Automatische herstelacties via Config-regels

Een niet-conforme resource vinden is slechts de helft van het werk; automatisch herstel lost het probleem automatisch op. AWS Config kan een herstelactie aan een regel koppelen, zodat de oplossing wordt uitgevoerd zodra een resource NON_COMPLIANT wordt, zonder op een medewerker te wachten. Daardoor wordt de tijd dat een onveilige configuratie zichtbaar is korter.

Herstelacties in Config worden uitgevoerd met AWS Systems Manager (SSM) Automation-documenten, ook wel runbooks genoemd. AWS levert veel vooraf gedefinieerde documenten, bijvoorbeeld een document om openbare toegang tot een S3-bucket uit te schakelen of een volume te versleutelen. Het document beschrijft precies welke stappen worden uitgevoerd om de resource weer conform te maken.

Je koppelt een herstelactie aan een Config-regel en koppelt de uitvoer van de regel, zoals de resource-ID, aan de invoerparameters van het runbook. Wanneer de regel niet-conformiteit meldt, roept Config het SSM-document aan voor die specifieke resource. Zo wordt de volledige cyclus van detectie tot correctie gesloten.

Herstel kan automatisch plaatsvinden, zodra niet-conformiteit wordt gedetecteerd, of handmatig, waarbij een beheerder de situatie beoordeelt en vervolgens de oplossing activeert. Automatisch herstel is geschikt voor duidelijke, veilige correcties; handmatig herstel past beter bij wijzigingen die een werklast kunnen verstoren en waarvoor eerst menselijk inzicht nodig is.

Het SSM-document wordt uitgevoerd met een IAM-rol die je opgeeft. Die rol moet toestemming hebben om de oplossing uit te voeren, bijvoorbeeld om een beveiligingsgroep aan te passen of versleuteling in te schakelen. Volgens het principe van minimale bevoegdheden mag deze rol alleen de acties toestaan die het runbook nodig heeft, omdat de rol in feite de mogelijkheid heeft om je resources te wijzigen.

Je kunt instellen hoe vaak een herstelactie opnieuw wordt geprobeerd en binnen welke periode. Als een oplossing herhaaldelijk mislukt, blijft de resource niet-conform en wordt deze zichtbaar voor menselijke opvolging. Als je dit gedrag begrijpt, voorkom je verrassingen: herstelacties zijn automatisering op basis van best effort en geen garantie. Het blijft dus belangrijk om de resultaten te monitoren.

Een klassiek patroon koppelt de regel s3-bucket-public-read-prohibited aan een herstel-runbook dat Block Public Access toepast op elke bucket die als openbaar is gemarkeerd. Zodra iemand een bucket openbaar maakt, detecteert Config dit en beveiligt het runbook de bucket opnieuw, vaak binnen enkele minuten en zonder tussenkomst van een beheerder.

Herstel reageert nadat een onjuiste toestand is ontstaan. Preventieve beveiligingsmaatregelen, zoals SCP's of machtigingsgrenzen, voorkomen dat die toestand überhaupt ontstaat. De sterkste ontwerpen combineren beide: voorkom wat je kunt en herstel de resterende problemen automatisch. In het examen worden preventieve controles vaak tegenover detectieve plus corrigerende controles geplaatst.

Automatische oplossingen kunnen neveneffecten hebben. Het opnieuw versleutelen of beveiligen van een resource kan een service tijdelijk verstoren of een legitieme wijziging ongedaan maken. Test runbooks eerst in een niet-productieomgeving, bepaal het bereik van regels zorgvuldig en overweeg handmatig herstel voor gevoelige resources. Zo zorgt automatisering nooit voor meer schade dan de verkeerde configuratie die ermee wordt opgelost.

Via conformiteitspakketten kun je regels met hun herstelacties in één keer implementeren in elk account binnen een organisatie. Zo dwing je overal een consistente, zelfherstellende beveiligingspostuur af en wordt een verkeerde configuratie in elk account volgens dezelfde geautomatiseerde standaard gedetecteerd en gecorrigeerd.

Automatisch herstel maakt het Config-verhaal compleet: leg de toestand vast, beoordeel deze met regels en herstel problemen automatisch met SSM-runbooks die onder een rol met minimale bevoegdheden worden uitgevoerd. Als je dit zorgvuldig combineert met preventieve beveiligingsmaatregelen, blijft je omgeving voortdurend conform en wordt de tijd dat een onveilige instelling kan blijven bestaan aanzienlijk verkort.

Automatisch herstel koppelt een SSM Automation-document aan een Config-regel, zodat niet-conforme resources automatisch of na een handmatige beoordeling worden hersteld. Het runbook wordt uitgevoerd onder een IAM-rol met minimale bevoegdheden en een instelbaar aantal pogingen. Combineer dit met preventieve beveiligingsmaatregelen, test runbooks eerst en implementeer ze organisatiebreed via conformiteitspakketten voor een zelfherstellende omgeving die voortdurend conform blijft.