Visa historik över konfigurationens tidslinje

För varje spårad resurs bygger Config en konfigurationstidslinje: en ordnad historik över alla konfigurationsobjekt som registrerats för den. Ni kan gå tillbaka i tiden och se exakt hur resursen var konfigurerad vid en tidigare tidpunkt, vilket gör den till en tidsmaskin för er infrastruktur.

Under en incident besvarar tidslinjen en kritisk fråga: vad ändrades och när? Om en säkerhetsgrupp plötsligt tillät trafik från var som helst visar tidslinjen när regeln lades till. Genom att fastställa ändringstidpunkten begränsar ni tidsfönstret som måste undersökas och kan lättare korrelera den med andra händelser.

Varje post i tidslinjen markerar en konfigurationsändring med en tidsstämpel och skillnaderna före och efter. Ni kan se exakt vilka attribut som ändrades, till exempel att ett portintervall utökades eller att kryptering stängdes av. Denna diffvy omvandlar ett vagt ”något ändrades” till ett konkret och specifikt fynd.

Config visar vad tillståndet blev. För att ta reda på vem som orsakade det går ni vidare till CloudTrail med hjälp av tidsstämpeln från Config-posten. Genom att matcha ändringstidpunkten mot CloudTrail-händelser identifieras den ansvariga identiteten, käll-IP-adressen och det API-anrop som orsakade ändringen. Denna förflyttning från Config till CloudTrail är en central utredningsteknik.

Tidslinjen registrerar även ändringar av relationer, till exempel att en volym kopplas till en annan instans eller att ett subnäts routningstabell ändras. Dessa relationsförändringar kan vara den verkliga berättelsen bakom en incident och avslöja hur en angripare kopplade om anslutningar, även när enskilda resursattribut ser oförändrade ut.

Utöver tidslinjer per resurs kan Config enligt ett schema leverera fullständiga konfigurationsögonblicksbilder av alla registrerade resurser till S3. En ögonblicksbild är en komplett inventering vid en viss tidpunkt och är användbar för att bevisa hela miljöns tillstånd under en revision eller för att jämföra säkerhetsstatus mellan olika datum.

Config behåller konfigurationshistorik under en konfigurerbar period, i upp till flera år, och underliggande data finns även i er S3-bucket. För långsiktiga behov inom kriminalteknik och regelefterlevnad är det lika viktigt att säkerställa att bucketens data skyddas och bevaras som att själva registreringen sker, eftersom historiken bara är användbar om den finns kvar.

Tidslinjen är verktyget för att undersöka konfigurationsdrift: att en resurs gradvis och obemärkt avviker från sitt avsedda säkra tillstånd. Genom att jämföra det aktuella CI:t med ett tidigare, känt bra CI ser ni exakt vad som avvek. Det är ovärderligt när en kontroll som uppfyllde kraven i går inte längre gör det i dag.

I konsolen öppnar ni en resurs i Config och visar dess tidslinje direkt, med status för regelefterlevnad överlagrad på varje punkt. Ni kan se inte bara hur resursen ändrades utan även om varje version följde era regler, vilket kopplar det historiska tillståndet till er säkerhetsstatus vid den tidpunkten.

Config behåller historiken även för borttagna resurser och registrerar ett slutligt CI som markerar borttagningen. Det är viktigt vid utredningar där en angripare skapar och sedan tar bort en resurs för att dölja sina spår. Borttagningshändelsen och resursens tidigare tillstånd finns fortfarande registrerade så att ni kan hitta dem.

Konfigurationens tidslinje är er kriminaltekniska grund: den visar när en resurs ändrades, vad som ändrades och, tillsammans med CloudTrail, vem som gjorde det. Att behärska denna förflyttning från tillståndsändring till ansvarigt API-anrop är exakt den typ av utredning som provet förväntar sig att ni ska kunna genomföra.

Konfigurationens tidslinje är en ordnad historik över en resurs konfigurationsobjekt och visar diffar före och efter samt relationsändringar med tidsstämplar. Den fastställer vad som ändrades och när; genom att gå vidare till CloudTrail ser ni vem. Config behåller historiken för borttagna resurser och stöder ögonblicksbilder, vilket gör den till den kriminaltekniska grunden för att undersöka drift och incidenter.