Uyumluluk Paketleri ve Organizasyon İzleri

AWS Config Conformance Paketleri, CloudFormation benzeri bir YAML şablonu kullanılarak tek bir dağıtılabilir birim şeklinde paketlenmiş Config kuralları ve düzeltme eylemleri koleksiyonudur. Bunlar, CIS AWS Foundations Benchmark, PCI-DSS, HIPAA veya NIST 800-53 gibi belirli bir standart ya da çerçeve için uyumluluk denetimlerinden oluşan bir kümedir. Düzinelerce bağımsız Config kuralını elle dağıtmak yerine bir Conformance paketi dağıtarak dakikalar içinde kapsamlı koruma elde edebilirsiniz.

AWS, GitHub'da ve AWS konsolunda düzinelerce örnek conformance paketi şablonu sağlar. Örnekler arasında şunlar bulunur: Operational-Best-Practices-for-CIS-AWS-v1.4-Level1 (temel güvenlik denetimleri), Operational-Best-Practices-for-PCI-DSS (ödeme kartı sektörü denetimleri) ve Operational-Best-Practices-for-HIPAA-Security (sağlık verisi denetimleri). Bu şablonları olduğu gibi kullanabilir veya dağıtımdan önce tek tek kuralları ekleyerek, kaldırarak ya da değiştirerek özelleştirebilirsiniz.

Bir conformance paketi şablonu, Parameters ve Resources bölümlerini içeren bir YAML belgesidir. Şablondaki her kaynak, AWS::Config::ConfigRule CloudFormation kaynak türünü kullanan bir Config kuralı tanımıdır. Otomatik düzeltme eylemleri eklemek için AWS::Config::RemediationConfiguration kaynaklarını da dahil edebilirsiniz. Parameters bölümü şablonu yeniden kullanılabilir hale getirir — örneğin sonuçların hangi S3 bucket'ında depolanacağını veya düzeltme işleminin hangi IAM rolunu üstleneceğini parametre olarak belirleyebilirsiniz.

Dağıtım tamamlandıktan sonra her conformance paketi için bir uyumluluk özeti görüntüleyebilirsiniz — bu özet, her kuralın kaç kez başarılı olduğunu, kaç kez başarısız olduğunu ve her kural için kaç kaynağın uyumlu olmadığını gösterir. Paket düzeyinden kural düzeyine, oradan da tek tek kaynak düzeyine inebilirsiniz. Uyumluluk verileri, belirttiğiniz bir sonuç bucket'ındaki S3'e aktarılabilir; böylece bu verileri bir SIEM'e veya uyumluluk raporlama panosuna alabilirsiniz.

Bir Organisation Conformance Paketi, bir conformance paketini yönetim hesabından (veya yetkilendirilmiş yönetici hesabından) AWS Organisation içindeki tüm hesaplara aynı anda dağıtır. Üye hesaplar, dağıtılan kuralları silemez veya değiştiremez. Kuruluşa katılan yeni hesaplar conformance paketini otomatik olarak alır. Bu, her hesabı tek tek ziyaret etmeden yüzlerce hesapta uyumluluk taban çizgilerini uygulamanın en verimli yoludur.

Bir AWS Organisation içinde, yönetim hesabının günlük Config işlemleri için kullanılmasına gerek kalmaması amacıyla AWS Config için bir yetkilendirilmiş yönetici hesabı belirleyebilirsiniz. Yetkilendirilmiş yönetici, kuruluş genelindeki Config kurallarını, conformance paketlerini ve toplayıcıları dağıtabilir ve tüm üye hesapların uyumluluk verilerini görüntüleyebilir. Bu yaklaşım, yönetim hesabının operasyonel görevlerde en az düzeyde kullanılmasını öngören en iyi uygulamaya uygundur.

AWS CloudTrail'deki bir organisation trail, AWS Organisation içindeki mevcut ve gelecekte katılacak tüm hesapların API etkinliklerini yakalar ve günlükleri yönetim hesabındaki merkezi bir S3 bucket'ına gönderir. Her hesabın ayrı ayrı sürdürmesi gereken hesap düzeyindeki trail'lerin aksine, bir organisation trail yalnızca bir kez oluşturulur ve otomatik olarak her yerde uygulanır. Üye hesaplar organisation trail'i kendi CloudTrail konsollarında görebilir, ancak onu değiştiremez veya silemez.

Organisation trail S3 bucket'ı yapılandırılmış bir anahtar öneki kullanır: AWSLogs/ORGANIZATION_ID/ACCOUNT_ID/CloudTrail/REGION/YYYY/MM/DD/. Bu hiyerarşi, kuruluş kimliği ve hesap kimliğiyle bölümlendirilmiş tek bir Athena tablosu kullanarak tüm hesapların günlüklerini sorgulamanıza veya belirli hesaplara yalnızca kendi günlüklerine okuma erişimi vermek için S3 nesne öneklerini kullanmanıza olanak tanır. Bucket ilkesi, kuruluş içindeki tüm hesaplardan yazma işlemi yapabilmesi için cloudtrail.amazonaws.com öğesine açıkça izin vermelidir.

AWS Organisations içindeki Service Control Policies (SCP'ler), üye hesapların yapmasına izin verilen işlemleri kısıtlayan tamamlayıcı bir önleyici denetimdir. SCP'leri Config kurallarıyla birlikte kullanmak katmanlı bir savunma oluşturur: SCP'ler uyumsuz eylemlerin gerçekleştirilmesini en baştan önler (örneğin şifrelenmemiş EBS birimlerinin oluşturulmasını reddeder), Config kuralları ise uyumsuz durumları algılar ve düzeltmeyi tetikler. SAA-C03 sınavı, farklı senaryolarda önleyici denetimler (SCP'ler) ile tespit edici denetimler (Config) arasında seçim yapabilme becerinizi sınar.

AWS Security Hub, Config'den (uyumluluk denetimi sonuçları), GuardDuty'den (tehdit algılamaları), Inspector'dan (güvenlik açığı bulguları), Macie'den (veri hassasiyeti) ve iş ortağı araçlarından gelen bulguları tek, normalleştirilmiş bir görünümde toplar. Bulguları CIS Foundations, PCI-DSS ve AWS Foundational Security Best Practices gibi güvenlik standartlarıyla eşleştirir. Config yapılandırma durumuna odaklanırken Security Hub, tüm hizmetler genelinde genel bir güvenlik puanı ve önceliklendirilmiş bulgu listesi almak için kullanacağınız yerdir.

Eksiksiz kurumsal yönetişim mimarisi birden fazla hizmeti birlikte kullanır: SCP'ler ihlalleri gerçekleşmeden önce önler, AWS Config + Organisation Conformance Paketleri ihlalleri otomatik olarak algılar ve düzeltir, Organisation CloudTrail tüm API etkinliklerini merkezi olarak kaydeder, Security Hub bulguları önceliklendirilmiş bir güvenlik puanında birleştirir ve EventBridge + Lambda yüksek önem dereceli bulgulara otomatik yanıtlar sağlar. Bu katmanlı yaklaşım, AWS'nin bulut yönetişimi için derinlemesine savunma modeli olarak adlandırdığı yöntemdir.

Bu derste öğrendiğiniz AWS Çözüm Mimarı (SAA-C03) kavramlarını test edin.

Bu derste şunları öğrendiniz: Conformance Paketleri, çerçeve uyumluluğu için birden çok Config kuralını tek bir dağıtılabilir YAML şablonunda bir araya getirir; Organisation Conformance Paketleri, tüm AWS Organisation hesaplarına otomatik olarak uygulanır ve üyeler tarafından değiştirilemez; Organisation Trails ise hesap başına yapılandırma gerektirmeden tüm hesapların API denetim günlüklerini merkezi hale getirir. Sıradaki derste Depolamaya Derinlemesine Bakış bölümünde EBS Birim Türlerini inceleyeceğiz.