查看配置时间线历史记录

对于任何被跟踪的资源，Config 都会构建一条配置时间线：按顺序排列该资源记录的每个配置项的历史。您可以回溯查看资源在过去任意时刻的确切配置，就像拥有一个基础设施的时光机。

发生事件时，时间线可以回答一个关键问题：发生了什么变化，以及何时发生。如果某个安全组突然允许来自任意位置的流量，时间线会显示这条规则何时出现。确定变化发生的时刻可以缩小需要调查的时间范围，并帮助您将其与其他事件关联起来。

时间线上的每个条目都会以时间戳和变更前后的差异标记一次配置变化。您可以准确看到哪些属性发生了变化，例如端口范围扩大或加密被关闭。这种差异视图能将模糊的“某些内容发生了变化”转化为具体明确的发现。

Config 显示状态变成了什么；要了解谁导致了变化，您可以使用 Config 条目中的时间戳转到 CloudTrail。将变更时间与 CloudTrail 事件进行匹配，可以确定负责该变更的主体、源 IP 和 API 调用。从 Config 转到 CloudTrail 是一项核心调查技术。

时间线也会记录关系变化，例如某个卷被附加到另一台实例，或某个子网的路由表发生变化。这些关系变化可能才是事件的真正经过：即使单个资源的属性看起来没有变化，也能揭示攻击者如何重新连接各项资源。

除了每个资源的时间线外，Config 还可以按计划将所有已记录资源的完整配置快照传送到 S3。快照是某个时间点的完整资产清单，可用于在审计期间证明整个环境的状态，或比较不同日期的安全态势。

Config 会在可配置的期限内保留配置历史，最长可达数年；底层数据也存储在您的 S3 存储桶中。对于长期取证和合规需求，确保该存储桶受到保护并持续保留，与记录本身同样重要，因为只有历史记录能够留存下来，它才有用。

您可以通过时间线调查配置漂移：资源在不知不觉中偏离原本预期的安全状态。将当前 CI 与之前已知良好的 CI 进行比较，就能准确显示发生漂移的内容。当某项控制措施昨天还合规、今天却失败时，这项功能尤其有价值。

在控制台中，您可以在 Config 内打开某个资源并直接查看其时间线，同时每个时间点都会显示合规状态。您不仅能看到资源如何变化，还能看到每个版本是否符合您的规则，从而将历史状态与当时的安全态势联系起来。

即使对于已删除的资源，Config 也会保留历史记录，并记录一个标记为删除的最终 CI。这对于调查攻击者创建资源后又将其删除以掩盖踪迹的事件非常重要。删除事件以及资源之前的状态都会保留在记录中，供您查找。

配置时间线是您的取证主线：它显示资源何时发生变化、发生了什么变化，并结合 CloudTrail 显示是谁执行了操作。掌握从状态变化转到负责该变化的 API 调用这一过程，正是考试要求您进行的调查类型。

测试您使用 Config 历史记录的能力。

配置时间线是资源配置项按顺序排列的历史记录，通过时间戳显示变更前后的差异以及关系变化。它可以精确定位发生了什么变化以及何时发生；转到 CloudTrail 则可以揭示谁执行了操作。Config 会保留已删除资源的历史记录，并支持快照，因此它是调查配置漂移和安全事件的取证主线。