Aturan Config Terkelola dan Khusus

Aturan Config mengevaluasi apakah sumber daya Anda mematuhi konfigurasi yang diinginkan dan melaporkan setiap sumber daya sebagai COMPLIANT atau NON_COMPLIANT. Pencatatan keadaan bersifat pasif; aturan menambahkan lapisan penilaian yang secara otomatis menandai pengaturan tidak aman, sehingga Config menjadi mesin kepatuhan berkelanjutan.

Aturan terkelola dibuat sebelumnya oleh AWS untuk pemeriksaan umum, sehingga Anda dapat mengaktifkannya tanpa menulis kode. Contohnya mencakup s3-bucket-public-read-prohibited, encrypted-volumes, iam-password-policy, dan restricted-ssh. Tersedia ratusan aturan yang mencakup praktik terbaik, sehingga aturan ini merupakan cara tercepat untuk menetapkan garis dasar kepatuhan.

Jika tidak ada aturan terkelola yang sesuai, Anda dapat menulis aturan kustom. Aturan ini berjalan sebagai fungsi Lambda yang menerima konfigurasi sumber daya dan mengembalikan keputusan kepatuhan, atau sebagai kebijakan Guard yang menggunakan bahasa kebijakan sebagai kode milik AWS. Aturan kustom menyandikan persyaratan khusus organisasi yang tidak dapat dinyatakan oleh aturan terkelola.

Aturan berjalan berdasarkan dua jenis pemicu. Pemicu perubahan konfigurasi mengevaluasi sumber daya setiap kali sumber daya tersebut berubah, sehingga memberikan kepatuhan yang hampir waktu nyata. Pemicu berkala berjalan sesuai jadwal tetap, terlepas dari adanya perubahan, dan berguna untuk pemeriksaan yang bergantung pada waktu atau pengaturan tingkat akun, bukan pada peristiwa satu sumber daya.

Dasbor Config menampilkan kepatuhan setiap aturan dan mencantumkan sumber daya yang tidak patuh. Dengan demikian, Anda mendapatkan daftar tugas yang diprioritaskan untuk memperbaiki konfigurasi tidak aman. Untuk keamanan, aturan seperti bucket S3 publik, Volume yang tidak terenkripsi, dan grup keamanan terbuka menampilkan sumber daya tepat yang perlu diperbaiki.

Banyak aturan menerima parameter untuk menyesuaikan pemeriksaan. Misalnya, aturan iam-password-policy memungkinkan Anda menentukan panjang minimum dan persyaratan rotasi. Parameter memungkinkan satu aturan terkelola menerapkan standar khusus organisasi Anda, bukan bawaan umum, tanpa menulis kode kustom.

Paket kepatuhan menggabungkan banyak aturan dan tindakan remediasi ke dalam satu paket yang dapat diterapkan, sering kali dipetakan ke kerangka kerja seperti CIS atau PCI DSS. Menerapkan paket ke seluruh akun melalui agregator atau Organizations akan memberlakukan seluruh standar kepatuhan sekaligus, bukan mengaktifkan aturan satu per satu.

Anda dapat membatasi cakupan aturan ke jenis sumber daya atau tag tertentu sehingga aturan hanya mengevaluasi hal yang penting, sekaligus mengurangi gangguan dan biaya. Config mengenakan biaya untuk setiap evaluasi aturan, jadi pembatasan cakupan dan pemilihan jenis pemicu yang tepat membantu menjaga agar kumpulan aturan yang besar tetap terjangkau tanpa mengabaikan sumber daya yang penting bagi keamanan.

Aturan Config dan standar Security Hub memiliki area yang tumpang tindih, dan Security Hub sebenarnya menggunakan Config di balik banyak pemeriksaannya. Aturan Config memberi Anda kepatuhan yang terperinci, dapat disesuaikan, dan berlaku per sumber daya; Security Hub menggabungkan temuan dari berbagai layanan menjadi skor postur keamanan. Ujian mungkin menanyakan mana yang digunakan untuk pemeriksaan khusus pada tingkat sumber daya: jawabannya adalah aturan Config.

Perhatikan restricted-ssh: aturan ini menandai grup keamanan sebagai TIDAK_COMPLIANT jika mengizinkan SSH masuk tanpa pembatasan pada port 22 dari 0.0.0.0/0. Mengaktifkan satu aturan ini di seluruh akun Anda akan terus mendeteksi salah satu kesalahan konfigurasi yang paling umum dan berbahaya, tanpa memerlukan kode khusus sama sekali.

Mulailah dengan aturan terkelola dan paket kepatuhan untuk cakupan yang luas, lalu tambahkan aturan khusus untuk kebijakan unik Anda. Tentukan cakupan dengan cermat, sesuaikan parameter dengan standar Anda, dan pasangkan aturan bernilai tinggi dengan remediasi. Pendekatan berlapis ini memberikan jaminan otomatis dan berkelanjutan bahwa lingkungan Anda tetap dikonfigurasi secara aman.

Uji pengetahuan Anda tentang aturan Config.

Aturan Config menandai sumber daya sebagai COMPLIANT atau TIDAK_COMPLIANT. Ratusan aturan terkelola mencakup pemeriksaan umum dengan parameter opsional, sedangkan aturan khusus (Lambda atau Guard) menyandikan kebijakan unik. Aturan dipicu saat terjadi perubahan atau berdasarkan jadwal, digabungkan ke dalam paket kepatuhan untuk kerangka kerja, dan melengkapi Security Hub dengan menyediakan kepatuhan yang terperinci untuk setiap sumber daya.