การดูประวัติเส้นเวลาการตั้งค่า

สำหรับทรัพยากรที่ติดตามทุกประเภท Config จะสร้าง ไทม์ไลน์การกำหนดค่า ซึ่งเป็นประวัติตามลำดับของรายการการกำหนดค่าทุกรายการที่บันทึกไว้ คุณสามารถย้อนดูเพื่อเห็นได้อย่างแม่นยำว่าทรัพยากรถูกตั้งค่าไว้อย่างไรในช่วงเวลาใด ๆ ที่ผ่านมา ทำให้ไทม์ไลน์นี้เปรียบเสมือนเครื่องย้อนเวลาสำหรับโครงสร้างพื้นฐานของคุณ

ระหว่างเกิดเหตุการณ์ ไทม์ไลน์จะตอบคำถามสำคัญว่า มีอะไรเปลี่ยนแปลงและเปลี่ยนเมื่อใด หากกลุ่มความปลอดภัยเริ่มอนุญาตการรับส่งข้อมูลจากทุกที่ ไทม์ไลน์จะแสดงว่ากฎดังกล่าวปรากฏขึ้นเมื่อใด การระบุช่วงเวลาที่เกิดการเปลี่ยนแปลงได้อย่างแม่นยำจะช่วยจำกัดช่วงเวลาที่ต้องสืบสวน และช่วยเชื่อมโยงเหตุการณ์นี้กับเหตุการณ์อื่น ๆ

แต่ละรายการบนไทม์ไลน์จะระบุการเปลี่ยนแปลงการกำหนดค่า พร้อมเวลาและ ความแตกต่างก่อนและหลัง คุณจะเห็นได้อย่างชัดเจนว่าแอตทริบิวต์ใดเปลี่ยนแปลง เช่น ช่วงพอร์ตถูกขยาย หรือการเข้ารหัสถูกปิดใช้งาน มุมมองความแตกต่างนี้เปลี่ยนคำกล่าวกว้าง ๆ ว่า "มีบางอย่างเปลี่ยนแปลง" ให้กลายเป็นข้อค้นพบที่ชัดเจนและเฉพาะเจาะจง

Config แสดงให้เห็นว่า สถานะเปลี่ยนเป็นอะไร หากต้องการทราบว่า ใครเป็นผู้ทำให้เกิดการเปลี่ยนแปลง ให้ใช้เวลาในรายการของ Config เพื่อย้อนตรวจสอบไปยัง CloudTrail การจับคู่เวลาที่เปลี่ยนแปลงกับเหตุการณ์ใน CloudTrail จะระบุผู้มีสิทธิ์ แหล่งที่มา IP และการเรียก API ที่เป็นสาเหตุ เทคนิคการย้อนตรวจสอบจาก Config ไปยัง CloudTrail นี้เป็นหัวใจสำคัญของการสืบสวน

ไทม์ไลน์ยังบันทึกการเปลี่ยนแปลงของ ความสัมพันธ์ ด้วย เช่น Volume ถูกเชื่อมต่อกับอินสแตนซ์อื่น หรือตารางเส้นทางของซับเน็ตเปลี่ยนแปลง การเปลี่ยนแปลงความสัมพันธ์เหล่านี้อาจเป็นประเด็นสำคัญที่แท้จริงของเหตุการณ์ เพราะเผยให้เห็นว่าผู้โจมตีเปลี่ยนเส้นทางการเชื่อมต่ออย่างไร แม้แอตทริบิวต์ของทรัพยากรแต่ละรายการจะดูไม่เปลี่ยนแปลง

นอกเหนือจากไทม์ไลน์รายทรัพยากรแล้ว Config ยังสามารถส่ง ภาพบันทึกการกำหนดค่าแบบเต็มของทรัพยากรที่บันทึกไว้ทั้งหมดไปยัง S3 ตามกำหนดเวลา ภาพบันทึกคือบัญชีทรัพยากรทั้งหมด ณ ช่วงเวลาหนึ่ง ซึ่งมีประโยชน์สำหรับพิสูจน์สถานะของสภาพแวดล้อมทั้งหมดระหว่างการตรวจสอบ หรือเปรียบเทียบสถานะระหว่างวันที่ต่างกัน

Config เก็บประวัติการกำหนดค่าไว้ตามระยะเวลาที่กำหนดค่าได้ สูงสุดหลายปี และข้อมูลพื้นฐานยังอยู่ในบัคเก็ต S3 ของคุณด้วย สำหรับความต้องการด้านนิติวิทยาศาสตร์และการปฏิบัติตามข้อกำหนดในระยะยาว การตรวจสอบให้แน่ใจว่าบัคเก็ตได้รับการปกป้องและเก็บรักษาไว้อย่างเหมาะสมมีความสำคัญพอ ๆ กับการบันทึกเอง เพราะประวัติจะมีประโยชน์ก็ต่อเมื่อยังคงอยู่

ไทม์ไลน์คือเครื่องมือที่ใช้สืบสวน การเบี่ยงเบนของการกำหนดค่า ซึ่งหมายถึงทรัพยากรค่อย ๆ เบี่ยงออกจากสถานะปลอดภัยที่ตั้งใจไว้โดยไม่มีการแจ้งเตือน การเปรียบเทียบ CI ปัจจุบันกับ CI ก่อนหน้าที่ทราบว่าอยู่ในสถานะดีจะแสดงให้เห็นอย่างชัดเจนว่าอะไรเบี่ยงเบนไป เรื่องนี้มีคุณค่าอย่างยิ่งเมื่อการควบคุมที่เป็นไปตามข้อกำหนดเมื่อวานกลับไม่ผ่านในวันนี้

ในคอนโซล คุณสามารถเปิดทรัพยากรใน Config และดูไทม์ไลน์ได้โดยตรง พร้อมสถานะการปฏิบัติตามข้อกำหนดที่แสดงทับอยู่บนแต่ละจุด คุณจะเห็นไม่เพียงว่าทรัพยากรเปลี่ยนแปลงอย่างไร แต่ยังเห็นด้วยว่าแต่ละเวอร์ชันสอดคล้องกับกฎของคุณหรือไม่ ซึ่งเชื่อมโยงสถานะในอดีตกับสถานะความปลอดภัยของคุณ ณ ขณะนั้น

Config ยังคงเก็บประวัติไว้แม้แต่กับ ทรัพยากรที่ถูกลบ โดยบันทึก CI สุดท้ายเพื่อระบุการลบ เรื่องนี้มีความสำคัญในการสืบสวนกรณีที่ผู้โจมตีสร้างทรัพยากรแล้วลบออกเพื่อกลบร่องรอย เหตุการณ์การลบและสถานะก่อนหน้าของทรัพยากรยังคงอยู่ในบันทึกเพื่อให้คุณค้นหาได้

ไทม์ไลน์การกำหนดค่าคือแกนหลักด้านนิติวิทยาศาสตร์ของคุณ โดยแสดงว่าทรัพยากรเปลี่ยนแปลงเมื่อใด เปลี่ยนแปลงอะไร และเมื่อใช้ร่วมกับ CloudTrail ก็จะแสดงว่าใครเป็นผู้ดำเนินการ การเชี่ยวชาญการย้อนตรวจสอบจากการเปลี่ยนแปลงสถานะไปยังการเรียก API ของผู้รับผิดชอบ คือทักษะการสืบสวนประเภทที่การสอบคาดหวังให้คุณทำได้

ไทม์ไลน์การกำหนดค่าคือประวัติตามลำดับของ รายการการกำหนดค่าของทรัพยากร โดยแสดง ความแตกต่างก่อนและหลัง รวมถึงการเปลี่ยนแปลงความสัมพันธ์พร้อมเวลา ไทม์ไลน์ระบุได้ว่า อะไรเปลี่ยนแปลงและ เมื่อใด ส่วนการย้อนตรวจสอบไปยัง CloudTrail จะเปิดเผยว่า ใครเป็นผู้ดำเนินการ Config ยังคงเก็บประวัติของทรัพยากรที่ถูกลบและรองรับ ภาพบันทึก ทำให้เป็นแกนหลักด้านนิติวิทยาศาสตร์สำหรับสืบสวนการเบี่ยงเบนและเหตุการณ์ต่าง ๆ