Control de configuración y detección de drift

Una diferencia no autorizada merece contexto antes de remediarse

El configuration drift aparece cuando un servidor, dispositivo o servicio se aparta de la configuración aprobada. Puede deberse a un cambio de emergencia, automatización defectuosa, intervención manual o actividad no autorizada. Un mecanismo de detección aporta visibilidad; restaurar automáticamente cada valor no siempre es seguro.

NIST describe una línea base como configuración revisada y aprobada que evoluciona bajo control de cambios; su guía SP 800-128 de gestión de configuración recomienda mantener historial y evidencias para revisión y recuperación. Aplica el principio a los componentes que realmente administras y define las excepciones necesarias por entorno.

Ciclo de control

1. Seleccionar la base. Define versión, entorno, propietario, componentes incluidos y fecha de aprobación.
2. Medir el estado real. Recoge configuración con herramientas y permisos controlados; protege los secretos que aparezcan en la captura.
3. Comparar. Relaciona cada diferencia con cambios aprobados, incidencias y ventanas recientes.
4. Clasificar. Separa cambios autorizados, divergencias de bajo impacto y desviaciones que afectan seguridad, disponibilidad o cumplimiento.
5. Resolver. Corrige por el flujo de cambio existente, acepta una excepción temporal o vuelve a la base después de comprobar dependencias.
6. Cerrar. Guarda quién aprobó, qué cambió, resultado de verificación y cuándo revisar de nuevo.

Antes de activar corrección automática

Empieza en modo de observación y mide qué recursos cambian de forma legítima. Prueba la automatización en un entorno representativo, incluye una vía de reversión y excluye credenciales y datos que no deban recopilarse. En sistemas con estado, clústeres o configuración dinámica, una reversión automática podría interrumpir una recuperación o deshacer una excepción operativa necesaria.

Conecta la línea base con el mapa de dependencias de servicios de infraestructura y con el procedimiento de gestión de parches de servidores, que debe registrar cambios de versión como parte del ciclo de configuración.