Como o AWS Config Registra o Estado dos Recursos

O AWS Config é um serviço que registra a configuração dos seus recursos da AWS ao longo do tempo e permite avaliar se eles estão em conformidade com as configurações desejadas. Enquanto o CloudTrail registra as chamadas de API que alteram os recursos, o Config registra o estado resultante dos próprios recursos. Os dois serviços são complementares.

A unidade principal é o item de configuração (CI): um instantâneo pontual dos atributos, relacionamentos e metadados de um recurso. Sempre que um recurso é alterado, o Config registra um novo CI. Esse fluxo de CIs forma um histórico completo de como cada recurso era e em que momento.

O registro é feito pelo gravador de configuração, que deve ser habilitado por região. Você escolhe se ele acompanha todos os tipos de recursos compatíveis ou apenas um subconjunto selecionado. Para uma cobertura ampla de segurança e conformidade, registrar todos os tipos de recursos é a configuração comum e recomendada.

O Config envia instantâneos e o histórico de configurações para um canal de entrega, que aponta para um bucket do S3 para armazenamento e, opcionalmente, para um tópico do SNS para notificações. O bucket do S3 se torna o registro durável que você pode consultar posteriormente; portanto, restringir seu acesso faz parte da proteção da sua trilha de auditoria.

O Config captura não apenas as configurações de um recurso, mas também seus relacionamentos com outros recursos, como os grupos de segurança associados a uma instância ou a sub-rede em que uma interface de rede está localizada. Esse mapa de relacionamentos é poderoso durante investigações, pois permite entender como uma alteração em um recurso afeta os recursos conectados.

Uma distinção frequente em exames: o CloudTrail responde a "quem fez qual chamada de API", enquanto o Config responde a "como era esse recurso e como ele foi alterado". Se você precisar provar que um grupo de segurança permitia SSH aberto na última terça-feira, o Config contém esse estado; o CloudTrail mostra quem autorizou a regra.

O Config é regional, portanto você deve habilitá-lo em cada região usada. Um agregador pode reunir dados de várias contas e regiões em uma única visualização, algo essencial para relatórios de conformidade de toda a organização. Sem um agregador, você teria de verificar cada conta e região separadamente.

O recurso de consulta avançada do Config permite executar consultas semelhantes a SQL sobre as configurações atuais dos recursos, como localizar todos os volumes EBS não criptografados ou buckets acessíveis publicamente em um agregador. Isso transforma o Config em uma ferramenta de inventário e postura de segurança, não apenas em um gravador passivo.

O Config cobra por item de configuração registrado e por avaliação de regra. Registrar todas as alterações em recursos altamente dinâmicos pode aumentar os custos. Você pode usar exclusões de registro ou o registro periódico para alguns tipos de recursos, controlando os custos e mantendo os recursos relevantes para a segurança totalmente acompanhados.

O Config integra-se a pacotes de conformidade, que reúnem regras de conformidade, e a agregadores, que combinam resultados entre contas. Assim, uma equipe central de segurança pode visualizar a postura de configuração de toda a organização em um único lugar, em vez de acessar cada conta para avaliar a conformidade separadamente.

O Config é fundamental para a conformidade: fornece as evidências do estado dos recursos ao longo do tempo exigidas pelos auditores, alimenta regras automatizadas que detectam configurações inseguras e oferece suporte à correção automática. Ele é o sistema oficial de registro para responder à pergunta "meu ambiente está configurado como deveria?", um tema central do exame.

Teste sua compreensão do AWS Config.

O AWS Config registra o estado dos recursos como itens de configuração por meio de um gravador de configuração regional, entregando instantâneos a um canal de entrega do S3. Ele captura relacionamentos entre recursos, complementa o CloudTrail (estado versus chamadas de API) e reúne dados de várias contas com um agregador. O serviço viabiliza consultas de inventário, regras de conformidade e correção.