Управляемые и пользовательские правила Config

Правило Config оценивает, соответствуют ли ваши ресурсы желаемой конфигурации, и отмечает каждый из них как COMPLIANT или NON_COMPLIANT. Запись состояния пассивна, а правила добавляют уровень оценки, автоматически выявляющий небезопасные настройки и превращающий Config в механизм непрерывного контроля соответствия.

Управляемые правила заранее созданы AWS для распространённых проверок, поэтому их можно включить без написания кода. Примеры: запрет публичного чтения бакета s3, зашифрованные тома, политика паролей iam и ограниченный ssh-доступ. Существуют сотни правил, охватывающих лучшие практики, поэтому это самый быстрый способ задать базовый уровень соответствия требованиям.

Если подходящего управляемого правила нет, Вы создаёте настраиваемое правило. Оно выполняется как функция Lambda, получающая конфигурацию ресурса и возвращающая вердикт о соответствии, либо как политика Guard с использованием языка AWS для описания политик в виде кода. Настраиваемые правила позволяют выразить требования конкретной организации, которые нельзя описать управляемыми правилами.

Правила запускаются двумя типами триггеров. Триггер изменения конфигурации оценивает ресурс всякий раз, когда он изменяется, обеспечивая почти мгновенный контроль соответствия. Периодический триггер запускается по фиксированному расписанию независимо от изменений и полезен для проверок, зависящих от времени или настроек уровня аккаунта, а не от события одного ресурса.

Панель Config показывает соответствие каждого правила и перечисляет ресурсы, не соответствующие требованиям. Так формируется приоритетный список задач по устранению небезопасных конфигураций. В целях безопасности такие правила, как запрет общедоступных бакетов S3, проверка незашифрованных томов и открытых групп безопасности, указывают конкретные ресурсы, которые необходимо исправить.

Многие правила принимают параметры, позволяющие настроить проверку. Например, правило политика паролей iam позволяет указать минимальную длину и требования к смене паролей. Параметры дают возможность одному управляемому правилу обеспечивать стандарт вашей организации, а не общее значение по умолчанию, без написания собственного кода.

Пакет соответствия требованиям объединяет множество правил и действий по устранению несоответствий в один пакет, готовый к развертыванию. Часто такой пакет сопоставляется с фреймворком, например CIS или PCI DSS. Развертывание пакета во всех учетных записях через агрегатор или Organizations позволяет сразу применить весь стандарт соответствия требованиям, а не включать правила по одному.

Вы можете ограничить область действия правила определенными типами ресурсов или тегами, чтобы оно проверяло только важные объекты, снижая уровень шума и стоимость. Config взимает плату за каждую проверку правила, поэтому правильное ограничение области действия и выбор подходящего типа запуска помогают сделать большой набор правил доступным по цене, сохраняя покрытие критически важных для безопасности ресурсов.

Правила Config и стандарты Security Hub частично пересекаются, а Security Hub фактически использует Config для многих своих проверок. Правила Config обеспечивают детализированную и настраиваемую проверку соответствия требованиям для каждого ресурса, тогда как Security Hub объединяет результаты проверок разных сервисов в единую оценку состояния безопасности. На экзамене могут спросить, что использовать для пользовательских проверок на уровне ресурсов: ответ — правила Config.

Рассмотрим restricted-ssh: оно помечает группу безопасности как НЕСООТВЕТСТВУЮЩУЮ, если разрешает неограниченный входящий SSH-трафик на порт 22 из 0.0.0.0/0. Включение этого единственного правила во всех учетных записях позволяет непрерывно выявлять одну из самых распространенных и опасных ошибок настройки — без какого-либо пользовательского кода.

Начните с управляемых правил и пакетов соответствия требованиям для широкого охвата, а затем добавьте пользовательские правила для уникальных политик вашей организации. Продуманно ограничивайте область действия, настраивайте параметры в соответствии со своими стандартами и связывайте наиболее ценные правила с действиями по устранению несоответствий. Такой многоуровневый подход обеспечивает непрерывную автоматизированную проверку того, что ваша среда остается безопасно настроенной.

Проверьте свои знания о правилах Config.

Правила Config помечают ресурсы как COMPLIANT или НЕСООТВЕТСТВУЮЩИЕ. Сотни управляемых правил охватывают распространенные проверки и поддерживают необязательные параметры, а пользовательские правила (Lambda или Guard) позволяют задавать уникальные политики. Правила запускаются при изменении или по расписанию, объединяются в пакеты соответствия требованиям для фреймворков и дополняют Security Hub, обеспечивая детализированную проверку соответствия требованиям на уровне отдельных ресурсов.