Config-sääntöjen conformance packit

Yksi AWS Config -sääntö tarkistaa yhden asian, esimerkiksi ”onko salaus käytössä?”. Todelliset vaatimustenmukaisuuskehykset edellyttävät kymmeniä tarkistuksia jokaisella tilillä.

Conformance pack kokoaa useita Config-sääntöjä ja korjaustoimia yhdeksi käyttöön otettavaksi paketiksi, joten vaatimustenmukaisuutta hallitaan kokonaisuutena yksittäisten sääntöjen sijaan.

Conformance pack on yhdessä YAML-mallissa määritetty kokoelma Config-sääntöjä ja korjaustoimia.

• Ottakaa se käyttöön, niin kaikki sen säännöt otetaan käyttöön kerralla.
• Seuratkaa vaatimustenmukaisuutta pakettina.

AWS tarjoaa esimerkkipaketteja yleisiä kehyksiä varten, mutta voitte myös kirjoittaa omanne.

AWS tarjoaa standardien, kuten PCI DSS- ja HIPAA-standardien sekä NIST- ja CIS-vertailuarvojen, mukaisia conformance pack -esimerkkipaketteja.

Ne tarjoavat nopean lähtökohdan kehyksen teknisille kontrolleille, mutta ne on silti yhdistettävä huolellisesti todellisiin velvoitteisiinne.

Paketti voi sisältää sekä AWS:n hallinnoimia sääntöjä (valmiita tarkistuksia) että mukautettuja sääntöjä, joiden taustalla on Lambda-funktioita.

Näin vakiovaatimukset voidaan kattaa hallinnoiduilla säännöillä ja organisaatiokohtaiset käytännöt, kuten pakollinen tunnistejärjestelmä, voidaan toteuttaa mukautettuina sääntöinä samassa paketissa.

Delegoidun ylläpitäjän tililtä voitte ottaa conformance packin käyttöön samanaikaisesti organisaation jokaisella tilillä.

Myös myöhemmin liittyvät uudet tilit perivät paketin automaattisesti. Näin vaatimustenmukaisuus tarkistetaan yhdenmukaisesti kaikkialla ilman tilikohtaista työtä.

Conformance pack -paketit tukevat parametreja, joten yksi malli voidaan mukauttaa eri ympäristöihin.

Esimerkiksi vaadittu salasanan vähimmäispituus tai hyväksytty alueluettelo voidaan välittää käyttöönoton yhteydessä. Näin samaa pakettia voi käyttää uudelleen ympäristökohtaisilla arvoilla.

Useiden tilien vaatimustenmukaisuustulokset kootaan Config aggregatorin kautta yhteen näkymään.

Keskitetty tiimi näkee yhdestä koontinäytöstä tili- ja sääntökohtaisesti, missä organisaatio on vaatimustenmukainen ja missä ei, ilman kirjautumista jokaiselle tilille erikseen.

Paketteihin voi sisällyttää korjaustoimia, jotka käynnistyvät säännön rikkoutuessa ja käyttävät SSM:n (Systems Manager) automaatioasiakirjoja.

Esimerkiksi salaamattoman säilön havaitseva sääntö voi käynnistää automaattisen korjauksen, jolloin poikkeama korjataan eikä vain ilmoiteta siitä.

Control Towerin suojaukset ja conformance pack -paketit ovat osittain päällekkäisiä, mutta palvelevat eri tarpeita:

• Control Tower tarjoaa kuratoidun perustason ja tilien hallinnan.
• Conformance pack -pakettien avulla voitte ottaa käyttöön minkä tahansa suuren joukon tiettyyn kehykseen yhdistettyjä Config-sääntöjä.

Niitä käytetään usein yhdessä.

Conformance pack raportoi vaatimustenmukaisuuspisteet, jotka ilmaisevat paketin läpäisevien sääntöjen prosenttiosuuden.

Tämä yksittäinen luku seuraa kehyksen mukaista edistymistä ajan mittaan ja korostaa jälkeen jääviä tilejä. Näin laaja sääntöjoukko muuttuu tarkastajille ja johdolle yhdellä silmäyksellä nähtäväksi tilamittariksi.

Käyttäkää conformance pack -paketteja, kun teidän on osoitettava yhdenmukaisuus nimetyn vaatimustenmukaisuuskehyksen kanssa useilla tileillä ryhmiteltyjen ja seurattavien Config-sääntöjen avulla.

Tutkintotehtävissä ne yhdistetään PCI DSS- tai HIPAA-skenaarioihin, joissa tarvitaan yhdenmukaisia ja auditoitavia tarkistuksia koko organisaatiossa.

Opitte, miten conformance pack -paketit skaalaavat vaatimustenmukaisuuden hallintaa.

• Ne kokoavat useita Config-sääntöjä ja korjaustoimia yhdeksi malliksi.
• Esimerkkipaketit vastaavat PCI DSS-, HIPAA- ja NIST-kehyksiä sekä muita kehyksiä.
• Ottakaa ne käyttöön koko organisaatiossa ja kootkaa tulokset keskitetysti.