Yönetilen ve Özel Config Kuralları

Bir Config kuralı, kaynaklarınızın istenen yapılandırmaya uygun olup olmadığını değerlendirir ve her birini COMPLIANT veya UYGUN DEĞİL olarak bildirir. Durumu kaydetmek pasiftir; kurallar, güvenli olmayan ayarları otomatik olarak işaretleyen değerlendirme katmanını ekleyerek Config'i sürekli bir uyumluluk motoruna dönüştürür.

Yönetilen kurallar, yaygın kontroller için AWS tarafından önceden oluşturulur; bu nedenle kod yazmadan etkinleştirebilirsiniz. Örnekler arasında s3-bucket-public-read-prohibited, encrypted-volumes, iam-password-policy ve restricted-ssh bulunur. En iyi uygulamaları kapsayan yüzlerce kural vardır; bu kurallar uyumluluk temeli oluşturmanın en hızlı yoludur.

Hiçbir yönetilen kural uygun olmadığında bir özel kural yazarsınız. Bunlar, kaynak yapılandırmasını alan ve bir uyumluluk kararı döndüren bir Lambda işlevi olarak veya AWS'nin ilke olarak kod diliyle yazılmış bir Guard ilkesi olarak çalışır. Özel kurallar, yönetilen kuralların ifade edemediği kuruluşa özgü gereksinimleri kodlar.

Kurallar iki tür tetikleyiciyle çalışır. Bir yapılandırma değişikliği tetikleyicisi, bir kaynak her değiştiğinde değerlendirme yaparak neredeyse gerçek zamanlı uyumluluk sağlar. Bir dönemsel tetikleyici ise değişikliklerden bağımsız olarak sabit bir programa göre çalışır; zamana veya tek bir kaynak olayından ziyade hesap düzeyindeki ayarlara bağlı kontroller için kullanışlıdır.

Config panosu, her kuralın uyumluluk durumunu gösterir ve uyumlu olmayan kaynakları listeler. Böylece güvenli olmayan yapılandırmalar için önceliklendirilmiş bir yapılacaklar listesi elde edersiniz. Güvenlik açısından herkese açık S3 bucket'ları, şifrelenmemiş birimler ve açık güvenlik grupları gibi kurallar, düzeltilmesi gereken kaynakları tam olarak ortaya çıkarır.

Birçok kural, kontrolü özelleştirmek için parametreleri kabul eder. Örneğin iam-password-policy kuralı, en düşük uzunluğu ve parola yenileme gereksinimlerini belirtmenizi sağlar. Parametreler, özel kod yazmadan tek bir yönetilen kuralın genel bir varsayılan yerine kuruluşunuzun belirli standardını uygulamasına olanak tanır.

Uyumluluk paketi, birçok kuralı ve düzeltme eylemini, genellikle CIS veya PCI DSS gibi bir çerçeveyle eşleştirilmiş, dağıtılabilir tek bir pakette bir araya getirir. Bir paketi bir toplama hizmeti veya Organizations aracılığıyla hesaplar genelinde dağıtmak, kuralları tek tek etkinleştirmek yerine uyumluluk standardının tamamını bir kerede uygular.

Bir kuralı belirli kaynak türleriyle veya etiketlerle sınırlandırarak yalnızca önemli olanları değerlendirmesini sağlayabilir, böylece hem gürültüyü hem de maliyeti azaltabilirsiniz. Config her kural değerlendirmesi için ücretlendirme yapar; bu nedenle kapsamı doğru belirlemek ve uygun tetikleyici türünü seçmek, güvenlik açısından kritik kaynakları yine de kapsarken büyük bir kural kümesinin karşılanabilir maliyette kalmasını sağlar.

Config kuralları ile Security Hub standartları örtüşür ve Security Hub, denetimlerinin çoğunun arka planında aslında Config'i kullanır. Config kuralları, kaynak bazında ayrıntılı ve özelleştirilebilir uyumluluk sağlarken Security Hub, hizmetler arasındaki bulguları bir güvenlik duruşu puanında toplar. Sınavda özel, kaynak düzeyinde denetimler için hangisinin kullanılması gerektiği sorulabilir: Cevap Config kurallarıdır.

restricted-ssh kuralını düşünün: 0.0.0.0/0 üzerinden 22 numaralı bağlantı noktasına sınırsız gelen SSH erişimine izin veriyorsa bir güvenlik grubunu NON_COMPLIANT olarak işaretler. Bu tek kuralı hesaplarınız genelinde etkinleştirmek, özel bir kod yazmadan en yaygın ve tehlikeli yanlış yapılandırmalardan birini sürekli olarak yakalar.

Geniş kapsamlı koruma için yönetilen kurallar ve uyumluluk paketleriyle başlayın, ardından size özgü politikalar için özel kurallar ekleyin. Kapsamı dikkatle belirleyin, standartlarınıza göre parametreleştirin ve yüksek değer taşıyan kuralları düzeltme eylemleriyle eşleştirin. Bu katmanlı yaklaşım, ortamınızın güvenli biçimde yapılandırılmış kalmasını sağlayan sürekli ve otomatik bir güvence sunar.

Config kuralları bilginizi sınayın.

Config kuralları, kaynakları COMPLIANT veya NON_COMPLIANT olarak işaretler. Yüzlerce yönetilen kural, isteğe bağlı parametrelerle yaygın denetimleri kapsarken özel kurallar (Lambda veya Guard), size özgü politikaları kodlar. Kurallar değişiklik olduğunda veya bir zamanlamaya göre tetiklenir, çerçeveler için uyumluluk paketlerinde bir araya getirilir ve ayrıntılı, kaynak bazında uyumluluk sağlayarak Security Hub'ı tamamlar.