Correzione automatica tramite le regole Config

Individuare una risorsa non conforme è solo metà del lavoro: la correzione automatica risolve il problema automaticamente. AWS Config può associare un'azione di correzione a una regola, così, quando una risorsa diventa NON_COMPLIANT, la correzione viene eseguita senza attendere l'intervento umano. In questo modo si riduce il tempo durante il quale una configurazione non sicura rimane esposta.

La correzione di Config si basa sui documenti di automazione di AWS Systems Manager (SSM), chiamati anche runbook. AWS fornisce numerosi documenti predefiniti, ad esempio uno per disabilitare l'accesso pubblico a un bucket S3 o per crittografare un volume. Il documento definisce i passaggi esatti necessari per riportare la risorsa alla conformità.

Si associa un'azione di correzione a una regola di Config e si mappa l'output della regola, ad esempio l'ID della risorsa, ai parametri di input del runbook. Quando la regola segnala una non conformità, Config richiama il documento SSM sulla risorsa specifica, completando il ciclo dal rilevamento alla correzione.

La correzione può essere automatica, con esecuzione non appena viene rilevata la non conformità, oppure manuale, quando un operatore esamina il problema e avvia la correzione. La modalità automatica è adatta a correzioni chiare e sicure; quella manuale è preferibile per modifiche che potrebbero interrompere un carico di lavoro e richiedono una valutazione umana prima dell'esecuzione.

Il documento SSM viene eseguito con un ruolo IAM specificato dall'utente, che deve disporre delle autorizzazioni necessarie per applicare la correzione, ad esempio modificare un gruppo di sicurezza o abilitare la crittografia. In base al principio del privilegio minimo, questo ruolo dovrebbe concedere solo le azioni richieste dal runbook, poiché di fatto ha il potere di modificare le risorse.

È possibile configurare il numero di nuovi tentativi della correzione e l'intervallo di tempo in cui effettuarli. Se una correzione non riesce ripetutamente, la risorsa rimane non conforme e viene resa visibile per l'intervento umano. Comprendere questo comportamento evita sorprese: la correzione automatica è un'automazione basata sul miglior sforzo, non una garanzia, quindi è comunque importante monitorarne i risultati.

Un modello classico associa la regola s3-bucket-public-read-prohibited a un runbook di correzione che applica Block Public Access a qualsiasi bucket segnalato come pubblico. Non appena qualcuno espone un bucket, Config lo rileva e il runbook lo rende nuovamente sicuro, spesso nel giro di pochi minuti e senza alcun intervento dell'operatore.

La correzione interviene dopo che si è verificato uno stato non sicuro. I guardrail preventivi, come SCP o i limiti delle autorizzazioni, impediscono invece che tale stato si verifichi. Le architetture più solide combinano entrambi gli approcci: prevenire ciò che è possibile e correggere automaticamente le lacune. L'esame mette spesso a confronto i controlli preventivi con quelli di rilevamento e correzione.

Le correzioni automatiche possono avere effetti collaterali. Ricrittografare o rendere nuovamente sicura una risorsa potrebbe interrompere brevemente un servizio o entrare in conflitto con una modifica legittima. Testi prima i runbook in ambienti non di produzione, definisca con attenzione l'ambito delle regole e valuti la correzione manuale per le risorse sensibili, in modo che l'automazione non causi mai più danni della configurazione errata che corregge.

Tramite i conformance pack è possibile distribuire contemporaneamente regole e relative azioni di correzione in ogni account di un'organizzazione. In questo modo si applica ovunque un approccio coerente alla correzione automatica, così una configurazione errata in qualsiasi account viene rilevata e corretta dallo stesso standard automatizzato.

La correzione automatica completa il modello di Config: registrare lo stato, valutarlo con le regole e correggerlo automaticamente con i runbook SSM eseguiti mediante un ruolo con privilegi minimi. Utilizzata con attenzione insieme ai guardrail preventivi, mantiene l'ambiente continuamente conforme e riduce drasticamente il tempo durante il quale una configurazione non sicura può rimanere attiva.

La correzione automatica associa un documento di automazione SSM a una regola di Config, così le risorse non conformi vengono corrette automaticamente o dopo una revisione manuale. Il runbook viene eseguito con un ruolo IAM dotato dei privilegi minimi e con nuovi tentativi configurabili. Lo si associ a guardrail preventivi, si sottopongano prima i runbook a test e si distribuisca il tutto a livello dell'organizzazione tramite conformance pack per ottenere un ambiente autoriparante e continuamente conforme.