Wyświetlanie historii osi czasu konfiguracji

Dla każdego śledzonego zasobu Config tworzy oś czasu konfiguracji: uporządkowaną historię wszystkich zarejestrowanych dla niego elementów konfiguracji. Można cofnąć się w czasie i dokładnie sprawdzić, jak zasób był skonfigurowany w dowolnym momencie, traktując tę funkcję jak wehikuł czasu dla infrastruktury.

Podczas incydentu oś czasu odpowiada na kluczowe pytanie: co i kiedy się zmieniło. Jeśli grupa zabezpieczeń nagle zaczęła zezwalać na ruch z dowolnego miejsca, oś czasu pokaże, kiedy pojawiła się ta reguła. Ustalenie momentu zmiany zawęża przedział, który trzeba zbadać, i ułatwia skorelowanie jej z innymi zdarzeniami.

Każdy wpis na osi czasu oznacza zmianę konfiguracji, podając znacznik czasu oraz różnice przed i po zmianie. Można dokładnie sprawdzić, które atrybuty uległy zmianie, na przykład rozszerzenie zakresu portów lub wyłączenie szyfrowania. Widok różnic zamienia ogólne stwierdzenie „coś się zmieniło” w konkretny i precyzyjny wynik analizy.

Config pokazuje, jaki stał się stan; aby dowiedzieć się, kto go spowodował, należy przejść do CloudTrail, korzystając ze znacznika czasu z wpisu Config. Porównanie czasu zmiany ze zdarzeniami CloudTrail pozwala ustalić podmiot, źródłowy adres IP i odpowiedzialne wywołanie API. Przejście z Config do CloudTrail jest podstawową techniką dochodzeniową.

Oś czasu rejestruje również zmiany relacji, na przykład dołączenie woluminu do innej instancji albo zmianę tablicy routingu podsieci. Takie zmiany relacji mogą stanowić właściwy przebieg incydentu, ujawniając, jak atakujący przebudował połączenia, nawet gdy poszczególne atrybuty zasobów wyglądają na niezmienione.

Oprócz osi czasu poszczególnych zasobów Config może według harmonogramu dostarczać do S3 pełne migawki konfiguracji wszystkich rejestrowanych zasobów. Migawka to kompletny wykaz stanu z określonego momentu, przydatny do udowodnienia stanu całego środowiska podczas audytu albo do porównywania stanu zabezpieczeń w różnych dniach.

Config przechowuje historię konfiguracji przez konfigurowalny okres, sięgający kilku lat, a dane źródłowe znajdują się również w Państwa wiadrze S3. W przypadku długoterminowych potrzeb związanych z analizą śledczą i zgodnością zapewnienie ochrony i odpowiedniego okresu przechowywania tego wiadra jest równie ważne jak samo rejestrowanie, ponieważ historia jest przydatna tylko wtedy, gdy przetrwa.

Oś czasu służy do badania rozbieżności konfiguracji: sytuacji, w której zasób stopniowo i niezauważenie oddala się od zamierzonego, bezpiecznego stanu. Porównanie bieżącego CI z wcześniejszym, sprawdzonym elementem pokazuje dokładnie, co uległo rozbieżności. Jest to niezwykle cenne, gdy mechanizm zgodny z wymaganiami wczoraj dziś już ich nie spełnia.

W konsoli można otworzyć zasób w Config i bezpośrednio wyświetlić jego oś czasu, z naniesionym na każdy punkt statusem zgodności. Widać nie tylko, jak zasób się zmieniał, lecz także czy każda jego wersja była zgodna z regułami, co pozwala powiązać historyczny stan ze stanem zabezpieczeń w danym momencie.

Config zachowuje historię także dla usuniętych zasobów, rejestrując końcowy CI oznaczający usunięcie. Ma to znaczenie podczas dochodzeń, gdy atakujący tworzy zasób, a następnie go usuwa, aby zatrzeć ślady. Zdarzenie usunięcia i wcześniejszy stan zasobu nadal pozostają w rejestrze i można je odnaleźć.

Oś czasu konfiguracji jest podstawą analizy śledczej: pokazuje, kiedy zasób się zmienił, co się zmieniło oraz — w połączeniu z CloudTrail — kto tego dokonał. Opanowanie przejścia od zmiany stanu do odpowiedzialnego za nią wywołania API jest dokładnie rodzajem dochodzenia, którego wykonania oczekuje się na egzaminie.

Sprawdź, jak korzystasz z historii Config.

Oś czasu konfiguracji to uporządkowana historia elementów konfiguracji zasobu, pokazująca różnice przed i po zmianie oraz zmiany relacji wraz ze znacznikami czasu. Wskazuje dokładnie, co się zmieniło i kiedy; przejście do CloudTrail ujawnia, kto tego dokonał. Config zachowuje historię usuniętych zasobów i obsługuje migawki, dzięki czemu stanowi podstawę analizy śledczej podczas badania rozbieżności konfiguracji i incydentów.