Config Kurallarıyla Otomatik Düzeltme

Uyumlu olmayan bir kaynak bulmak işin yalnızca yarısıdır; otomatik düzeltme sorunu kendiliğinden giderir. AWS Config, bir kurala düzeltme eylemi ekleyebilir; böylece bir kaynak NON_COMPLIANT olduğunda, insan müdahalesi beklenmeden düzeltme çalışır. Bu, güvenli olmayan bir yapılandırmanın açıkta kaldığı süreyi kısaltır.

Config düzeltmesi, çalıştırma kitapları olarak da adlandırılan AWS Systems Manager (SSM) Otomasyon belgeleri tarafından desteklenir. AWS; bir S3 klasöründeki genel erişimi devre dışı bırakmak veya bir birimi şifrelemek gibi işler için önceden tanımlanmış birçok belge sağlar. Belge, kaynağı yeniden uyumlu duruma getirmek için gerçekleştirilecek kesin adımları tanımlar.

Bir düzeltme eylemini Config kuralıyla ilişkilendirir ve kaynağın kimliği gibi kural çıktısını çalıştırma kitabının giriş parametreleriyle eşlersiniz. Kural uyumsuzluk bildirdiğinde Config, SSM belgesini ilgili kaynağa uygular ve algılamadan düzeltmeye kadar olan döngüyü tamamlar.

Düzeltme otomatik olabilir; uyumsuzluk algılanır algılanmaz çalışır. Ya da manual olabilir; bu durumda bir operatör durumu inceler ve ardından düzeltmeyi başlatır. Otomatik düzeltme, açık ve güvenli değişiklikler için uygundur; bir iş yükünü aksatabilecek ve çalıştırılmadan önce insan değerlendirmesi gerektiren değişikliklerde ise manuel düzeltme tercih edilir.

SSM belgesi, belirttiğiniz bir IAM rolü altında çalışır ve bu rolün bir güvenlik grubunu değiştirmek veya şifrelemeyi etkinleştirmek gibi düzeltmeyi gerçekleştirme iznine sahip olması gerekir. En az ayrıcalık ilkesine uyarak bu rol yalnızca çalıştırma kitabının gerektirdiği eylemleri vermelidir; çünkü rol, kaynaklarınızı değiştirme yetkisine sahip olur.

Düzeltmenin kaç kez yeniden deneneceğini ve bunun hangi zaman aralığında yapılacağını yapılandırabilirsiniz. Düzeltme art arda başarısız olursa kaynak uyumsuz kalır ve insan müdahalesi için görünür hale gelir. Bu davranışı anlamak beklenmedik durumları önler: Düzeltme, garanti değil, en iyi çabayı gösteren bir otomasyondur; bu nedenle sonuçları izlemek yine de önemlidir.

Klasik bir yaklaşımda s3-bucket-public-read-prohibited kuralı, genel olarak işaretlenen tüm klasörlerde Genel Erişimi Engelle özelliğini uygulayan bir düzeltme çalıştırma kitabıyla eşleştirilir. Birisi bir klasörü erişime açtığı anda Config bunu algılar ve çalıştırma kitabı, çoğu zaman birkaç dakika içinde, operatör müdahalesi olmadan klasörü yeniden güvenli hale getirir.

Düzeltme, kötü durum oluştuktan sonra tepki verir. SCP'ler veya izin sınırları gibi önleyici güvenlik korkulukları ise kötü durumun hiç oluşmasını engeller. En güçlü tasarımlar ikisini birleştirir: Yapabildiğinizi önleyin, açıkları da otomatik olarak düzeltin. Sınavda önleyici denetimler ile algılayıcı ve düzeltici denetimler sıklıkla karşılaştırılır.

Otomatik düzeltmelerin yan etkileri olabilir. Bir kaynağı yeniden şifrelemek veya güvenli hale getirmek bir hizmeti kısa süreliğine aksatabilir ya da meşru bir değişiklikle çakışabilir. Çalıştırma kitaplarını önce üretim dışı ortamda test edin, kuralların kapsamını dikkatle belirleyin ve hassas kaynaklar için manuel düzeltmeyi değerlendirin; böylece otomasyon, düzelttiği yanlış yapılandırmadan daha fazla zarara yol açmaz.

Uyumluluk paketleri aracılığıyla kuralları ve bunların düzeltme eylemlerini bir kuruluştaki tüm hesaplara aynı anda dağıtabilirsiniz. Bu, her yerde tutarlı ve kendi kendini iyileştiren bir güvenlik duruşu uygular; böylece herhangi bir hesaptaki yanlış yapılandırma aynı otomatik standart tarafından yakalanır ve düzeltilir.

Otomatik düzeltme, Config yaklaşımını tamamlar: durumu kaydedin, kurallarla değerlendirin ve en az ayrıcalıkla yetkilendirilmiş bir rol altındaki SSM çalıştırma kitaplarıyla otomatik olarak düzeltin. Önleyici güvenlik korkuluklarıyla birlikte dikkatli kullanıldığında ortamınızın sürekli uyumlu kalmasını sağlar ve güvenli olmayan bir ayarın varlığını sürdürebileceği süreyi büyük ölçüde azaltır.

Otomatik düzeltme bilginizi sınayın.

Otomatik düzeltme, uyumsuz kaynakların otomatik olarak veya manuel incelemeden sonra düzeltilmesi için bir SSM Otomasyon belgesini Config kuralına ekler. Çalıştırma kitabı, yapılandırılabilir yeniden denemelerle, en az ayrıcalık ilkesine uygun bir IAM rolü altında çalışır. Bunu önleyici güvenlik korkuluklarıyla birlikte kullanın, çalıştırma kitaplarını önce test edin ve kendi kendini iyileştiren, sürekli uyumlu bir ortam için kuruluş genelinde uyumluluk paketleriyle dağıtın.