En el subcapítulo anterior vimos cómo poner límites con las SCP. Pero ¿cómo sabes, en todo momento, si tus recursos cumplen las reglas que tu empresa exige? ¿Cómo detectas un bucket que se volvió público o una base de datos sin cifrar? Para esa vigilancia continua del cumplimiento existe AWS Config. Es como tener un auditor permanente revisando tu infraestructura.

En una cuenta de AWS real, las cosas cambian todo el tiempo: se crean recursos, se modifican configuraciones, alguien ajusta un permiso... Con tantos cambios, es muy fácil que algo acabe incumpliendo las reglas de seguridad sin que nadie se dé cuenta:

• Un bucket S3 que alguien hizo público «temporalmente» y olvidó cerrar (recuerda el drift del subcapítulo 22.4).
• Una base de datos que se creó sin cifrado.
• Un Security Group con un puerto peligroso abierto.
• Un recurso sin las etiquetas obligatorias de la empresa.

Necesitas algo que vigile continuamente y te avise cuando algo deje de cumplir las normas.

AWS Config es un servicio que registra la configuración de tus recursos y vigila que cumplan las reglas que definas, de forma continua. Hace tres cosas fundamentales:

Analogía: AWS Config es como un inspector de sanidad que vive en tu restaurante y revisa continuamente que todo cumpla las normas de higiene. No viene una vez al año: está siempre vigilando, y en el momento en que algo se sale de la norma (una nevera mal cerrada, una superficie sucia), lo apunta y avisa. Además, lleva un diario de cómo ha estado todo a lo largo del tiempo.

Config guarda cómo está configurado cada recurso en cada momento, y mantiene un historial de los cambios. Esto te permite responder preguntas muy valiosas:

• «¿Cómo estaba configurado este Security Group la semana pasada?»
• «¿Quién y cuándo cambió esta configuración?»
• «¿Qué aspecto tenía mi infraestructura el día del incidente?»

Este historial es oro puro para investigar problemas y para auditorías.

Defines reglas que tus recursos deben cumplir, y Config comprueba continuamente si las cumplen. AWS ofrece muchas reglas predefinidas, y puedes crear las tuyas. Ejemplos:

Cada recurso se marca como «conforme» (cumple) o «no conforme» (incumple). De un vistazo, ves el estado de cumplimiento de toda tu cuenta.

Cuando un recurso se vuelve no conforme, Config puede avisar (al equipo de seguridad, por ejemplo) e incluso corregirlo automáticamente (remediación). Por ejemplo, si un bucket se vuelve público, una acción de remediación podría volver a bloquearlo automáticamente.

Quizá te preguntes en qué se diferencia de Checkov/tfsec (subcapítulo 21.2). La diferencia es cuándo actúan:

Se complementan: el análisis estático evita que llegue código inseguro (prevención), y AWS Config vigila que lo que ya está desplegado siga cumpliendo (detección continua). Recuerda el drift del subcapítulo 22.4: Config es una de las formas de detectar que algo cambió a mano y dejó de cumplir las normas.

Ejemplo del mundo real: una empresa financiera tiene la norma «todas las bases de datos deben estar cifradas» (por regulación). Configuran una Config Rule que lo comprueba. Un día, alguien crea a mano una base de datos de prueba sin cifrado. Config la marca inmediatamente como «no conforme», alerta al equipo de seguridad, y una remediación automática la marca para revisión. El incumplimiento se detecta en minutos, no en la auditoría anual. La empresa puede demostrar a los reguladores que tiene vigilancia continua del cumplimiento.

La idea clave es el compliance continuo (cumplimiento continuo). En vez de revisar el cumplimiento una vez al año (en una auditoría manual, estresante y que solo ve una foto puntual), Config lo verifica todo el tiempo, automáticamente. Esto es esencial para empresas con requisitos regulatorios (banca, sanidad, etc.), pero útil para cualquiera que quiera mantener su infraestructura segura y ordenada.

• En una cuenta real, la infraestructura cambia constantemente, y es fácil que algo acabe incumpliendo las reglas de seguridad sin que nadie lo note.
• AWS Config vigila el cumplimiento de forma continua: registra la configuración de los recursos (con historial), evalúa si cumplen unas reglas, y alerta (o remedia) cuando algo es no conforme. Como un inspector que vive en tu infraestructura.
• El historial de configuración permite investigar incidentes y auditar («¿cómo estaba esto la semana pasada?»).
• Frente al análisis estático (Capítulo 21), que actúa antes de desplegar sobre el código, Config actúa después, sobre los recursos reales y en continuo (detecta también el drift). Se complementan.
• Aporta compliance continuo: verifica el cumplimiento todo el tiempo, en vez de una auditoría puntual al año. Esencial para entornos regulados.

En el siguiente subcapítulo pasaremos de vigilar el cumplimiento a detectar amenazas activas con GuardDuty.