Correção Automática por Meio de Regras do Config

Encontrar um recurso não conforme é apenas metade do trabalho; a correção automática resolve o problema automaticamente. O AWS Config pode associar uma ação de correção a uma regra, para que, quando um recurso se torne NON_COMPLIANT, a correção seja executada sem esperar por uma pessoa. Isso reduz o tempo durante o qual uma configuração insegura fica exposta.

A correção do Config é executada por documentos de automação do AWS Systems Manager (SSM), também chamados de runbooks. A AWS fornece muitos documentos predefinidos, como um para desabilitar o acesso público a um bucket do S3 ou criptografar um volume. O documento define as etapas exatas para colocar o recurso novamente em conformidade.

Você associa uma ação de correção a uma regra do Config e mapeia a saída da regra, como o ID do recurso, para os parâmetros de entrada do runbook. Quando a regra informa uma não conformidade, o Config invoca o documento do SSM nesse recurso específico, fechando o ciclo entre detecção e correção.

A correção pode ser automática, sendo executada assim que a não conformidade é detectada, ou manual, quando uma pessoa analisa o caso e depois aciona a correção. A opção automática é adequada para correções claras e seguras; a manual é mais indicada para alterações que podem interromper uma carga de trabalho e exigem avaliação humana antes da execução.

O documento do SSM é executado sob uma função do IAM especificada por você, e essa função precisa ter permissão para realizar a correção, como modificar um grupo de segurança ou habilitar a criptografia. Seguindo o princípio do menor privilégio, essa função deve conceder apenas as ações exigidas pelo runbook, pois, na prática, ela tem poder para alterar seus recursos.

Você pode configurar quantas vezes a correção fará novas tentativas e durante qual intervalo. Se uma correção falhar repetidamente, o recurso continuará não conforme e será sinalizado para análise humana. Entender esse comportamento evita surpresas: a correção é uma automação que emprega os melhores esforços, não uma garantia; por isso, ainda é importante monitorar os resultados.

Um padrão clássico associa a regra s3-bucket-public-read-prohibited a um runbook de correção que aplica o Bloqueio de Acesso Público a qualquer bucket sinalizado como público. Assim que alguém expõe um bucket, o Config detecta o problema e o runbook o protege novamente, geralmente em poucos minutos e sem intervenção de uma pessoa.

A correção reage depois que um estado inadequado ocorre. Barreiras de proteção preventivas, como SCPs ou limites de permissões, impedem que esse estado ocorra. Os projetos mais robustos combinam as duas abordagens: previnem o que for possível e corrigem automaticamente as lacunas. O exame costuma contrastar controles preventivos com controles de detecção e correção.

As correções automáticas podem ter efeitos colaterais. Criptografar novamente ou proteger um recurso outra vez pode interromper brevemente um serviço ou entrar em conflito com uma alteração legítima. Teste os runbooks primeiro em ambientes que não sejam de produção, defina o escopo das regras com cuidado e considere a correção manual para recursos sensíveis, para que a automação nunca cause mais dano do que a configuração incorreta que corrige.

Por meio de pacotes de conformidade, você pode implantar regras com suas ações de correção em todas as contas de uma organização de uma só vez. Isso impõe uma postura consistente de autorrecuperação em todos os ambientes, de modo que uma configuração incorreta em qualquer conta seja detectada e corrigida pelo mesmo padrão automatizado.

A correção automática completa a proposta do Config: registrar o estado, avaliá-lo com regras e corrigi-lo automaticamente com runbooks do SSM executados sob uma função com o menor privilégio. Usada com cuidado junto a barreiras de proteção preventivas, ela mantém seu ambiente continuamente em conformidade e reduz drasticamente o tempo durante o qual qualquer configuração insegura pode permanecer ativa.

Teste seus conhecimentos sobre correção automática.

A correção automática associa um documento de automação do SSM a uma regra do Config, para que os recursos não conformes sejam corrigidos automaticamente ou após uma análise manual. O runbook é executado sob uma função do IAM com o menor privilégio e com novas tentativas configuráveis. Combine-o com barreiras de proteção preventivas, teste os runbooks primeiro e implante-os em toda a organização por meio de pacotes de conformidade, criando um ambiente com autorrecuperação e conformidade contínua.