Conformità continua con AWS Config

AWS Config registra la configurazione delle risorse nel tempo e ne valuta la conformità tramite le config rules. Distingui le managed rules (predefinite da AWS, es. verifica dell’encryption su S3 o EBS) dalle custom rules, che implementi con AWS Lambda o con Guard (policy-as-code) quando la logica non è coperta dalle regole pronte. Una regola può essere trigger-based (reagisce a un configuration change) oppure periodica.

Per applicare uno standard su larga scala, i conformance pack raggruppano più regole (e opzionalmente le remediation) in un unico template deployabile; combinati con AWS Organizations li distribuisci a tutti gli account come baseline di compliance. La auto-remediation collega una regola a un documento AWS Systems Manager Automation per correggere le risorse non conformi (es. riattivare un flag di encryption). Punto chiave: Config è detective, valuta lo stato ma non blocca la creazione. Per un controllo preventive servono le Service Control Policy o AWS Control Tower.

Rilevamento delle minacce: GuardDuty e Security Hub

Amazon GuardDuty è il servizio di threat detection: analizza in continuo sorgenti come VPC Flow Logs, DNS logs e CloudTrail events senza che tu debba abilitare o gestire quei log. Produce findings su comportamenti anomali (istanza che contatta un IP malevolo, credenziali IAM usate da una geografia inusuale, cryptomining). Non valuta la conformità di configurazione: quello è compito di Config.

AWS Security Hub è la vista aggregata. Normalizza i findings in formato ASFF provenienti da GuardDuty, Amazon Inspector, Macie e Config, e valuta gli account contro security standard (CIS AWS Foundations, AWS Foundational Security Best Practices, PCI DSS). Usalo come single pane of glass multi-account; le automazioni tipiche instradano i findings via Amazon EventBridge verso Lambda o verso un sistema di ticketing per la remediation.

Segreti e cifratura: Secrets Manager, Parameter Store, KMS

Per i segreti la scelta è fra AWS Secrets Manager e SSM Parameter Store (SecureString). Secrets Manager offre rotazione automatica gestita (via una Lambda di rotazione, con supporto nativo per RDS/Aurora/Redshift/DocumentDB), generazione di password random e cross-account sharing via resource policy: sceglilo quando servono credenziali di database che ruotano periodicamente. Parameter Store è gratuito per i parametri standard, adatto a config e secret semplici senza rotazione, e supporta comunque la cifratura KMS. Trade-off d’esame: rotazione automatica e integrazione DB → Secrets Manager; costo minimo e storage semplice → Parameter Store.

AWS KMS gestisce le chiavi di encryption. Distingui le AWS managed keys (gestite dal servizio, nessun controllo sulla rotazione) dalle customer managed keys (CMK), che consentono key policy granulari, rotazione automatica annuale e revoca. La key policy è il controllo autoritativo sull’accesso alla chiave: senza i permessi giusti sulla CMK, anche un principal con permessi IAM sull’oggetto non riesce a decifrarlo.

Audit e tracciabilità con CloudTrail

AWS CloudTrail registra le API call come audit trail. Configura un organization trail per catturare tutti gli account in modo centralizzato, con log su un bucket S3 dedicato protetto da log file validation (integrità) e MFA delete. Distingui i management events (attivi di default) dai data events (operazioni ad alto volume su oggetti S3 o invocazioni Lambda, a pagamento e non attivi di default). Per query investigative usa Amazon Athena; per detection quasi in tempo reale invia il trail a Amazon CloudWatch Logs con metric filter e alarm. L’esame (passing score 700/1000) insiste su chi risponde a “cosa è cambiato, quando e da parte di chi”.

Trappole tipiche d’esame

  • Rilevare e correggere configurazioni non conformi → AWS Config: managed/custom rules + conformance pack con auto-remediation via SSM Automation; GuardDuty NON valuta la compliance di configurazione.
  • Bloccare (non solo rilevare) un’azione → SCP/Control Tower: Config è detective; per impedire la creazione di risorse non conformi servono le Service Control Policy.
  • Credenziali DB che devono ruotare automaticamente → Secrets Manager: Parameter Store non ha rotazione gestita; usalo solo per config/secret statici a costo zero.
  • Aggregare findings di sicurezza multi-account → Security Hub: GuardDuty genera i findings, Security Hub li normalizza (ASFF) e li valuta contro gli standard; instradali con EventBridge.
  • Principal con permessi IAM che non decifra → key policy KMS: l’accesso alla chiave è governato dalla key policy della CMK, non dai soli permessi IAM.
  • Audit centralizzato e a prova di manomissione → CloudTrail organization trail: abilita log file validation e proteggi il bucket S3; i data events S3/Lambda non sono attivi di default.