c2.4 Inventariar activos y monitorear cambios de configuración
Mantenga al menos un inventario de alto nivel de lo que corre en cada cuenta y siga los cambios de configuración con AWS Config para detectar y remediar desviaciones de su línea base de seguridad.
Guía de implementación
Sepa qué está corriendo
Mantenga un inventario de activos: qué aplicaciones viven en cada cuenta, el proceso de negocio que soportan, los tipos de recursos que deberían usar y las configuraciones de seguridad que deben aplicar. Un inventario facilita aplicar controles y ayuda a detectar recursos ilegítimos creados por un adversario.
Siga las desviaciones con AWS Config
AWS Config registra los cambios de configuración de sus recursos y permite detectar, notificar y remediar configuraciones no conformes; por ejemplo, marcar puertos SSH o RDP abiertos a internet. La remediación puede ejecutarse automáticamente mediante runbooks de AWS Systems Manager Automation para corregir o revertir un recurso.
Config es base de otros servicios
Los estándares de seguridad de AWS Security Hub CSPM dependen de que AWS Config esté habilitado: Config debe registrar los recursos que verifica un control, en cada Región, para que los hallazgos sean precisos. AWS Firewall Manager también requiere Config. Si usa AWS Control Tower, Config se habilita automáticamente en las cuentas inscritas.
Cómo validar
- ¿Tiene un inventario de activos (idealmente con criticidad, proceso de negocio relacionado y cuenta)?
- ¿Está AWS Config habilitado en toda la organización (se habilita automáticamente si usa Control Tower)?
- ¿El equipo está capacitado para usar AWS Config y ver qué cambió y cuándo, algo clave para la respuesta a incidentes?
Amenazas que atiende
- Sin inventario es más difícil aplicar controles de forma consistente y detectar recursos ilegítimos creados por un adversario.
- Las desviaciones de configuración sin seguimiento permiten que un recurso salga silenciosamente de su línea base de seguridad.
Servicios AWS
AWS Config 
AWS Systems Manager 
AWS Security Hub Precios
AWS Config cobra por elemento de configuración registrado y por evaluación de regla. Consulte precios de AWS Config.