c4.15 Automatizar a correção de desvio de configuração
Imponha a sua linha de base de segurança detectando e autocorrigindo o desvio de configuração com a autorremediação do AWS Config, que executa uma automação do Systems Manager para devolver um recurso ao estado desejado. Detectar-e-corrigir complementa os guardrails preventivos; não os substitui.
Guia de implementação
Detecte e corrija com o AWS Config
A autorremediação do AWS Config executa um runbook do AWS Systems Manager Automation para devolver um recurso não conforme ao seu estado desejado, impondo a sua linha de base de segurança continuamente.
Prevenir vs. detectar-e-corrigir
Por que não simplesmente prevenir o desvio com SCPs e políticas IAM? A prevenção é ideal —a configuração incorreta nunca existe— e você deve usar guardrails para as suas invariantes rígidas. Mas detectar-e-corrigir é um complemento útil:
- Melhor experiência do builder: em vez de um opaco "access denied", você pode deixar a mudança acontecer, revertê-la e notificar o dono (via tags) com uma explicação.
- Cobre o desvio preexistente: as políticas não corrigem configurações incorretas anteriores a elas; a remediação do Config sim.
- Captura o bypass privilegiado: se alguém que pode contornar uma política configurar mal um recurso, o Config ainda o corrige.
- Suporta respostas mais suaves: por exemplo abrir um ticket diante do desvio e autofechá-lo quando resolvido, em vez de bloquear de forma rígida.
Como se encaixa
Como validar
- Você detecta o desvio de configuração em relação à sua linha de base de segurança (por exemplo com o AWS Config)?
- Você autocorrige as configurações incorretas de alta confiança, ou ao menos abre um ticket e notifica o dono?
- Os guardrails preventivos (SCPs/RCPs) cobrem as suas invariantes rígidas, e detectar-e-corrigir cuida do resto?
Ameaças atendidas
- O desvio de configuração move silenciosamente os recursos para fora da sua linha de base de segurança; sem detecção e correção, uma configuração incorreta pode persistir sem ser notada e se tornar um ponto de entrada.
Serviços AWS
AWS Config 
AWS Systems Manager Preços
Veja os preços do AWS Config.
Mapeamentos de frameworks
AWS CAF
Well-Architected
- waf-security-foundations Security foundations
- waf-detection Detection
- waf-infrastructure-protection Infrastructure protection