Hanterade och anpassade Config-regler

En Config-regel utvärderar om era resurser följer en önskad konfiguration och rapporterar varje resurs som COMPLIANT eller NON_COMPLIANT. Att registrera tillstånd är passivt; regler lägger till bedömningslagret som automatiskt flaggar osäkra inställningar och gör Config till en motor för kontinuerlig regelefterlevnad.

Hanterade regler är förbyggda av AWS för vanliga kontroller, så ni kan aktivera dem utan att skriva kod. Exempel är s3-bucket-public-read-prohibited, encrypted-volumes, iam-password-policy och restricted-ssh. Det finns hundratals regler som täcker bästa praxis, vilket gör dem till det snabbaste sättet att skapa en baslinje för regelefterlevnad.

När ingen hanterad regel passar skriver ni en anpassad regel. Dessa körs som en Lambda function som tar emot resurskonfigurationen och returnerar ett beslut om regelefterlevnad, eller som en Guard policy med AWS policy-som-kod-språk. Anpassade regler kodifierar organisationsspecifika krav som hanterade regler inte kan uttrycka.

Regler körs med två typer av utlösare. En utlösare vid konfigurationsändring utvärderar en resurs varje gång den ändras, vilket ger regelefterlevnad nästan i realtid. En periodisk utlösare körs enligt ett fast schema oavsett ändringar och är användbar för kontroller som beror på tid eller på inställningar på kontonivå snarare än på en enskild resurshändelse.

Config-instrumentpanelen visar varje regels status för regelefterlevnad och listar de resurser som inte uppfyller kraven. Det ger er en prioriterad att-göra-lista över osäkra konfigurationer. För säkerheten visar regler för exempelvis publika S3-buckets, okrypterade volymer och öppna säkerhetsgrupper exakt vilka resurser som behöver åtgärdas.

Många regler accepterar parametrar som anpassar kontrollen. Regeln iam-password-policy låter er till exempel ange krav på minsta längd och rotation. Med parametrar kan en och samma hanterade regel tillämpa organisationens specifika standard i stället för en generell standard, utan att ni behöver skriva anpassad kod.

Ett conformance pack samlar många regler och åtgärder för korrigering i ett enda distribuerbart paket, ofta mappat mot ett ramverk som CIS eller PCI DSS. När ett paket distribueras till flera konton via en aggregator eller Organizations tillämpas en hel efterlevnadsstandard på en gång i stället för att aktivera regler en i taget.

Ni kan begränsa en regel till specifika resurstyp­er eller taggar så att den bara utvärderar det som är relevant, vilket minskar både brus och kostnader. Config tar betalt per regelutvärdering, så genom att begränsa omfattningen och välja rätt typ av utlösare kan ni hålla en stor regeluppsättning överkomlig och samtidigt täcka säkerhetskritiska resurser.

Config-regler och standarder i Security Hub överlappar varandra, och Security Hub använder faktiskt Config bakom många av sina kontroller. Config-regler ger detaljerad, anpassningsbar efterlevnad per resurs, medan Security Hub samlar resultat från flera tjänster till ett säkerhetsstatuspoäng. På provet kan ni få frågan vilken tjänst som ska användas för anpassade kontroller på resursnivå: svaret är Config-regler.

Tänk på restricted-ssh: regeln markerar en säkerhetsgrupp som NON_COMPLIANT om den tillåter obegränsad inkommande SSH på port 22 från 0.0.0.0/0. Genom att aktivera den här enda regeln i era konton upptäcker ni kontinuerligt en av de vanligaste och farligaste felkonfigurationerna, helt utan anpassad kod.

Börja med hanterade regler och conformance packs för bred täckning och lägg sedan till anpassade regler för era unika policyer. Begränsa omfattningen eftertänksamt, parametrera reglerna enligt era standarder och koppla värdefulla regler till åtgärder för korrigering. Detta skiktade tillvägagångssätt ger kontinuerlig, automatiserad säkerhet som säkerställer att er miljö förblir säkert konfigurerad.

Config-regler markerar resurser som COMPLIANT eller NON_COMPLIANT. Hundratals hanterade regler täcker vanliga kontroller med valfria parametrar, medan anpassade regler (Lambda eller Guard) kodifierar unika policyer. Regler utlöses vid ändring eller enligt ett schema, kan samlas i conformance packs för ramverk och kompletterar Security Hub genom att tillhandahålla detaljerad efterlevnad per resurs.