Visualizzare la cronologia della configurazione

Per ogni risorsa monitorata, Config crea una cronologia della configurazione: una sequenza ordinata di tutti gli elementi di configurazione registrati per quella risorsa. È possibile scorrere la cronologia per vedere esattamente come era configurata la risorsa in qualsiasi momento passato, trasformandola in una macchina del tempo per l'infrastruttura.

Durante un incidente, la cronologia risponde a una domanda fondamentale: che cosa è cambiato e quando. Se un gruppo di sicurezza ha improvvisamente consentito traffico da qualsiasi origine, la cronologia mostra quando è comparsa quella regola. Individuare con precisione il momento della modifica restringe l'intervallo da esaminare e aiuta a correlare l'evento con altri eventi.

Ogni voce della cronologia indica una modifica alla configurazione con un timestamp e le differenze prima e dopo. È possibile vedere esattamente quali attributi sono cambiati, ad esempio l'ampliamento di un intervallo di porte o la disattivazione della crittografia. Questa visualizzazione delle differenze trasforma un vago "qualcosa è cambiato" in un risultato concreto e specifico.

Config mostra in che cosa si è trasformato lo stato; per sapere chi lo ha causato, si passa a CloudTrail utilizzando il timestamp della voce di Config. Confrontare l'ora della modifica con gli eventi di CloudTrail identifica il principal, l'indirizzo IP di origine e la chiamata API responsabile. Questo passaggio da Config a CloudTrail è una tecnica fondamentale d'indagine.

La cronologia registra anche le modifiche alle relazioni, ad esempio quando un volume viene associato a un'altra istanza o cambia la tabella di routing di una subnet. Questi cambiamenti nelle relazioni possono costituire il vero elemento chiave di un incidente, rivelando come un attaccante abbia riconfigurato i collegamenti anche quando gli attributi delle singole risorse sembrano invariati.

Oltre alle cronologie delle singole risorse, Config può inviare periodicamente a S3 istantanee complete della configurazione di tutte le risorse registrate. Un'istantanea è un inventario completo in un determinato momento, utile per dimostrare lo stato dell'intero ambiente durante un audit o per confrontare il livello di sicurezza in date diverse.

Config conserva la cronologia della configurazione per un periodo configurabile, fino a diversi anni, e i dati sottostanti risiedono anche nel bucket S3. Per esigenze forensi e di conformità a lungo termine, garantire la protezione e la conservazione del bucket è importante quanto la registrazione stessa, poiché la cronologia è utile solo se sopravvive nel tempo.

La cronologia consente di indagare sulla deriva della configurazione: l'allontanamento silenzioso di una risorsa dallo stato sicuro previsto. Confrontando il CI corrente con uno precedente noto come corretto, è possibile vedere esattamente che cosa è cambiato. Questo è prezioso quando un controllo conforme ieri non lo è più oggi.

Nella console si apre una risorsa in Config e si visualizza direttamente la relativa cronologia, con lo stato di conformità sovrapposto a ogni punto. È possibile vedere non solo come è cambiata la risorsa, ma anche se ogni versione era conforme alle regole, collegando lo stato storico al livello di sicurezza presente in quel momento.

Config conserva la cronologia anche per le risorse eliminate, registrando un CI finale che indica l'eliminazione. Questo è importante nelle indagini in cui un attaccante crea e poi rimuove una risorsa per coprire le proprie tracce. L'evento di eliminazione e lo stato precedente della risorsa rimangono entrambi registrati e possono essere individuati.

La cronologia della configurazione è la base delle Sue indagini forensi: mostra quando una risorsa è cambiata, che cosa è cambiato e, insieme a CloudTrail, chi ha effettuato la modifica. Padroneggiare questo passaggio dalla modifica dello stato alla chiamata API responsabile è esattamente il tipo di indagine che l'esame richiede di saper svolgere.

La cronologia della configurazione è una cronologia ordinata degli elementi di configurazione di una risorsa, con differenze prima e dopo e modifiche alle relazioni corredate di timestamp. Indica con precisione che cosa è cambiato e quando; il passaggio a CloudTrail rivela chi lo ha modificato. Config conserva la cronologia delle risorse eliminate e supporta le istantanee, diventando la base forense per indagare sulla deriva della configurazione e sugli incidenti.