SEC04-BP04 启动对不合规资源的修复

您的检测性控制措施可能会对不符合配置要求的资源发出警报。您可以手动或自动启动以编程方式定义的修复措施，用于修复这些资源并尽可能减少潜在影响。通过以编程方式定义的修复措施，您可以迅速采取一致的行动。

虽然利用自动化功能可以增强安全修复操作，但您应谨慎地实施和管理自动化功能。 您需要建立适当的监督和控制机制，确保自动化响应有效、准确且符合组织的策略和风险偏好。

期望结果：您定义了资源配置标准，以及在检测到资源不合规情况时应采取的修复措施。您尽可能以编程方式定义修复措施，以便手动或者自动启动这些措施。实施了检测系统，用于识别不合规的资源，并将警报发布到由您的安全人员监控的集中式工具。这些工具支持手动或自动运行您的程序化修复措施。采取了相应的监督和控制机制来管控自动修复措施的使用。

常见反模式：

建立此最佳实践的好处：面对错误配置，自动修复的响应速度比手动流程更快，这让您可以尽量减少潜在的业务影响，并减少出现意外使用情况的机会。以编程方式定义修复措施后，可以始终如一地应用这些措施，从而降低人为错误的风险。自动化功能还可以同时处理更大量的警报，这在大规模运行的环境中尤其重要。 

在未建立这种最佳实践的情况下暴露的风险等级：中

实施指导

如 SEC01-BP03 识别并验证控制目标中所述，AWS Config 和 AWS Security Hub 等服务有助于您监控账户中资源的配置，以便符合您的要求。当检测到不合规的资源时，诸如 AWS Security Hub 之类的服务有助于相应地发送警报并进行补救。这些解决方案为安全调查人员提供了一个中心位置，可用来监控问题和采取纠正措施。

一些不合规资源的情况会非常独特，需要人工判断才能修复，不过其它情况可以采取以编程方式定义的标准响应。例如，对于 VPC 安全组的配置错误，标准响应可以是删除不允许的规则并通知负责人。可以在 AWS Lambda 函数、AWS Systems Manager Automation 文档中或者通过其它您常用的代码编写环境来定义响应措施。确保环境能够使用 IAM 角色在 AWS 上进行身份验证，并具有执行纠正措施所需的最低权限。

在定义了所需的修复措施之后，您就可以确定启动修复措施的首选方式。AWS Config 可以为您启动修复。如果您使用 Security Hub，则可以通过自定义操作来执行这个过程，自定义操作会将调查发现信息发布到 Amazon EventBridge。然后，EventBridge 规则启动修复措施。您可以通过 Security Hub 配置补救措施，使其自动或手动运行。 

对于程序化的修复措施，我们建议您全面记录所采取的行动及其结果，并进行审计。查看和分析这些日志，以评测自动化流程的有效性，并确定需要改进的地方。将 Amazon CloudWatch Logs 中的日志和修复结果作为调查发现备注收集到 Security Hub 中。

首先，您可以考虑 AWS 上的自动化安全响应，其中预先构建了修复措施，用于解决常见的安全配置错误。

实施步骤

资源

相关最佳实践：

相关文档：

相关示例：

相关工具：