Просмотр истории изменений конфигурации

Для любого отслеживаемого ресурса Config создаёт временную шкалу конфигурации — упорядоченную историю каждого записанного для него элемента конфигурации. Вы можете вернуться к любому моменту прошлого и точно увидеть, как был настроен ресурс, превратив инфраструктуру в своеобразную машину времени.

Во время инцидента временная шкала отвечает на критически важный вопрос: что и когда изменилось. Если группа безопасности внезапно начала разрешать трафик откуда угодно, временная шкала покажет, когда появилось это правило. Определение момента изменения сужает период, который необходимо исследовать, и помогает сопоставить изменение с другими событиями.

Каждая запись на временной шкале отмечает изменение конфигурации с указанием времени и различий до и после. Вы можете точно увидеть, какие атрибуты изменились, например расширился диапазон портов или было отключено шифрование. Такое представление различий превращает расплывчатое «что-то изменилось» в конкретную и однозначную находку.

Config показывает, каким стало состояние; чтобы узнать, кто его изменил, перейдите в CloudTrail, используя время из записи Config. Сопоставление времени изменения с событиями CloudTrail позволяет определить ответственного субъекта, исходной IP-адрес и вызов API. Такой переход от Config к CloudTrail — основной приём расследования.

Временная шкала также фиксирует изменения связей — например, подключение тома к другому экземпляру или изменение таблицы маршрутов подсети. Такие изменения связей могут быть истинной причиной инцидента: они показывают, как злоумышленник перестроил соединения, даже если отдельные атрибуты ресурсов остались неизменными.

Помимо временных шкал отдельных ресурсов, Config может по расписанию доставлять в S3 полные снимки конфигурации всех записанных ресурсов. Снимок — это полный перечень ресурсов в определённый момент времени. Он полезен для подтверждения состояния всей среды во время аудита или сравнения состояния защищённости в разные даты.

Config хранит историю конфигурации в течение настраиваемого периода — до нескольких лет, а исходные данные также находятся в вашем бакете S3. Для долгосрочных криминалистических и нормативных задач защита и сохранность этого бакета не менее важны, чем сама запись, поскольку история полезна только в том случае, если она сохраняется.

Временная шкала помогает расследовать отклонение конфигурации — незаметный уход ресурса от предусмотренного безопасного состояния. Сравнение текущего CI с предыдущим заведомо корректным CI точно показывает, что изменилось. Это особенно ценно, когда вчера соответствовавший требованиям элемент управления сегодня перестаёт им соответствовать.

В консоли Config можно открыть ресурс и просмотреть его временную шкалу непосредственно, видя статус соответствия требованиям для каждой точки. Вы увидите не только изменения ресурса, но и то, соответствовала ли каждая его версия вашим правилам, связав историческое состояние с уровнем защищённости в тот момент.

Config сохраняет историю даже для удалённых ресурсов, записывая последний CI с отметкой об удалении. Это важно при расследованиях, когда злоумышленник создаёт ресурс, а затем удаляет его, чтобы скрыть следы. Событие удаления и предыдущее состояние ресурса остаются в журнале, где их можно обнаружить.

Временная шкала конфигурации — основа криминалистического расследования: она показывает, когда изменился ресурс и что именно изменилось, а в сочетании с CloudTrail — кто это сделал. Умение перейти от изменения состояния к ответственному вызову API — именно такой навык расследования ожидается от Вас на экзамене.

Проверьте, насколько хорошо Вы умеете использовать историю Config.

Временная шкала конфигурации — это упорядоченная история элементов конфигурации ресурса, показывающая различия до и после, а также изменения связей с указанием времени. Она точно показывает, что и когда изменилось; переход к CloudTrail раскрывает, кто это сделал. Config сохраняет историю удалённых ресурсов и поддерживает снимки, становясь основой криминалистического расследования отклонений конфигурации и инцидентов.