Automatyczne usuwanie problemów przez reguły Config

Znalezienie zasobu niezgodnego ze standardami to dopiero połowa zadania — automatyczne działania naprawcze usuwają problem automatycznie. AWS Config może powiązać działanie naprawcze z regułą, aby po oznaczeniu zasobu jako NON_COMPLIANT poprawka została zastosowana bez oczekiwania na człowieka. Skraca to czas, przez który niezabezpieczona konfiguracja pozostaje narażona.

Działania naprawcze Config są realizowane za pomocą dokumentów automatyzacji AWS Systems Manager (SSM), nazywanych również runbookami. AWS udostępnia wiele gotowych dokumentów, na przykład dokument wyłączający dostęp publiczny do zasobnika S3 lub szyfrujący wolumin. Dokument definiuje dokładne kroki potrzebne do przywrócenia zgodności zasobu.

Działanie naprawcze kojarzy się z regułą Config, a wynik reguły, taki jak identyfikator zasobu, mapuje się na parametry wejściowe runbooka. Gdy reguła zgłosi brak zgodności, Config wywołuje dokument SSM dla konkretnego zasobu, zamykając cykl od wykrycia do usunięcia problemu.

Działanie naprawcze może być automatyczne i uruchamiać się natychmiast po wykryciu braku zgodności albo ręczne, gdy operator najpierw je sprawdza, a następnie uruchamia poprawkę. Automatyzacja sprawdza się w przypadku jednoznacznych i bezpiecznych korekt, natomiast tryb ręczny — przy zmianach, które mogą zakłócić działanie obciążenia i przed wykonaniem wymagają oceny człowieka.

Dokument SSM działa z użyciem wskazanej przez Państwa roli IAM, która musi mieć uprawnienia do wykonania poprawki, na przykład modyfikowania grupy zabezpieczeń lub włączania szyfrowania. Zgodnie z zasadą najmniejszych uprawnień rola powinna zezwalać wyłącznie na działania wymagane przez runbook, ponieważ w praktyce może ona zmieniać Państwa zasoby.

Można skonfigurować liczbę ponowień działania naprawczego oraz przedział czasu, w którym mają się odbywać. Jeśli poprawka wielokrotnie się nie powiedzie, zasób pozostanie niezgodny i zostanie oznaczony jako wymagający uwagi człowieka. Zrozumienie tego mechanizmu pozwala uniknąć niespodzianek: działanie naprawcze to automatyzacja działająca według najlepszych starań, a nie gwarancja powodzenia, dlatego nadal należy monitorować rezultaty.

Klasyczny wzorzec łączy regułę s3-bucket-public-read-prohibited z runbookiem naprawczym, który włącza funkcję Block Public Access dla każdego zasobnika oznaczonego jako publiczny. Gdy tylko ktoś udostępni zasobnik, Config wykrywa ten stan, a runbook ponownie go zabezpiecza — często w ciągu kilku minut i bez udziału operatora.

Działanie naprawcze reaguje dopiero po wystąpieniu nieprawidłowego stanu. Zapobiegawcze mechanizmy ochronne, takie jak SCP lub granice uprawnień, uniemożliwiają jego wystąpienie. Najlepsze rozwiązania łączą oba podejścia: zapobiegają temu, czemu można zapobiec, a luki automatycznie naprawiają. Na egzaminie często porównuje się mechanizmy zapobiegawcze z mechanizmami wykrywającymi i korygującymi.

Automatyczne poprawki mogą powodować skutki uboczne. Ponowne zaszyfrowanie lub zabezpieczenie zasobu może chwilowo zakłócić działanie usługi albo kolidować z uzasadnioną zmianą. Najpierw testuj runbooki w środowisku nieprodukcyjnym, starannie ograniczaj zakres reguł i rozważ ręczne działania naprawcze dla wrażliwych zasobów, aby automatyzacja nigdy nie wyrządziła większych szkód niż błędna konfiguracja, którą naprawia.

Za pomocą pakietów zgodności można jednocześnie wdrożyć reguły wraz z ich działaniami naprawczymi na każdym koncie w organizacji. Zapewnia to spójny, samonaprawiający się stan bezpieczeństwa wszędzie, dzięki czemu błędna konfiguracja na dowolnym koncie zostanie wykryta i skorygowana zgodnie z tym samym automatycznym standardem.

Automatyczne działania naprawcze dopełniają możliwości Config: rejestrowanie stanu, ocenianie za pomocą reguł i automatyczne naprawianie przy użyciu runbooków SSM działających z rolą o najmniejszych uprawnieniach. Stosowane ostrożnie wraz z zapobiegawczymi mechanizmami ochronnymi utrzymują ciągłą zgodność środowiska i znacznie skracają czas, przez który jakiekolwiek niezabezpieczone ustawienie może pozostać aktywne.

Automatyczne działania naprawcze dołączają dokument automatyzacji SSM do reguły Config, dzięki czemu niezgodne zasoby są naprawiane automatycznie lub po ręcznej weryfikacji. Runbook działa z użyciem roli IAM o najmniejszych uprawnieniach i może korzystać ze skonfigurowanych ponowień. Należy łączyć go z zapobiegawczymi mechanizmami ochronnymi, najpierw testować runbooki, a następnie wdrażać je w całej organizacji za pośrednictwem pakietów zgodności, aby uzyskać samonaprawiające się środowisko stale zachowujące zgodność.