Пакеты соответствия и трассы организации

AWS Config Conformance Packs — это наборы правил Config и действий по устранению нарушений, объединённые в один развёртываемый блок с помощью шаблона YAML, похожего на CloudFormation. Они представляют набор средств контроля соответствия определённому стандарту или платформе, например CIS AWS Foundations Benchmark, PCI-DSS, HIPAA или NIST 800-53. Вместо ручного развёртывания десятков отдельных правил Config Вы разворачиваете пакет соответствия и за считанные минуты получаете комплексное покрытие.

AWS предоставляет десятки примеров шаблонов пакетов соответствия на GitHub и в консоли AWS. Среди них: Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (базовые средства контроля безопасности), Operational-Best-Practices-for-PCI-DSS (средства контроля индустрии платёжных карт) и Operational-Best-Practices-for-HIPAA-Security (средства контроля медицинских данных). Вы можете использовать эти шаблоны без изменений или настроить их, добавив, удалив либо изменив отдельные правила перед развёртыванием.

Шаблон пакета соответствия — это документ YAML, содержащий раздел Parameters и раздел Resources. Каждый ресурс в шаблоне представляет собой определение правила Config с использованием типа ресурса CloudFormation AWS::Config::ConfigRule. Вы также можете добавить ресурсы AWS::Config::RemediationConfiguration, чтобы подключить автоматические действия по устранению нарушений. Параметры делают шаблон повторно используемым: например, Вы можете задать, какой бакет S3 хранит результаты и какую роль IAM принимает механизм устранения нарушений.

После развёртывания Вы можете просмотреть сводку о соответствии для каждого пакета соответствия: сколько правил пройдено, сколько не пройдено и сколько ресурсов не соответствуют требованиям каждого правила. Вы можете перейти от уровня пакета к уровню правила, а затем к уровню отдельного ресурса. Данные о соответствии можно экспортировать в S3 в указанный Вами бакет результатов, чтобы затем загружать их в SIEM или панель мониторинга отчётности о соответствии.

Пакет соответствия организации одновременно разворачивает пакет соответствия во всех аккаунтах AWS Organisation из управляющего аккаунта (или аккаунта делегированного администратора). Аккаунты участников не могут удалять или изменять развёрнутые правила. Новые аккаунты, присоединяющиеся к организации, автоматически получают пакет соответствия. Это самый эффективный способ применять базовые требования соответствия в сотнях аккаунтов без посещения каждого аккаунта по отдельности.

В AWS Organisation Вы можете назначить аккаунт делегированного администратора для AWS Config, чтобы управляющий аккаунт не использовался для повседневных операций Config. Делегированный администратор может разворачивать правила Config организации, пакеты соответствия и агрегаторы, а также просматривать данные о соответствии из всех аккаунтов участников. Это соответствует рекомендации свести использование управляющего аккаунта для операционных задач к минимуму.

Trail организации в AWS CloudTrail записывает активность API из каждого аккаунта AWS Organisation — включая текущие и будущие аккаунты участников — и передаёт журналы в централизованный бакет S3 управляющего аккаунта. В отличие от trails уровня аккаунта, которыми каждый аккаунт должен управлять отдельно, trail организации создаётся один раз и автоматически применяется везде. Аккаунты участников могут видеть trail организации в своей консоли CloudTrail, но не могут изменять или удалять его.

Бакет S3 trail организации использует структурированный префикс ключа: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Такая иерархия позволяет запрашивать журналы всех аккаунтов с помощью одной таблицы Athena, разделённой по идентификаторам организации и аккаунтов, либо использовать префиксы объектов S3, чтобы предоставить отдельным аккаунтам доступ на чтение только к их собственным журналам. Политика бакета должна явно разрешать cloudtrail.amazonaws.com выполнять запись из всех аккаунтов организации.

Политики управления сервисами (SCP) в AWS Organisations — это дополнительный превентивный механизм, ограничивающий действия, разрешённые аккаунтам участников. Сочетание SCP с правилами Config создаёт многоуровневую защиту: SCP предотвращают выполнение несоответствующих требованиям действий (например, запрещают создание незашифрованных томов EBS), а правила Config обнаруживают состояния, не соответствующие требованиям, и запускают устранение нарушений. На экзамене SAA-C03 проверяется умение выбирать между превентивными средствами контроля (SCP) и детективными средствами контроля (Config) для различных сценариев.

AWS Security Hub собирает результаты из Config (результаты проверок соответствия), GuardDuty (обнаруженные угрозы), Инспектора (результаты поиска уязвимостей), Маци (чувствительность данных) и инструментов партнёров в единое нормализованное представление. Он сопоставляет результаты со стандартами безопасности, такими как CIS Foundations, PCI-DSS и AWS Foundational Security Best Practices. Config сосредоточен на состоянии конфигурации, а Security Hub используется для получения общей оценки безопасности и приоритизированного списка результатов по всем сервисам.

Полная архитектура управления предприятием использует несколько сервисов совместно: SCP предотвращают нарушения до их возникновения, AWS Config + пакеты соответствия организации автоматически обнаруживают и устраняют нарушения, CloudTrail организации централизованно записывает всю активность API, Security Hub объединяет результаты в приоритизированную оценку безопасности, а EventBridge + Лямбда обеспечивает автоматическую реакцию на результаты с высокой степенью серьёзности. Такой многоуровневый подход AWS называет моделью эшелонированной защиты для управления облачной инфраструктурой.

Проверьте своё понимание концепций AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что Conformance Packs объединяют несколько правил Config в один развёртываемый шаблон YAML для соответствия требованиям платформы, пакеты соответствия организации автоматически применяются ко всем аккаунтам AWS Organisation и не могут изменяться участниками, а Trails организации централизуют журналы аудита API из всех аккаунтов без настройки каждого аккаунта по отдельности. Далее мы рассмотрим типы томов EBS в подробном разборе хранилищ.