué rol de IAM asume la corrección.

Una vez implementado, puede consultar un resumen de cumplimiento de cada conformance pack, que muestra cuántas reglas se cumplen, cuántas no se cumplen y cuántos recursos no cumplen las normas en cada regla. Puede profundizar desde el nivel del paquete hasta el nivel de la regla y, finalmente, hasta el nivel del recurso individual. Los datos de cumplimiento se pueden exportar a S3 en un bucket de resultados que usted especifique, lo que permite incorporarlos a un SIEM o a un panel de informes de cumplimiento.

Un Organisation Conformance Pack implementa un conformance pack simultáneamente en todas las cuentas de una AWS Organization desde la cuenta de administración (o una cuenta de administrador delegado). Las cuentas miembro no pueden eliminar ni modificar las reglas implementadas. Las cuentas nuevas que se incorporen a la organización reciben automáticamente el conformance pack. Esta es la forma más eficiente de aplicar líneas base de cumplimiento en cientos de cuentas sin tener que acceder a cada cuenta individualmente.

En una AWS Organization, puede designar una cuenta de administrador delegado para AWS Config, de modo que no sea necesario utilizar la cuenta de administración para las operaciones diarias de Config. El administrador delegado puede implementar reglas de Config de la organización, conformance packs y agregadores, además de consultar los datos de cumplimiento de todas las cuentas miembro. Esto sigue la práctica recomendada de utilizar la cuenta de administración lo mínimo posible para las tareas operativas.

Un organisation trail de AWS CloudTrail captura la actividad de API de todas las cuentas de la AWS Organization, tanto las actuales como las futuras, y entrega los registros a un bucket de S3 centralizado en la cuenta de administración. A diferencia de los trails a nivel de cuenta, que cada cuenta debe mantener, un organisation trail se crea una sola vez y se aplica automáticamente en todas partes. Las cuentas miembro pueden ver el organisation trail en su consola de CloudTrail, pero no pueden modificarlo ni eliminarlo.

El bucket de S3 del organisation trail utiliza un prefijo de clave estructurado: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Esta jerarquía permite consultar los registros de todas las cuentas con una sola tabla de Athena particionada por ID de organización e ID de cuenta, o utilizar prefijos de objetos de S3 para conceder a cuentas específicas acceso de lectura únicamente a sus propios registros. La política del bucket debe permitir explícitamente que cloudtrail.amazonaws.com escriba desde todas las cuentas de la organización.

Las Service Control Policies (SCPs) de AWS Organisations son un control preventivo complementario que restringe las acciones que las cuentas miembro pueden realizar. Combinar las SCP con las reglas de Config crea una defensa por capas: las SCP previenen por completo las acciones que incumplen las normas (por ejemplo, denegar la creación de volúmenes EBS sin cifrar), mientras que las reglas de Config detectan los estados que incumplen las normas y activan la corrección. El examen SAA-C03 evalúa su capacidad para elegir entre controles preventivos (SCP) y controles detectivos (Config) en distintos escenarios.

AWS Security Hub incorpora resultados de Config (resultados de comprobaciones de cumplimiento), GuardDuty (detecciones de amenazas), Inspector (resultados de vulnerabilidades), Macie (sensibilidad de los datos) y herramientas de socios en una única vista normalizada. Asocia los resultados con estándares de seguridad como CIS Foundations, PCI-DSS y AWS Foundational Security Best Practices. Mientras que Config se centra en el estado de la configuración, Security Hub es el servicio que debe utilizar para obtener una puntuación de seguridad general y una lista priorizada de resultados de todos los servicios.

La arquitectura completa de gobernanza empresarial utiliza varios servicios conjuntamente: las SCP previenen las infracciones antes de que ocurran; AWS Config + Organisation Conformance Packs detectan y corrigen las infracciones automáticamente; Organisation CloudTrail registra toda la actividad de API de forma centralizada; Security Hub agrega los resultados en una puntuación de seguridad priorizada; y EventBridge + Lambda proporciona respuestas automatizadas a los resultados de alta gravedad. Este enfoque por capas es lo que AWS denomina el modelo de defensa en profundidad para la gobernanza en la nube.

Compruebe su comprensión de los conceptos de AWS Solutions Architect (SAA-C03) de esta lección.

En esta lección ha aprendido que los Conformance Packs agrupan varias reglas de Config en una única plantilla YAML implementable para cumplir con un marco; los Organisation Conformance Packs se aplican automáticamente a todas las cuentas de AWS Organization y los miembros no pueden modificarlos; y los Organisation Trails centralizan los registros de auditoría de API de todas las cuentas sin necesidad de configuración por cuenta. A continuación, exploraremos los tipos de volúmenes EBS en el análisis detallado del almacenamiento.