Conformance Pack e trail dell'organizzazione

Gli AWS Config Conformance Pack sono raccolte di regole Config e azioni di correzione raggruppate in una singola unità distribuibile tramite un template YAML simile a CloudFormation. Rappresentano un insieme di controlli di conformità per uno standard o un framework specifico, come il CIS AWS Foundations Benchmark, PCI-DSS, HIPAA o NIST 800-53. Invece di distribuire manualmente decine di regole Config individuali, è possibile distribuire un conformance pack e ottenere una copertura completa in pochi minuti.

AWS mette a disposizione decine di template di conformance pack di esempio su GitHub e nella console AWS. Tra gli esempi figurano: Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (controlli di sicurezza fondamentali), Operational-Best-Practices-for-PCI-DSS (controlli per il settore delle carte di pagamento) e Operational-Best-Practices-for-HIPAA-Security (controlli per i dati sanitari). È possibile usare questi template così come sono oppure personalizzarli aggiungendo, rimuovendo o modificando singole regole prima della distribuzione.

Il template di un conformance pack è un documento YAML contenente una sezione Parameters e una sezione Resources. Ogni risorsa del template è la definizione di una regola Config che usa il tipo di risorsa CloudFormation AWS::Config::ConfigRule. È inoltre possibile includere risorse AWS::Config::RemediationConfiguration per associare azioni di correzione automatiche. I parametri rendono il template riutilizzabile: ad esempio, è possibile parametrizzare il bucket S3 in cui vengono archiviati i risultati o il ruolo IAM assunto dalla correzione.

Una volta distribuito un conformance pack, è possibile visualizzare un riepilogo della conformità per ciascun pack, che mostra quante regole sono superate, quante non lo sono e quante risorse non conformi esistono per ogni regola. È possibile passare dal livello del pack a quello della regola e quindi a quello della singola risorsa. I dati sulla conformità possono essere esportati in S3, in un bucket dei risultati specificato dall'utente, per consentirne l'inserimento in un SIEM o in un dashboard di report sulla conformità.

Un Conformance Pack dell'organizzazione distribuisce contemporaneamente un conformance pack in tutti gli account di un'organizzazione AWS dall'account di gestione o da un account amministratore delegato. Gli account membri non possono eliminare o modificare le regole distribuite. I nuovi account che entrano nell'organizzazione ricevono automaticamente il conformance pack. Questo è il modo più efficiente per applicare le baseline di conformità a centinaia di account senza accedere singolarmente a ciascun account.

In un'organizzazione AWS è possibile designare un account amministratore delegato per AWS Config, evitando di dover usare l'account di gestione per le operazioni quotidiane di Config. L'amministratore delegato può distribuire regole Config dell'organizzazione, conformance pack e aggregatori, oltre a visualizzare i dati sulla conformità di tutti gli account membri. Questo segue la best practice di utilizzare il meno possibile l'account di gestione per le attività operative.

Un organisation trail in AWS CloudTrail acquisisce l'attività API di ogni account dell'organizzazione AWS, inclusi i membri attuali e futuri, e trasferisce i log in un bucket S3 centralizzato nell'account di gestione. A differenza dei trail a livello di account, che devono essere gestiti singolarmente da ogni account, un organisation trail viene creato una sola volta e si applica automaticamente ovunque. Gli account membri possono visualizzare l'organisation trail nella console CloudTrail, ma non possono modificarlo né eliminarlo.

Il bucket S3 dell'organisation trail usa un prefisso di chiave strutturato: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Questa gerarchia consente di interrogare i log di tutti gli account con un'unica tabella Athena partizionata per ID dell'organizzazione e ID dell'account, oppure di usare i prefissi degli oggetti S3 per concedere a specifici account l'accesso in lettura esclusivamente ai propri log. La policy del bucket deve consentire esplicitamente a cloudtrail.amazonaws.com di scrivere da tutti gli account dell'organizzazione.

Le Service Control Policies (SCP) in AWS Organizations sono un controllo preventivo complementare che limita le operazioni consentite agli account membri. L'associazione delle SCP alle regole Config crea una difesa a più livelli: le SCP impediscono che vengano eseguite azioni non conformi, ad esempio negando la creazione di volumi EBS non crittografati, mentre le regole Config rilevano gli stati non conformi e attivano la correzione. L'esame SAA-C03 verifica la capacità di scegliere tra controlli preventivi (SCP) e controlli investigativi (Config) in scenari diversi.

AWS Security Hub acquisisce i risultati di Config (risultati dei controlli di conformità), GuardDuty (rilevamenti di minacce), Inspector (risultati delle vulnerabilità), Macie (sensibilità dei dati) e degli strumenti dei partner, riunendoli in una singola vista normalizzata. Mappa i risultati rispetto a standard di sicurezza come CIS Foundations, PCI-DSS e AWS Foundational Security Best Practices. Mentre Config si concentra sullo stato della configurazione, Security Hub è il servizio da usare per ottenere un punteggio di sicurezza complessivo e un elenco prioritizzato dei risultati di tutti i servizi.

L'architettura completa della governance aziendale usa più servizi in combinazione: le SCP prevengono le violazioni prima che si verifichino, AWS Config + Organisation Conformance Packs rilevano e correggono automaticamente le violazioni, Organisation CloudTrail registra centralmente tutte le attività API, Security Hub aggrega i risultati in un punteggio di sicurezza prioritizzato ed EventBridge + Lambda fornisce risposte automatiche ai risultati di gravità elevata. Questo approccio a più livelli è ciò che AWS definisce modello di difesa in profondità per la governance del cloud.

Verificate la vostra comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione avete imparato che i Conformance Pack raggruppano più regole Config in un singolo template YAML distribuibile per la conformità ai framework, che gli Organisation Conformance Pack vengono applicati automaticamente a tutti gli account dell'organizzazione AWS e non possono essere modificati dai membri e che gli Organisation Trail centralizzano i log di audit delle API di tutti gli account senza configurazioni specifiche per ciascun account. Ora analizzeremo i tipi di volumi EBS nell'approfondimento sullo storage.