En el subcapítol anterior vam veure com posar límits amb les SCP. Però com saps, en tot moment, si els teus recursos compleixen les regles que la teva empresa exigeix? Com detectes un bucket que s’ha tornat públic o una base de dades sense xifrar? Per a aquesta vigilància contínua del compliment existeix AWS Config. És com tenir un auditor permanent revisant la teva infraestructura.

En un compte d’AWS real, les coses canvien tot el temps: es creen recursos, es modifiquen configuracions, algú ajusta un permís... Amb tants canvis, és molt fàcil que alguna cosa acabi incomplint les regles de seguretat sense que ningú se n’adoni:

• Un bucket S3 que algú va fer públic «temporalment» i va oblidar tancar (recorda el drift del subcapítol 22.4).
• Una base de dades que es va crear sense xifrat.
• Un Security Group amb un port perillós obert.
• Un recurs sense les etiquetes obligatòries de l’empresa.

Necessites alguna cosa que vigili contínuament i t’avisi quan alguna cosa deixi de complir les normes.

AWS Config és un servei que registra la configuració dels teus recursos i vigila que compleixin les regles que defineixis, de manera contínua. Fa tres coses fonamentals:

Analogia: AWS Config és com un inspector de sanitat que viu al teu restaurant i revisa contínuament que tot compleixi les normes d’higiene. No ve una vegada a l’any: està sempre vigilant, i en el moment en què alguna cosa surt de la norma (una nevera mal tancada, una superfície bruta), ho apunta i avisa. A més, porta un diari de com ha estat tot al llarg del temps.

Config guarda com està configurat cada recurs en cada moment, i manté un historial dels canvis. Això et permet respondre preguntes molt valuoses:

• «Com estava configurat aquest Security Group la setmana passada?»
• «Qui i quan va canviar aquesta configuració?»
• «Quin aspecte tenia la meva infraestructura el dia de l’incident?»

Aquest historial és or pur per a investigar problemes i per a auditories.

Defineixes regles que els teus recursos han de complir, i Config comprova contínuament si les compleixen. AWS ofereix moltes regles predefinides, i pots crear les teves. Exemples:

Cada recurs es marca com a «conforme» (compleix) o «no conforme» (incompleix). D’una ullada, veus l’estat de compliment de tot el teu compte.

Quan un recurs es torna no conforme, Config pot avisar (a l’equip de seguretat, per exemple) i fins i tot corregir-ho automàticament (remediació). Per exemple, si un bucket es torna públic, una acció de remediació podria tornar a bloquejar-lo automàticament.

Potser et preguntes en què es diferencia de Checkov/tfsec (subcapítol 21.2). La diferència és quan actuen:

Es complementen: l’anàlisi estàtica evita que arribi codi insegur (prevenció), i AWS Config vigila que el que ja està desplegat segueixi complint (detecció contínua). Recorda el drift del subcapítol 22.4: Config és una de les formes de detectar que alguna cosa va canviar a mà i va deixar de complir les normes.

Exemple del món real: una empresa financera té la norma «totes les bases de dades han d’estar xifrades» (per regulació). Configuren una Config Rule que ho comprova. Un dia, algú crea a mà una base de dades de prova sense xifrat. Config la marca immediatament com a «no conforme», alerta a l’equip de seguretat, i una remediació automàtica la marca per revisió. L’incompliment es detecta en minuts, no a l’auditoria anual. L’empresa pot demostrar als reguladors que té vigilància contínua del compliment.

La idea clau és el compliment continu. En comptes de revisar el compliment una vegada a l’any (en una auditoria manual, estressant i que només veu una foto puntual), Config ho verifica tot el temps, automàticament. Això és essencial per a empreses amb requisits regulatoris (banca, sanitat, etc.), però útil per a qualsevol que vulgui mantenir la seva infraestructura segura i ordenada.

• En un compte real, la infraestructura canvia constantment, i és fàcil que alguna cosa acabi incomplint les regles de seguretat sense que ningú ho noti.
• AWS Config vigila el compliment de manera contínua: registra la configuració dels recursos (amb historial), avalua si compleixen unes regles, i alerta (o remeia) quan alguna cosa és no conforme. Com un inspector que viu a la teva infraestructura.
• L’historial de configuració permet investigar incidents i auditar («com estava això la setmana passada?»).
• Davant de l’anàlisi estàtica (Capítol 21), que actua abans de desplegar sobre el codi, Config actua després, sobre els recursos reals i en continu (detecta també el drift). Es complementen.
• Aporta compliment continu: verifica el compliment tot el temps, en comptes d’una auditoria puntual a l’any. Essencial per a entorns regulats.

En el següent subcapítol passarem de vigilar el compliment a detectar amenaces actives amb GuardDuty.