Consulta del historial de la línea temporal de configuración

Para cualquier recurso supervisado, Config crea una cronología de configuración: un historial ordenado de cada elemento de configuración registrado. Puede retroceder para ver exactamente cómo estaba configurado el recurso en cualquier momento anterior, como si dispusiera de una máquina del tiempo para su infraestructura.

Durante un incidente, la cronología responde a una pregunta fundamental: qué cambió y cuándo. Si un grupo de seguridad comenzó de repente a permitir tráfico desde cualquier origen, la cronología muestra cuándo apareció esa regla. Determinar el momento del cambio acota el intervalo que debe investigar y ayuda a correlacionarlo con otros eventos.

Cada entrada de la cronología marca un cambio de configuración con una marca de tiempo y las diferencias anteriores y posteriores. Puede ver exactamente qué atributos cambiaron, como la ampliación de un intervalo de puertos o la desactivación del cifrado. Esta vista de diferencias convierte un vago «algo cambió» en un hallazgo concreto y específico.

Config muestra en qué se convirtió el estado; para saber quién lo provocó, debe pasar a CloudTrail usando la marca de tiempo de la entrada de Config. Comparar la hora del cambio con los eventos de CloudTrail permite identificar la entidad principal, la IP de origen y la llamada a la API responsables. Este paso de Config a CloudTrail es una técnica de investigación fundamental.

La cronología también registra cambios en las relaciones, como cuando un volumen se asocia a otra instancia o cambia la tabla de rutas de una subred. Estos cambios en las relaciones pueden revelar la verdadera historia de un incidente: muestran cómo un atacante reconfiguró las conexiones aunque los atributos individuales de los recursos parezcan no haber cambiado.

Además de las cronologías por recurso, Config puede entregar en S3, según una programación, instantáneas de configuración completas de todos los recursos registrados. Una instantánea es un inventario completo en un momento determinado, útil para demostrar el estado de todo el entorno durante una auditoría o comparar la postura entre distintas fechas.

Config conserva el historial de configuración durante un periodo configurable, de hasta varios años, y los datos subyacentes también se almacenan en su bucket de S3. Para las necesidades forenses y de cumplimiento a largo plazo, garantizar la protección y conservación de ese bucket es tan importante como el propio registro, ya que el historial solo resulta útil si sobrevive.

La cronología permite investigar la desviación de configuración: el alejamiento silencioso de un recurso respecto de su estado seguro previsto. Comparar el CI actual con uno anterior conocido como correcto muestra exactamente qué se desvió. Esto resulta invaluable cuando un control que cumplía los requisitos ayer falla hoy.

En la consola, abra un recurso en Config y consulte directamente su cronología, con el estado de cumplimiento superpuesto en cada punto. Puede ver no solo cómo cambió el recurso, sino también si cada versión cumplía sus reglas, relacionando el estado histórico con su postura de seguridad en ese momento.

Config conserva el historial incluso de los recursos eliminados, mediante el registro de un CI final que indica la eliminación. Esto es importante en investigaciones en las que un atacante crea y después elimina un recurso para ocultar sus huellas. Tanto el evento de eliminación como el estado anterior del recurso permanecen registrados para que pueda encontrarlos.

La cronología de configuración es la columna vertebral de su análisis forense: muestra cuándo cambió un recurso, qué cambió y, combinada con CloudTrail, quién lo hizo. Dominar este paso del cambio de estado a la llamada a la API responsable es exactamente el tipo de investigación que se espera que realice en el examen.

Ponga a prueba su uso del historial de Config.

La cronología de configuración es un historial ordenado de los elementos de configuración de un recurso, que muestra las diferencias anteriores y posteriores y los cambios en las relaciones con sus marcas de tiempo. Permite determinar qué cambió y cuándo; pasar a CloudTrail revela quién. Config conserva el historial de los recursos eliminados y admite instantáneas, por lo que constituye la columna vertebral forense para investigar desviaciones e incidentes.