c4.15 Automatizar la corrección de desviaciones de configuración
Haga cumplir su línea base de seguridad detectando y auto-corrigiendo la desviación de configuración con la auto-remediación de AWS Config, que ejecuta una automatización de Systems Manager para devolver un recurso al estado deseado. Detectar-y-corregir complementa los guardrails preventivos; no los reemplaza.
Guía de implementación
Detecte y corrija con AWS Config
La auto-remediación de AWS Config ejecuta un runbook de AWS Systems Manager Automation para devolver un recurso no conforme a su estado deseado, haciendo cumplir su línea base de seguridad de forma continua.
Prevenir vs. detectar-y-corregir
¿Por qué no simplemente prevenir la desviación con SCPs y políticas IAM? La prevención es ideal —la mala configuración nunca existe— y debería usar guardrails para sus invariantes duras. Pero detectar-y-corregir es un complemento útil:
- Mejor experiencia del builder: en vez de un opaco "access denied", puede dejar que el cambio ocurra, revertirlo y notificar al dueño (vía tags) con una explicación.
- Cubre la desviación preexistente: las políticas no corrigen malas configuraciones anteriores a ellas; la remediación de Config sí.
- Atrapa el bypass privilegiado: si alguien que puede saltarse una política configura mal un recurso, Config igual lo corrige.
- Soporta respuestas más suaves: por ejemplo abrir un ticket ante la desviación y auto-cerrarlo al resolverse, en vez de bloquear de forma dura.
Cómo encaja
Cómo validar
- ¿Detecta la desviación de configuración contra su línea base de seguridad (por ejemplo con AWS Config)?
- ¿Auto-corrige las malas configuraciones de alta confianza, o al menos abre un ticket y notifica al dueño?
- ¿Los guardrails preventivos (SCPs/RCPs) cubren sus invariantes duras, y detectar-y-corregir maneja el resto?
Amenazas que atiende
- La desviación de configuración saca silenciosamente los recursos de su línea base de seguridad; sin detección y corrección, una mala configuración puede persistir sin ser notada y convertirse en un punto de entrada.
Servicios AWS
AWS Config 
AWS Systems Manager Precios
Mapeos de frameworks
AWS CAF
Well-Architected
- waf-security-foundations Security foundations
- waf-detection Detection
- waf-infrastructure-protection Infrastructure protection