Perbaikan Otomatis melalui Aturan Config

Menemukan sumber daya yang tidak sesuai hanyalah separuh pekerjaan; remediasi otomatis memperbaikinya secara otomatis. AWS Config dapat mengaitkan tindakan remediasi dengan suatu aturan sehingga ketika sumber daya menjadi TIDAK_COMPLIANT, perbaikan dijalankan tanpa menunggu manusia. Hal ini mempersingkat waktu konfigurasi yang tidak aman terekspos.

Remediasi Config didukung oleh dokumen Otomatisasi AWS Systems Manager (SSM), yang juga disebut buku panduan. AWS menyediakan banyak dokumen siap pakai, misalnya dokumen untuk menonaktifkan akses publik pada bucket S3 atau mengenkripsi volume. Dokumen tersebut mendefinisikan langkah-langkah tepat yang dilakukan untuk mengembalikan sumber daya ke kondisi patuh.

Anda mengaitkan tindakan remediasi dengan aturan Config dan memetakan keluaran aturan, seperti ID sumber daya, ke parameter masukan buku panduan. Saat aturan melaporkan ketidakpatuhan, Config menjalankan dokumen SSM terhadap sumber daya tertentu tersebut, sehingga rangkaian proses dari deteksi hingga perbaikan menjadi lengkap.

Remediasi dapat dilakukan secara otomatis, langsung berjalan segera setelah ketidakpatuhan terdeteksi, atau secara manual, ketika operator meninjau lalu memicu perbaikannya. Otomatisasi cocok untuk perbaikan yang jelas dan aman; proses manual cocok untuk perubahan yang dapat mengganggu beban kerja dan memerlukan pertimbangan manusia sebelum dijalankan.

Dokumen SSM berjalan menggunakan peran IAM yang Anda tentukan, dan peran tersebut memerlukan izin untuk melakukan perbaikan, seperti mengubah grup keamanan atau mengaktifkan enkripsi. Dengan mengikuti prinsip hak akses paling rendah, peran ini seharusnya hanya memberikan tindakan yang diperlukan buku panduan, karena pada dasarnya peran tersebut memiliki kewenangan untuk mengubah sumber daya Anda.

Anda dapat mengonfigurasi berapa kali remediasi melakukan percobaan ulang dan dalam jangka waktu berapa lama. Jika perbaikan berulang kali gagal, sumber daya tetap tidak patuh dan ditampilkan untuk ditangani manusia. Memahami perilaku ini mencegah kejutan: remediasi adalah otomatisasi dengan upaya terbaik, bukan jaminan, sehingga pemantauan hasil tetap penting.

Pola klasik memasangkan aturan s3-bucket-public-read-prohibited dengan buku panduan remediasi yang menerapkan Block Public Access pada setiap bucket yang ditandai sebagai publik. Begitu seseorang mengekspos sebuah bucket, Config mendeteksinya dan buku panduan mengamankannya kembali, sering kali dalam hitungan menit, tanpa melibatkan operator.

Remediasi bereaksi setelah kondisi buruk terjadi. Pagar pengaman preventif seperti SCP atau batas izin menghentikan kondisi buruk sebelum terjadi. Desain yang paling kuat menggabungkan keduanya: cegah hal yang dapat dicegah, lalu lakukan remediasi otomatis pada celah yang tersisa. Ujian sering membandingkan kontrol preventif dengan kontrol detektif sekaligus korektif.

Perbaikan otomatis dapat menimbulkan efek samping. Mengenkripsi ulang atau mengamankan kembali sumber daya mungkin untuk sementara mengganggu layanan atau bertentangan dengan perubahan yang sah. Uji buku panduan di lingkungan nonproduksi terlebih dahulu, tentukan cakupan aturan dengan cermat, dan pertimbangkan remediasi manual untuk sumber daya sensitif agar otomatisasi tidak pernah menimbulkan dampak yang lebih besar daripada kesalahan konfigurasi yang diperbaikinya.

Melalui paket kepatuhan, Anda dapat menerapkan aturan beserta tindakan remediasinya ke setiap akun dalam organisasi sekaligus. Hal ini memberlakukan postur pemulihan mandiri yang konsisten di mana pun, sehingga kesalahan konfigurasi di akun mana pun akan terdeteksi dan diperbaiki menggunakan standar otomatis yang sama.

Remediasi otomatis melengkapi seluruh proses Config: catat status, evaluasi dengan aturan, lalu perbaiki secara otomatis menggunakan buku panduan SSM dengan peran yang memiliki hak akses paling rendah. Jika digunakan dengan hati-hati bersama pagar pengaman preventif, fitur ini menjaga lingkungan Anda tetap patuh secara berkelanjutan dan secara drastis mengurangi durasi pengaturan yang tidak aman.

Uji pengetahuan Anda tentang remediasi otomatis.

Remediasi otomatis mengaitkan dokumen Otomatisasi SSM dengan aturan Config sehingga sumber daya yang tidak patuh diperbaiki secara otomatis atau setelah ditinjau secara manual. Buku panduan berjalan menggunakan peran IAM dengan hak akses paling rendah dan memiliki percobaan ulang yang dapat dikonfigurasi. Padukan dengan pagar pengaman preventif, uji buku panduan terlebih dahulu, dan terapkan di seluruh organisasi melalui paket kepatuhan untuk menciptakan lingkungan yang dapat memulihkan dirinya sendiri dan terus-menerus patuh.