Visualizando o Histórico da Linha do Tempo de Configurações

Para qualquer recurso acompanhado, o Config cria uma linha do tempo da configuração: um histórico ordenado de cada item de configuração registrado para esse recurso. Você pode voltar no tempo para ver exatamente como o recurso estava configurado em qualquer momento anterior, transformando-o em uma máquina do tempo da sua infraestrutura.

Durante um incidente, a linha do tempo responde a uma pergunta fundamental: o que mudou e quando. Se um grupo de segurança de repente passou a permitir tráfego de qualquer origem, a linha do tempo mostra quando essa regra apareceu. Identificar o momento da alteração reduz o período que você precisa investigar e ajuda a correlacioná-lo com outros eventos.

Cada entrada da linha do tempo marca uma alteração de configuração com um carimbo de data e hora e as diferenças entre antes e depois. Você pode ver precisamente quais atributos foram alterados, como a ampliação de um intervalo de portas ou a desativação da criptografia. Essa visualização das diferenças transforma um vago "algo mudou" em uma descoberta concreta e específica.

O Config mostra em que o estado se transformou; para descobrir quem causou isso, você consulta o CloudTrail usando o carimbo de data e hora da entrada do Config. Comparar o momento da alteração com os eventos do CloudTrail identifica a entidade principal, o IP de origem e a chamada de API responsável. Essa mudança de contexto do Config para o CloudTrail é uma técnica fundamental de investigação.

A linha do tempo também registra alterações nos relacionamentos, como um volume sendo associado a uma instância diferente ou a tabela de rotas de uma sub-rede sendo alterada. Essas mudanças de relacionamento podem ser a verdadeira história de um incidente, revelando como um invasor reconfigurou as conexões mesmo quando os atributos individuais dos recursos parecem inalterados.

Além das linhas do tempo por recurso, o Config pode entregar ao S3 instantâneos completos de configuração de todos os recursos registrados, seguindo uma programação. Um instantâneo é um inventário completo em um determinado momento, útil para comprovar o estado de todo o ambiente durante uma auditoria ou comparar a postura de segurança entre diferentes datas.

O Config retém o histórico de configurações por um período configurável, de até vários anos, e os dados subjacentes também ficam no seu bucket do S3. Para necessidades forenses e de conformidade de longo prazo, garantir que esse bucket esteja protegido e que os dados sejam retidos é tão importante quanto o próprio registro, pois o histórico só é útil se sobreviver.

A linha do tempo é a forma de investigar o desvio de configuração: o afastamento silencioso de um recurso em relação ao estado seguro pretendido. Comparar o CI atual com um CI anterior conhecido como correto mostra exatamente o que sofreu desvio. Isso é valioso quando um controle que estava em conformidade ontem apresenta falhas hoje.

No console, você abre um recurso no Config e visualiza diretamente sua linha do tempo, com o status de conformidade sobreposto a cada ponto. É possível ver não apenas como o recurso mudou, mas também se cada versão estava em conformidade com suas regras, relacionando o estado histórico à sua postura de segurança naquele momento.

O Config retém o histórico até mesmo de recursos excluídos, registrando um CI final que indica a exclusão. Isso é importante em investigações nas quais um invasor cria e depois remove um recurso para encobrir seus rastros. O evento de exclusão e o estado anterior do recurso permanecem registrados para que você os encontre.

A linha do tempo da configuração é a base da sua investigação forense: ela mostra quando um recurso mudou, o que mudou e, em conjunto com o CloudTrail, quem fez a alteração. Dominar essa mudança do estado alterado para a chamada de API responsável é exatamente o tipo de investigação que o exame espera que você realize.

Teste como você utiliza o histórico do Config.

A linha do tempo da configuração é um histórico ordenado dos itens de configuração de um recurso, mostrando as diferenças entre antes e depois e as alterações nos relacionamentos, com carimbos de data e hora. Ela identifica o que mudou e quando; consultar o CloudTrail revela quem. O Config retém o histórico de recursos excluídos e oferece suporte a instantâneos, tornando-se a base forense para investigar desvios e incidentes.