c2.4 Inventariar ativos e monitorar mudanças de configuração
Mantenha ao menos um inventário de alto nível do que roda em cada conta e acompanhe as mudanças de configuração com o AWS Config para detectar e remediar desvios da sua linha de base de segurança.
Guia de implementação
Saiba o que você executa
Mantenha um inventário de ativos: quais aplicações vivem em cada conta, o processo de negócio que sustentam, os tipos de recurso que devem usar e as configurações de segurança que devem aplicar. Um inventário facilita aplicar controles e ajuda a identificar recursos ilegítimos criados por um adversário.
Acompanhe o desvio com o AWS Config
O AWS Config registra as mudanças de configuração dos seus recursos e permite detectar, notificar e remediar configurações não conformes; por exemplo, sinalizar portas SSH ou RDP abertas para a internet. A remediação pode ser executada automaticamente por meio de runbooks do AWS Systems Manager Automation para corrigir ou reverter um recurso.
O Config é base de outros serviços
Os padrões de segurança do AWS Security Hub CSPM dependem de o AWS Config estar habilitado: o Config precisa registrar os recursos que um controle verifica, em cada Região, para que as descobertas sejam precisas. O AWS Firewall Manager também exige o Config. Se você usa o AWS Control Tower, o Config é ativado automaticamente nas contas inscritas.
Como validar
- Você tem um inventário de ativos (idealmente com criticidade, processo de negócio relacionado e conta)?
- O AWS Config está habilitado em toda a organização (é habilitado automaticamente se você usa o Control Tower)?
- A equipe está treinada para usar o AWS Config e ver o que mudou e quando, algo essencial para a resposta a incidentes?
Ameaças atendidas
- Sem inventário é mais difícil aplicar controles de forma consistente e identificar recursos ilegítimos criados por um adversário.
- Desvios de configuração sem acompanhamento permitem que um recurso saia silenciosamente da sua linha de base de segurança.
Serviços AWS
AWS Config 
AWS Systems Manager 
AWS Security Hub Preços
O AWS Config cobra por item de configuração registrado e por avaliação de regra. Consulte os preços do AWS Config.