Paket Kepatuhan dan Jejak Organisasi

AWS Config Conformance Packs adalah kumpulan aturan Config dan tindakan remediasi yang dikemas bersama sebagai satu unit yang dapat diterapkan menggunakan templat YAML mirip CloudFormation. Conformance Packs merepresentasikan serangkaian kontrol kepatuhan untuk standar atau kerangka kerja tertentu — seperti CIS AWS Foundations Benchmark, PCI-DSS, HIPAA, atau NIST 800-53. Daripada menerapkan puluhan aturan Config satu per satu secara manual, Anda dapat menerapkan satu conformance pack dan memperoleh cakupan menyeluruh dalam hitungan menit.

AWS menyediakan puluhan templat conformance pack contoh di GitHub dan konsol AWS. Contohnya meliputi: Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (kontrol keamanan dasar), Operational-Best-Practices-for-PCI-DSS (kontrol industri kartu pembayaran), dan Operational-Best-Practices-for-HIPAA-Security (kontrol data layanan kesehatan). Anda dapat menggunakan templat ini apa adanya atau menyesuaikannya dengan menambahkan, menghapus, atau mengubah aturan tertentu sebelum penerapan.

Templat conformance pack adalah dokumen YAML yang berisi bagian Parameters dan bagian Resources. Setiap resource dalam templat merupakan definisi aturan Config yang menggunakan tipe resource CloudFormation AWS::Config::ConfigRule. Anda juga dapat menyertakan resource AWS::Config::RemediationConfiguration untuk menambahkan tindakan remediasi otomatis. Parameters membuat templat dapat digunakan kembali — misalnya, Anda dapat menentukan bucket S3 yang menyimpan hasil atau IAM role yang digunakan remediasi.

Setelah diterapkan, Anda dapat melihat ringkasan kepatuhan untuk setiap conformance pack — yang menunjukkan jumlah aturan yang lulus, jumlah yang gagal, dan jumlah resource yang tidak patuh untuk setiap aturan. Anda dapat menelusuri dari tingkat pack ke tingkat aturan, lalu ke tingkat resource individual. Data kepatuhan dapat diekspor ke S3 dalam bucket hasil yang Anda tentukan, sehingga Anda dapat memasukkannya ke SIEM atau dasbor pelaporan kepatuhan.

Organisation Conformance Pack menerapkan conformance pack ke semua account dalam AWS Organisation secara bersamaan dari management account (atau account administrator yang didelegasikan). Member account tidak dapat menghapus atau mengubah aturan yang diterapkan. Account baru yang bergabung dengan organisasi secara otomatis menerima conformance pack tersebut. Ini adalah cara paling efisien untuk menerapkan baseline kepatuhan di ratusan account tanpa mengunjungi setiap account satu per satu.

Dalam AWS Organisation, Anda dapat menetapkan delegated administrator account untuk AWS Config sehingga management account tidak perlu digunakan untuk operasi Config sehari-hari. Administrator yang didelegasikan dapat menerapkan aturan Config organisasi, conformance packs, dan aggregator, serta melihat data kepatuhan dari semua member account. Hal ini mengikuti praktik terbaik dengan meminimalkan penggunaan management account untuk tugas operasional.

Organisation trail di AWS CloudTrail menangkap aktivitas API dari setiap account dalam AWS Organisation — baik member saat ini maupun yang akan datang — dan mengirimkan log ke bucket S3 terpusat di management account. Tidak seperti trail tingkat account yang harus dikelola oleh setiap account, organisation trail cukup dibuat satu kali dan otomatis berlaku di mana saja. Member account dapat melihat organisation trail di konsol CloudTrail mereka, tetapi tidak dapat mengubah atau menghapusnya.

Bucket S3 organisation trail menggunakan awalan kunci terstruktur: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Hierarki ini memungkinkan Anda membuat kueri log semua account menggunakan satu tabel Athena yang dipartisi berdasarkan ID organisasi dan ID account, atau menggunakan awalan objek S3 untuk memberikan akses baca kepada account tertentu hanya ke log milik mereka sendiri. Kebijakan bucket harus secara eksplisit mengizinkan cloudtrail.amazonaws.com menulis dari semua account dalam organisasi.

Service Control Policies (SCPs) dalam AWS Organisations adalah kontrol pencegahan yang saling melengkapi, yang membatasi tindakan yang boleh dilakukan oleh member account. Memasangkan SCP dengan aturan Config menciptakan pertahanan berlapis: SCP mencegah tindakan yang tidak patuh dilakukan sama sekali (misalnya, menolak pembuatan volume EBS yang tidak terenkripsi), sedangkan aturan Config mendeteksi status yang tidak patuh dan memicu remediasi. Ujian SAA-C03 menguji kemampuan Anda dalam memilih antara kontrol pencegahan (SCP) dan kontrol deteksi (Config) untuk berbagai skenario.

AWS Security Hub memasukkan temuan dari Config (hasil pemeriksaan kepatuhan), GuardDuty (deteksi ancaman), Inspector (temuan kerentanan), Macie (sensitivitas data), dan alat mitra ke dalam satu tampilan yang dinormalisasi. Security Hub memetakan temuan berdasarkan standar keamanan seperti CIS Foundations, PCI-DSS, dan AWS Foundational Security Best Practices. Jika Config berfokus pada status konfigurasi, Security Hub adalah tempat Anda mendapatkan skor keamanan keseluruhan dan daftar temuan yang diprioritaskan di seluruh layanan.

Arsitektur tata kelola enterprise yang lengkap menggunakan beberapa layanan secara bersama-sama: SCPs mencegah pelanggaran sebelum terjadi, AWS Config + Organisation Conformance Packs mendeteksi dan memperbaiki pelanggaran secara otomatis, Organisation CloudTrail mencatat seluruh aktivitas API secara terpusat, Security Hub mengagregasikan temuan menjadi skor keamanan yang diprioritaskan, dan EventBridge + Lambda menyediakan respons otomatis terhadap temuan dengan tingkat keparahan tinggi. Pendekatan berlapis ini disebut AWS sebagai model defence-in-depth untuk tata kelola cloud.

Uji pemahaman Anda tentang konsep AWS Solutions Architect (SAA-C03) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa Conformance Packs menggabungkan beberapa aturan Config ke dalam satu templat YAML yang dapat diterapkan untuk memenuhi kerangka kerja, Organisation Conformance Packs secara otomatis diterapkan ke semua account AWS Organisation dan tidak dapat diubah oleh member, serta Organisation Trails memusatkan log audit API dari semua account tanpa konfigurasi per account. Selanjutnya, kita akan membahas Jenis Volume EBS dalam Pendalaman Storage.