6.3 - Évaluer la conformité des ressources (Config, Security Hub, Audit Manager, Artifact)
L'objectif 6.3 de l'AWS Certified Security Specialty couvre la démonstration que les ressources respectent les règles. AWS Config enregistre un historique de configuration, il te dit donc exactement à quoi ressemblait un groupe de sécurité à deux heures du matin, et il évalue des règles déclenchées par changement ou périodiques, le déclencheur périodique étant celui qui convient à un contrôle comme la rotation des clés d'accès tous les quatre-vingt-dix jours. Les conformance packs livrent règles et remédiations comme un artefact versionné sur toute l'organisation, une remédiation automatique exécute un document SSM Automation dont le rôle doit détenir les permissions, une règle sans aucune évaluation dans une région signifie en général que l'enregistreur est éteint ou que ce type de ressource n'est pas enregistré, et un agrégateur auquel il manque des comptes trahit une étape d'autorisation oubliée. Security Hub fait autre chose : il agrège les constats de GuardDuty, Inspector, Macie, IAM Access Analyzer et de tout tiers émettant le format AWS Security Finding Format, les note face à des standards comme CIS et Foundational Security Best Practices, gère la configuration centrale pour les comptes présents et futurs, l'agrégation inter-régions, le routage EventBridge vers un outil de tickets, et une suppression qui n'est pas l'archivage d'un enregistrement. Audit Manager collecte des preuves en continu face à des control sets, et AWS Artifact fournit les rapports SOC et l'addendum business associate. Attends-toi à des scénarios d'outillage de conformité.
Config évalue la conformité de configuration et garde l'historique, Security Hub ne fait qu'agréger et noter des constats. Règle sans aucune évaluation dans une région = l'enregistreur de configuration ou ce type de ressource n'y est pas enregistré. Qui a rendu le bucket public et quand a-t-il cessé d'être conforme = CloudTrail pour le qui, Config pour le quand.
Questions d'entraînement
1. Un auditeur demande quel service evalue en continu la conformite des configurations de ressources a des regles definies et conserve l'historique de leurs changements.
- Amazon CloudWatch
- AWS CloudTrail, qui stocke chaque appel d'API du compte et en deduit la configuration courante de chaque ressource
- AWS Config (bonne réponse)
- Amazon Inspector
Config enregistre la configuration de chaque ressource prise en charge, conserve une chronologie de chaque changement et evalue des regles dessus. CloudWatch traite des metriques et des journaux, CloudTrail enregistre qui a appele quoi mais ne maintient aucun etat de configuration et n'evalue aucune conformite, et Inspector recherche des vulnerabilites logicielles.
2. Un RSSI veut une console unique presentant les constats produits par GuardDuty, Inspector, Macie et IAM Access Analyzer sur tous les comptes. Quel service le fait ?
- AWS Security Hub (bonne réponse)
- AWS Config, qui normalise les constats de ces services en elements de configuration et les presente sur un tableau de bord de conformite unique pour l'organisation
- Amazon Detective
- AWS Audit Manager
Security Hub est l'agregateur : il ingere les constats des autres services dans un format commun et les presente de maniere centralisee. Config evalue la conformite de configuration et n'ingere pas les constats des services de securite, Detective construit des graphes d'investigation a partir de quelques sources, et Audit Manager collecte des preuves pour des cadres d'audit.
3. Une equipe doit deployer le meme ensemble de regles Config et leurs remediations sur chaque compte d'une organisation, sous la forme d'un paquet versionne. Que doivent ils utiliser ?
- Un standard de securite Security Hub
- Une frontiere de permissions IAM portant les exigences de conformite, appliquee a chaque role afin que les configurations non conformes deviennent impossibles a creer
- Une evaluation Audit Manager
- Un pack de conformite Config deploye a l'echelle de l'organisation (bonne réponse)
Un pack de conformite regroupe des regles Config et des actions de remediation dans un modele unique deployable sur toute l'organisation et versionnable comme du code. Un standard Security Hub est un ensemble fixe de controles que l'on active plutot qu'un paquet que l'on redige, une frontiere de permissions plafonne des identites et n'exprime aucune regle de configuration, et une evaluation Audit Manager collecte des preuves sans deployer la moindre regle.
4. Une regle Config detecte des groupes de securite ouverts au monde entier sur le port 22 et doit les fermer sans intervention humaine. Comment cela se met il en place ?
- En activant la remediation automatique dans le standard Security Hub qui porte le controle equivalent
- En attachant une SCP qui refuse l'appel ec2:AuthorizeSecurityGroupIngress des que la plage source demandee est 0.0.0.0/0 sur n'importe quel port
- En attachant une action de remediation Systems Manager Automation a la regle (bonne réponse)
- En exportant les constats Config vers Athena et en les interrogeant chaque jour
La remediation Config execute un document Systems Manager Automation sur la ressource non conforme, a la demande ou automatiquement. Les standards Security Hub n'ont pas de moteur de remediation propre, une SCP empeche un appel futur mais ne fait rien des regles deja en place, et une requete Athena ne fait que rapporter.
5. Une organisation doit produire, pour un audit PCI DSS, des preuves collectees en continu et rattachees a chaque controle du referentiel. Quel service est prevu pour cela ?
- AWS Artifact
- AWS Audit Manager (bonne réponse)
- AWS Config, en exportant l'etat de conformite de chaque regle vers un bucket et en laissant l'auditeur reconstruire la correspondance des controles depuis les instantanes exportes
- Amazon Macie
Audit Manager execute une evaluation face a un referentiel, collecte automatiquement des preuves depuis CloudTrail, Config et Security Hub, et les classe sous le controle correspondant. Artifact ne fournit que les rapports d'audit d'AWS lui meme, un export Config manuel laisse tout le travail de correspondance a faire, et Macie sert a decouvrir des donnees sensibles dans S3.
6. Un client demande le rapport SOC 2 Type II couvrant les services AWS qu'il consomme. Ou l'obtient on ?
- Depuis Security Hub, dans la section des standards de conformite
- Depuis un rapport d'evaluation Audit Manager genere face au referentiel SOC 2, une fois que chaque collecteur de preuves automatise a acheve un cycle trimestriel complet
- En ouvrant un dossier de support aupres de l'equipe de compte AWS
- Dans AWS Artifact (bonne réponse)
Artifact est le portail en libre service des rapports d'audit et des accords d'AWS, telechargeables a la demande sous accord de confidentialite. Security Hub rend compte de votre propre posture, Audit Manager documente vos charges de travail et ne produit jamais l'attestation d'AWS elle meme, et aucun dossier de support n'est necessaire.