Conformance Packs en trails voor organisaties

Een conformance pack-sjabloon is een YAML-document met een sectie Parameters en een sectie Resources. Elke resource in de sjabloon is een definitie van een Config-regel met het CloudFormation-resourcetype AWS::Config::ConfigRule. Je kunt ook resources van het type AWS::Config::RemediationConfiguration opnemen om automatische herstelacties te koppelen. Met parameters kun je de sjabloon opnieuw gebruiken — je kunt bijvoorbeeld instellen welke S3-bucket de resultaten opslaat of welke IAM-rol door het herstel wordt aangenomen.

Na de implementatie kun je voor elk conformance pack een samenvatting van de naleving bekijken — met het aantal regels dat slaagt, het aantal dat faalt en het aantal resources dat niet aan elke regel voldoet. Je kunt vanuit het niveau van het pack doorklikken naar het niveau van de regel en vervolgens naar het niveau van de afzonderlijke resource. Je kunt de nalevingsgegevens exporteren naar S3 in een resultatenbucket die je opgeeft, zodat je ze kunt opnemen in een SIEM of dashboard voor nalevingsrapportage.

Een Conformance Pack voor organisaties implementeert een conformance pack gelijktijdig in alle accounts van een AWS-organisatie vanuit het beheerdersaccount (of een account van een gedelegeerde beheerder). Lidaccounts kunnen de geïmplementeerde regels niet verwijderen of wijzigen. Nieuwe accounts die lid worden van de organisatie ontvangen het conformance pack automatisch. Dit is de efficiëntste manier om nalevingsbaselines af te dwingen in honderden accounts, zonder elk account afzonderlijk te bezoeken.

In een AWS-organisatie kun je een account van een gedelegeerde beheerder voor AWS Config aanwijzen, zodat het beheerdersaccount niet nodig is voor dagelijkse Config-bewerkingen. De gedelegeerde beheerder kan Config-regels voor de organisatie, conformance packs en aggregators implementeren en nalevingsgegevens van alle lidaccounts bekijken. Dit volgt de best practice om het gebruik van het beheerdersaccount voor operationele taken tot een minimum te beperken.

Een organisatietrace in AWS CloudTrail legt API-activiteiten vast van elk account in de AWS-organisatie — huidige en toekomstige leden — en levert de logboeken aan een centrale S3-bucket in het beheerdersaccount. In tegenstelling tot traces op accountniveau, die elk account afzonderlijk moet onderhouden, wordt een organisatietrace één keer gemaakt en automatisch overal toegepast. Lidaccounts kunnen de organisatietrace in hun CloudTrail-console zien, maar kunnen deze niet wijzigen of verwijderen.

De S3-bucket van de organisatietrace gebruikt een gestructureerd sleutelvoorvoegsel: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Door deze hiërarchie kun je de logboeken van alle accounts opvragen met één Athena-tabel die is gepartitioneerd op organisatie-ID en account-ID, of S3-objectvoorvoegsels gebruiken om specifieke accounts alleen-leestoegang tot hun eigen logboeken te geven. Het bucketbeleid moet cloudtrail.amazonaws.com expliciet toestaan om vanuit alle accounts in de organisatie te schrijven.

Service Control Policies (SCP's) in AWS Organizations zijn een aanvullende preventieve controle die beperkt wat lidaccounts mogen doen. Door SCP's te combineren met Config-regels ontstaat een gelaagde verdediging: SCP's voorkomen dat acties die niet aan de regels voldoen überhaupt worden uitgevoerd (bijvoorbeeld door het aanmaken van niet-versleutelde EBS-volumes te weigeren), terwijl Config-regels statussen die niet aan de regels voldoen detecteren en herstel activeren. Het SAA-C03-examen toetst of je voor verschillende scenario's kunt kiezen tussen preventieve controles (SCP's) en detectieve controles (Config).

AWS Security Hub neemt bevindingen op uit Config (resultaten van nalevingscontroles), GuardDuty (detecties van bedreigingen), Inspector (bevindingen over kwetsbaarheden), Macie (gevoeligheid van gegevens) en hulpprogramma's van partners in één genormaliseerde weergave. Het koppelt bevindingen aan beveiligingsstandaarden zoals CIS Foundations, PCI-DSS en AWS Foundational Security Best Practices. Terwijl Config zich richt op de configuratiestatus, ga je naar Security Hub voor een algemene beveiligingsscore en een geprioriteerde lijst met bevindingen uit alle services.

De volledige architectuur voor beheer op ondernemingsschaal gebruikt meerdere services samen: SCP's voorkomen overtredingen voordat ze plaatsvinden, AWS Config + Conformance Packs voor organisaties detecteren overtredingen en herstellen deze automatisch, CloudTrail voor organisaties legt alle API-activiteiten centraal vast, Security Hub voegt bevindingen samen tot een geprioriteerde beveiligingsscore en EventBridge + Lambda zorgt voor automatische reacties op bevindingen met een hoge ernst. Deze gelaagde aanpak noemt AWS het model van verdediging in de diepte voor cloudbeheer.

In deze les heb je geleerd dat Conformance Packs meerdere Config-regels bundelen in één implementeerbare YAML-sjabloon voor naleving van een raamwerk, dat Conformance Packs voor organisaties automatisch worden toegepast op alle accounts van een AWS-organisatie en niet door leden kunnen worden gewijzigd, en dat organisatietraces API-auditlogboeken van alle accounts centraal verzamelen zonder configuratie per account. Hierna bekijken we EBS-volumetypen in de diepgaande behandeling van opslag.