ABS CIG 2.0 标准工作负载的操作最佳实践 - Amazon Config
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

ABS CIG 2.0 标准工作负载的操作最佳实践

一致性包提供了一个通用的合规性框架,旨在使您能够使用托管或自定义的创建安全性、运营或成本优化治理检查Amazon Config规则和Amazon Config补救行动。合规性包(作为示例模板)的设计目的不是为了完全确保符合特定的监管或合规性标准。您有责任自行评估您对服务的使用是否符合适用的法律和法规要求。

以下提供了 ABS 云计算实施指南 2.0-标准工作负载和Amazon Config托管规则。每个 Config 规则都应用于特定Amazon资源,并与一个或多个 ABS 云计算实施指南控件相关。ABS 云计算实施指南控件可以与多个 Config 规则相关联。有关这些映射的详细信息和指南,请参阅下表。

Amazon Web Services 区域:全部支持Amazon Web Services 区域除了亚太地区 (香港), 欧洲 (斯德哥尔摩) 和中东 (巴林)

控制 ID Amazon Config 规则 指南
第 4 节-管理云 2 标准工作负载

集中式管理Amazon Web Services 账户WIMSAmazonOrganizations 有助于确保客户符合要求。缺乏集中式账户治理可能会导致账户配置不一致,从而可能暴露资源和敏感数据。
第 4 节-管理云 2 标准工作负载

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
第 4 节-管理云 2 标准工作负载

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
第 4 节-管理云 2 标准工作负载

启用云跟踪安全跟踪

此规则有助于确保使用Amazon了解建议的安全最佳实践。Amazon CloudTrail,通过检查是否启用了多个设置。这些包括使用日志加密、日志验证和启用Amazon CloudTrail多个区域中提供有。
第 4 节-管理云 2 标准工作负载

cloudwatch-alarm-action-check

在指标超过阈值达到指定数量的评估期时,Amazon CloudWatch 将发出警报。警报根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 “alarmActionRequired”(Config 默认值:True)、“需要 insufficientDataActionRequired”(Config 默认值:True)、“okActionRequired(Config 默认值:False)的值。实际值应反映您环境的警报操作。
第 4 节-管理云 2 标准工作负载

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。
第 4 节-管理云 2 标准工作负载

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
第 4 节-管理云 2 标准工作负载

启用此规则有助于在功能失败时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Nofy Service (Amazon SNS) 通知相应的人员。
第 4 节-管理云 2 标准工作负载

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
第 4 节-管理云 3 标准工作负载

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。
第 4 节-管理云 3 标准工作负载

ec2-security-group-attached-to-eni

此规则确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或 ENI 上的安全组。此规则有助于监控清单中未使用的安全组以及环境的管理。
第 4 节-管理云 3 标准工作负载

ec2-volume-inuse-check

此规则确保在实例终止时,附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例的 Amazon Elastic Cloud (Amazon EC2) 卷被标记为删除。如果某个 Amazon EBS 卷在其附加到的实例终止时未被删除,则可能违反最小功能的概念。
第 4 节-管理云 3 标准工作负载

eip-attached

该规则可以确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 连接到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用中的弹性网络接口。此规则有助于监控环境中未使用的 EIP。
第 4 节-管理云 4 标准工作负载

集中式管理Amazon Web Services 账户WIMSAmazonOrganizations 有助于确保客户符合要求。缺乏集中式账户治理可能会导致账户配置不一致,从而可能暴露资源和敏感数据。
第 4b 节设计和安全的云 1 标准工作负载

iam-NON-CONPRONT

确保Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
第 4b 节设计和安全的云 1 标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的云 1 标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4b 节设计和安全的云 2 标准工作负载

启用云跟踪安全跟踪

此规则有助于确保使用Amazon了解建议的安全最佳实践。Amazon CloudTrail,通过检查是否启用了多个设置。这些包括使用日志加密、日志验证和启用Amazon CloudTrail多个区域中提供有。
第 4b 节设计和安全的云 2 标准工作负载

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。
第 4b 节设计和安全的云 2 标准工作负载

ec2-managedinstance-association-compliance-status-check

使用Amazon Secrets Manager帮助组织内软件平台和应用程序清单的关联。Amazon Secrets Manager为托管实例分配配置状态,并允许您设置操作系统修补程序级别、软件安装、应用程序配置以及有关环境的其他详细信息的基准。
第 4b 节设计和安全的云 2 标准工作负载

ec2-managedinstance-patch-compliance-status-check

启用此规则有助于识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查 Amazon EC2 实例修补程序是否符合Amazon Secrets Manager根据组织的策略和程序的要求进行。
第 4b 节设计和安全的云 2 标准工作负载

redshift-cluster-maintenancesettings-check

此规则可确保 Amazon Redshift 集群具有您组织的首选设置。具体而言,他们具有数据库的首选维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择性地设置 preferredMaintenanceWindow(默认值为坐:16:00-sat:16:30)和自动快照持续期(默认值为 1)。实际值应反映组织的策略。
第 4b 节设计和安全的云 3 标准工作负载

autoscaling-group-elb-healthcheck-required

Amazon EElastic Load Balancer Compute Cloud (Amazon EC2) Auto Supple Elastic Compute Cloud (Amazon EC2) Auto Scaling upple 组支持维护足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试 Amazon EC2 实例在 auto-scaling 组中的运行状况。如果实例未报告,流量将被发送到新的 Amazon EC2 实例。
第 4b 节设计和安全的云 3 标准工作负载

dynamodb-autoscaling-enabled

Amazon DynamoDB 自动扩展使用Amazon应 Application Auto Scaling 服务可调整自动响应实际流量模式的预配置吞吐量容量。这将允许表或全局二级索引增大其预置读写容量以处理突增流量,而不进行限制。
第 4b 节设计和安全的云 3 标准工作负载

ec2-instance-detailed-monitoring-enabled

启用此规则可以帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控,该控制台将以 1 分钟为间隔显示实例的监控图表。
第 4b 节设计和安全的云 3 标准工作负载

支持 ELB 跨区域负载平衡

为弹性负载均衡器 (ELB) 启用跨区域负载平衡,以帮助维持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区中保持相同数量实例的需求。它还提高应用程序处理一个或多个实例丢失情况的能力。
第 4b 节设计和安全的云 3 标准工作负载

rds-enhanced-monitoring-enabled

启用 Amazon Relational Database Service (Amazon RDS),帮助监控 Amazon RDS 的可用性。这样就可以详细了解 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时,增强监控会收集每个设备的数据。此外,当 Amazon RDS 数据库实例在多可用区部署中运行时,将收集辅助主机上每个设备的数据和辅助主机指标。
第 4b 节设计和安全的云 3 标准工作负载

rds-multi-az-support

Amazon Relational Database Service (Amazon RDS) 中的多可用区支持提供了增强的数据库实例的可用性和持久性。当您预配置多可用区数据库实例时,Amazon RDS 会自动创建主数据库实例,并同步将数据复制到不同可用区中的备用实例。每个可用区都在独立的、物理上显著不同的、物理上显著不同的基础设施上运行并且被设计得高度可靠。在基础设施发生故障时,Amazon RDS 会自动执行到备用故障切换,以便在故障转移完成后立即恢复数据库操作。
第 4b 节设计和安全的云 4 标准工作负载

确保Amazon在弹性负载均衡器 (ELB) 上启用了 WAF,以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 攻击可能会影响您的环境中的可用性、损害安全性或消耗过多的资源。
第 4b 节设计和安全的云 4 标准工作负载

ec2-instance-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例不能公开访问。Amazon EC2 实例可以包含敏感信息,此类账户需要访问控制。
第 4b 节设计和安全的云 4 标准工作负载

ec2-security-group-attached-to-eni

此规则确保附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或 ENI 上的安全组。此规则有助于监控清单中未使用的安全组以及环境的管理。
第 4b 节设计和安全的云 4 标准工作负载

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Elasticsearch Service (Amazon ES) 域名在 Amazon Virtual Private Cloud (Amazon VPC) 中。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
第 4b 节设计和安全的云 4 标准工作负载

emr-kerberos-enabled

通过为 Amazon EMR 集群启用 Kerberos,可以根据最小权限和职责分离原则来管理和合并访问权限和授权。在 Kerberos 中,需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中,被称为密钥分发中心 (KDC)。它为委托人提供了一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证来进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其他有关每个委托人的管理信息的数据库。
第 4b 节设计和安全的云 4 标准工作负载

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
第 4b 节设计和安全的云 4 标准工作负载

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
第 4b 节设计和安全的云 4 标准工作负载

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
第 4b 节设计和安全的云 4 标准工作负载

iam-password-policy

身份和证书是根据组织 IAM 密码策略颁发、管理和验证的。它们满足或超过 NIST SP 800-63 和互联网安全中心 (CIS) 规定的要求Amazon密码强度的基准基准。此规则允许您选择设置 RequireUppercaseCharactersAmazon基础安全最佳实践价值:true),RequireLowercaseCharacters(Amazon基础安全最佳实践价值:true),RequireSymbols (Amazon基础安全最佳实践价值:true)RequireNumbers(Amazon基础安全最佳实践价值:true),MinimumPasswordLength(Amazon基础安全最佳实践价值:14)、PasswordReusePrevention 护 (Amazon基础安全最佳实践价值:24)和 MaxPasswordAge(Amazon基础安全最佳实践值:90),适用于您的 IAM 密码策略。实际值应反映组织的策略。
第 4b 节设计和安全的云 4 标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的云 4 标准工作负载

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
第 4b 节设计和安全的云 4 标准工作负载

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的云 4 标准工作负载

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
第 4b 节设计和安全的云 4 标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4b 节设计和安全的云 4 标准工作负载

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
第 4b 节设计和安全的云 4 标准工作负载

restricted-ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以提供有状态的过滤以帮助管理网络访问,方法是:Amazon资源的费用。不允许从 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
第 4b 节设计和安全的云 4 标准工作负载

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
第 4b 节设计和安全的云 4 标准工作负载

internet-gateway-authorized-vpc-only

管理对Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
第 4b 节设计和安全的云 4 标准工作负载

部署AmazonLambda 在 Amazon Virtual Private Cloud (Amazon VPC) 中运行,可在 Amazon VPC 内部的函数和其他服务之间进行安全通信。使用此配置,无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问,AmazonLambda 函数应分配给 VPC。
第 4b 节设计和安全的云 4 标准工作负载

mfa-enabled-for-iam-console-access

管理对Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
第 4b 节设计和安全的云 4 标准工作负载

确保Amazon Identity and Access Management(IAM) 身份验证已在 RDS 实例上启用,以控制对系统和资产的访问。这将强制进站和进站网络流量,以使用安全套接字层 (SSL) 加密。由于身份验证是在外部管理的,因此无需将用户凭证存储在数据库中。
第 4b 节设计和安全的云 4 标准工作负载

rds-instance-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
第 4b 节设计和安全的云 4 标准工作负载

redshift-cluster-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
第 4b 节设计和安全的云 4 标准工作负载

restricted-common-ports

管理对Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制对可信源端口的访问可能会导致系统的可用性、完整性和机密性受到攻击。此规则允许您选择设置阻止端口 1-阻止端口 5 参数(Config 默认值:20,21,3389,3306,4333)。实际值应反映组织的策略。
第 4b 节设计和安全的云 4 标准工作负载

管理对Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的云 4 标准工作负载

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的云 4 标准工作负载

管理对Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
第 4b 节设计和安全的云 4 标准工作负载

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
第 4b 节设计和安全的云 4 标准工作负载

vpc-default-security-group-closed

Amazon Elastic Compute Cloud (Amazon EC2) 安全组有助于管理网络访问,方法是提供有状态的过滤,以Amazon资源的费用。限制默认安全组上的所有流量有助于限制远程访问Amazon资源的费用。
第 4b 节设计和安全的云 4 标准工作负载

vpc-sg-open-only-to-authorized-ports

管理对Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制端口访问可信源可能会导致系统的可用性、完整性和机密性受到攻击。通过限制 Internet (0.0.0.0/0),可以控制对内部系统的远程访问。
第 4b 节设计和安全的云 4 标准工作负载

可实施冗余 Site-to-Site VPN 隧道以实现恢复要求。它使用两条隧道以帮助确保连接性,以防止出现 Site-to-Site VPN 连接不可用的情况。要避免因您的客户网关不可用而造成连接中断,您可使用第二个客户网关来为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟专用网关设置另一个 Site-to-Site VPN 连接。
第 4b 节设计和安全的云 5 标准工作负载

通过确保 X509 证书由AmazonACM. 这些证书必须有效且未过期。此规则需要一个 daysToExpiration 值 (Amazon基础安全最佳实践价值:90)。实际值应反映组织的策略。
第 4b 节设计和安全的云 5 标准工作负载

cmk-backing-key-rotation-enabled

启用密钥轮替,以确保在到达加密期限后,将轮换密钥。
第 4b 节设计和安全的云 5 标准工作负载

iam-NON-CONPRONT

确保Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
第 4b 节设计和安全的云 5 标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的云 5 标准工作负载

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
第 4b 节设计和安全的云 5 标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4b 节设计和安全的云 5 标准工作负载

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
第 4b 节设计和安全的云 5 标准工作负载

kms-cmk-not-scheduled-for-deletion

为了帮助保护静态数据,请确保未计划在Amazon Key Management Service(AmazonKM). 由于有时需要删除密钥,因此此此规则可以帮助检查计划删除的所有密钥,以防无意中安排密钥。
第 4b 节设计和安全的云 5 标准工作负载

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的云 6 标准工作负载

启用了 alb-http 丢弃标题

确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

alb-http-to-https-redirection-check

为了帮助保护传输中的数据,请确保您的 Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

api-gw-cache-enabled-and-encrypted

为了帮助保护静态数据,请确保为 API Gateway 阶段的缓存启用了加密。由于可以为 API 方法捕获敏感数据,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

cloud-trail-encryption-enabled

由于敏感数据可能存在,并且为了帮助保护静态数据,因此请确保为Amazon CloudTrail跟踪。
第 4b 节设计和安全的云 6 标准工作负载

为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组已启用加密功能。
第 4b 节设计和安全的云 6 标准工作负载

dynamodb-table-encrypted-kms

确保已为您的 Amazon DynamoDB 表启用加密功能。由于敏感数据可能存在于这些表中静态,因此启用静态加密以帮助保护这些数据。默认情况下,DynamoDB 表使用Amazon拥有客户主密钥 (CMK)。
第 4b 节设计和安全的云 6 标准工作负载

ec2-ebs-encryption-by-default

为帮助保护静态数据,请确保为 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能存在于这些卷中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

efs-encrypted-check

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic File System (EFS) 启用了加密功能。
第 4b 节设计和安全的云 6 标准工作负载

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elasticsearch Service (Amazon ES) 域启用加密功能。
第 4b 节设计和安全的云 6 标准工作负载

确保启 Amazon Elasticsearch Service 密。利用节点到节点加密,将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

由于敏感数据可能存在,并且为了帮助保护传输时的数据,请确保为 Elastic Load Balancing 启用了加密功能。使用Amazon Certificate Manager管理、配置和部署公共和私有 SSL/TLS 证书Amazon服务和内部资源.
第 4b 节设计和安全的云 6 标准工作负载

ELB-TLS-https-仅侦听器

确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

encrypted-volumes

由于感官数据可能存在,并且为了保护静态数据,请确保已经为 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
第 4b 节设计和安全的云 6 标准工作负载

rds-snapshot-encrypted

确保已为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于敏感数据可以处于静态状态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

rds-storage-encrypted

为了帮助保护静态数据,请确保为 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于敏感数据可能存在于 Amazon RDS 实例中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
第 4b 节设计和安全的云 6 标准工作负载

redshift-require-tls-ssl

确保您的 Amazon Redshift torage Storage 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

s3-bucket-server-side-encryption-enabled

要帮助保护静态数据,请确保已启用 Amazon Simple Storage Service (Amazon S3) 存储桶的加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

s3-bucket-ssl-requests-only

为了帮助保护传输中的数据,请确保 Amazon Simple Storage Service (Amazon S3) 桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 终端节点启用 KMS)。由于敏感数据可能存在于 SageMaker 终端节点中的静态数据,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 笔记本电脑启用 KMS)。由于敏感数据可能存在于 SageMaker 笔记本中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的云 6 标准工作负载

sns-encrypted-kms

为了帮助保护静态数据,请确保 Amazon Simple Notification Service (Amazon SNS) 主题需要使用Amazon Key Management Service(AmazonKM). 由于敏感数据可能存在于已发布邮件中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的云 8 标准工作负载

access-keys-rotated

通过确保根据组织策略轮换 IAM 访问密钥,对授权设备、用户和流程进行证书审核。安全最佳实践是定期更改。它缩短了访问密钥处于活动状态的时间,并减少了密钥被泄露时的业务影响。此规则需要访问密钥轮换值(Config 默认值:90)。实际值应反映组织的策略。
第 4b 节设计和安全的云 8 标准工作负载

集中式管理Amazon Web Services 账户WIMSAmazonOrganizations 有助于确保客户符合要求。缺乏集中式账户治理可能会导致账户配置不一致,从而可能暴露资源和敏感数据。
第 4b 节设计和安全的云 8 标准工作负载

启用云跟踪安全跟踪

此规则有助于确保使用Amazon了解建议的安全最佳实践。Amazon CloudTrail,通过检查是否启用了多个设置。这些包括使用日志加密、日志验证和启用Amazon CloudTrail多个区域中提供有。
第 4b 节设计和安全的云 8 标准工作负载

emr-kerberos-enabled

通过为 Amazon EMR 集群启用 Kerberos,可以根据最小权限和职责分离原则来管理和合并访问权限和授权。在 Kerberos 中,需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中,被称为密钥分发中心 (KDC)。它为委托人提供了一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证来进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其他有关每个委托人的管理信息的数据库。
第 4b 节设计和安全的云 8 标准工作负载

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
第 4b 节设计和安全的云 8 标准工作负载

iam-NON-CONPRONT

确保Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
第 4b 节设计和安全的云 8 标准工作负载

iam-password-policy

身份和证书是根据组织 IAM 密码策略颁发、管理和验证的。它们满足或超过 NIST SP 800-63 和互联网安全中心 (CIS) 规定的要求Amazon密码强度的基准基准。此规则允许您选择设置 RequireUppercaseCharactersAmazon基础安全最佳实践价值:true),RequireLowercaseCharacters(Amazon基础安全最佳实践价值:true),RequireSymbols (Amazon基础安全最佳实践价值:true)RequireNumbers(Amazon基础安全最佳实践价值:true),MinimumPasswordLength(Amazon基础安全最佳实践价值:14)、PasswordReusePrevention 护 (Amazon基础安全最佳实践价值:24)和 MaxPasswordAge(Amazon基础安全最佳实践值:90),适用于您的 IAM 密码策略。实际值应反映组织的策略。
第 4b 节设计和安全的云 8 标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的云 8 标准工作负载

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
第 4b 节设计和安全的云 8 标准工作负载

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的云 8 标准工作负载

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
第 4b 节设计和安全的云 8 标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4b 节设计和安全的云 8 标准工作负载

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
第 4b 节设计和安全的云 8 标准工作负载

mfa-enabled-for-iam-console-access

管理对Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
第 4b 节设计和安全的云 8 标准工作负载

确保Amazon Identity and Access Management(IAM) 身份验证已在 RDS 实例上启用,以控制对系统和资产的访问。这将强制进站和进站网络流量,以使用安全套接字层 (SSL) 加密。由于身份验证是在外部管理的,因此无需将用户凭证存储在数据库中。
第 4b 节设计和安全的云 8 标准工作负载

管理对Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的云 8 标准工作负载

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的云 9 标准工作负载

cloudtrail-enabled

Amazon CloudTrail可以通过录制来帮助不可否认Amazon Web Services Management Console操作和 API 调用。您可以通过Amazon Web Services 账户调用的Amazon服务、生成调用的源 IP 地址以及调用的时间。捕获数据的详细信息可在Amazon CloudTrail记录内容
第 4b 节设计和安全的云 9 标准工作负载

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
第 4b 节设计和安全的云 9 标准工作负载

iam-NON-CONPRONT

确保Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
第 4b 节设计和安全的云 9 标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的云 9 标准工作负载

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
第 4b 节设计和安全的云 9 标准工作负载

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的云 9 标准工作负载

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
第 4b 节设计和安全的云 9 标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4b 节设计和安全的云 9 标准工作负载

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
第 4b 节设计和安全的云 9 标准工作负载

mfa-enabled-for-iam-console-access

管理对Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
第 4b 节设计和安全的云 9 标准工作负载

确保Amazon Identity and Access Management(IAM) 身份验证已在 RDS 实例上启用,以控制对系统和资产的访问。这将强制进站和进站网络流量,以使用安全套接字层 (SSL) 加密。由于身份验证是在外部管理的,因此无需将用户凭证存储在数据库中。
第 4b 节设计和安全的云 9 标准工作负载

管理对Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的云 9 标准工作负载

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的云 9 标准工作负载

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
第 4b 节设计和安全的 10 个标准工作负载

access-keys-rotated

通过确保根据组织策略轮换 IAM 访问密钥,对授权设备、用户和流程进行证书审核。安全最佳实践是定期更改。它缩短了访问密钥处于活动状态的时间,并减少了密钥被泄露时的业务影响。此规则需要访问密钥轮换值(Config 默认值:90)。实际值应反映组织的策略。
第 4b 节设计和安全的 10 个标准工作负载

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Elasticsearch Service (Amazon ES) 域名在 Amazon Virtual Private Cloud (Amazon VPC) 中。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
第 4b 节设计和安全的 10 个标准工作负载

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
第 4b 节设计和安全的 10 个标准工作负载

iam-NON-CONPRONT

确保Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
第 4b 节设计和安全的 10 个标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的 10 个标准工作负载

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
第 4b 节设计和安全的 10 个标准工作负载

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
第 4b 节设计和安全的 10 个标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4b 节设计和安全的 10 个标准工作负载

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
第 4b 节设计和安全的 10 个标准工作负载

restricted-ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以提供有状态的过滤以帮助管理网络访问,方法是:Amazon资源的费用。不允许从 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
第 4b 节设计和安全的 10 个标准工作负载

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
第 4b 节设计和安全的 10 个标准工作负载

internet-gateway-authorized-vpc-only

管理对Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
第 4b 节设计和安全的 10 个标准工作负载

部署AmazonLambda 在 Amazon Virtual Private Cloud (Amazon VPC) 中运行,可在 Amazon VPC 内部的函数和其他服务之间进行安全通信。使用此配置,无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问,AmazonLambda 函数应分配给 VPC。
第 4b 节设计和安全的 10 个标准工作负载

mfa-enabled-for-iam-console-access

管理对Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
第 4b 节设计和安全的 10 个标准工作负载

rds-instance-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
第 4b 节设计和安全的 10 个标准工作负载

redshift-cluster-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
第 4b 节设计和安全的 10 个标准工作负载

restricted-common-ports

管理对Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制对可信源端口的访问可能会导致系统的可用性、完整性和机密性受到攻击。此规则允许您选择设置阻止端口 1-阻止端口 5 参数(Config 默认值:20,21,3389,3306,4333)。实际值应反映组织的策略。
第 4b 节设计和安全的 10 个标准工作负载

管理对Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的 10 个标准工作负载

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
第 4b 节设计和安全的 10 个标准工作负载

管理对Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
第 4b 节设计和安全的 10 个标准工作负载

vpc-default-security-group-closed

Amazon Elastic Compute Cloud (Amazon EC2) 安全组有助于管理网络访问,方法是提供有状态的过滤,以Amazon资源的费用。限制默认安全组上的所有流量有助于限制远程访问Amazon资源的费用。
第 4b 节设计和安全的 10 个标准工作负载

vpc-sg-open-only-to-authorized-ports

管理对Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制端口访问可信源可能会导致系统的可用性、完整性和机密性受到攻击。通过限制 Internet (0.0.0.0/0),可以控制对内部系统的远程访问。
第 4b 节设计和安全的 12 个标准工作负载

api-gw-cache-enabled-and-encrypted

为了帮助保护静态数据,请确保为 API Gateway 阶段的缓存启用了加密。由于可以为 API 方法捕获敏感数据,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 12 个标准工作负载

cloud-trail-encryption-enabled

由于敏感数据可能存在,并且为了帮助保护静态数据,因此请确保为Amazon CloudTrail跟踪。
第 4b 节设计和安全的 12 个标准工作负载

为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组已启用加密功能。
第 4b 节设计和安全的 12 个标准工作负载

codebuild-project-source-repo-url-check

确保 GitHub 或 Bitbucket 源存储库 URL 不包含个人访问令牌、用户名和密码Amazon CodeBuild项目环境。使用 OAuth 授予权限以访问 GitHub 或 Bitbucket 存储库,而不是使用个人访问令牌或用户名和密码。
第 4b 节设计和安全的 12 个标准工作负载

dynamodb-table-encrypted-kms

确保已为您的 Amazon DynamoDB 表启用加密功能。由于敏感数据可能存在于这些表中静态,因此启用静态加密以帮助保护这些数据。默认情况下,DynamoDB 表使用Amazon拥有客户主密钥 (CMK)。
第 4b 节设计和安全的 12 个标准工作负载

ec2-ebs-encryption-by-default

为帮助保护静态数据,请确保为 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能存在于这些卷中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 12 个标准工作负载

efs-encrypted-check

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic File System (EFS) 启用了加密功能。
第 4b 节设计和安全的 12 个标准工作负载

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elasticsearch Service (Amazon ES) 域启用加密功能。
第 4b 节设计和安全的 12 个标准工作负载

encrypted-volumes

由于感官数据可能存在,并且为了保护静态数据,请确保已经为 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
第 4b 节设计和安全的 12 个标准工作负载

iam-NON-CONPRONT

确保Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
第 4b 节设计和安全的 12 个标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的 12 个标准工作负载

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的 12 个标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4b 节设计和安全的 12 个标准工作负载

rds-snapshot-encrypted

确保已为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于敏感数据可以处于静态状态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 12 个标准工作负载

rds-storage-encrypted

为了帮助保护静态数据,请确保为 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于敏感数据可能存在于 Amazon RDS 实例中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 12 个标准工作负载

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
第 4b 节设计和安全的 12 个标准工作负载

s3-bucket-server-side-encryption-enabled

要帮助保护静态数据,请确保已启用 Amazon Simple Storage Service (Amazon S3) 存储桶的加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用加密以帮助保护这些数据。
第 4b 节设计和安全的 12 个标准工作负载

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 终端节点启用 KMS)。由于敏感数据可能存在于 SageMaker 终端节点中的静态数据,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 12 个标准工作负载

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 笔记本电脑启用 KMS)。由于敏感数据可能存在于 SageMaker 笔记本中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 12 个标准工作负载

sns-encrypted-kms

要帮助保护静态数据,请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题要求使用Amazon Key Management Service(AmazonKM). 由于敏感数据可能存在于已发布邮件中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 14 个标准工作负载

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问 API 的用户的详细视图以及他们访问 API 的方式。这种洞察使用户活动的可见性。
第 4b 节设计和安全的 14 个标准工作负载

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
第 4b 节设计和安全的 14 个标准工作负载

cloud-trail-encryption-enabled

由于敏感数据可能存在,并且为了帮助保护静态数据,因此请确保为Amazon CloudTrail跟踪。
第 4b 节设计和安全的 14 个标准工作负载

cloud-trail-log-file-validation-enabled

利用Amazon CloudTrail日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。此功能使用行业标准算法构建:SHA-256 用于哈希采用,数字签名采用带 RSA 的 SHA-256。这样,要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
第 4b 节设计和安全的 14 个标准工作负载

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
第 4b 节设计和安全的 14 个标准工作负载

启用云跟踪安全跟踪

此规则有助于确保使用Amazon了解建议的安全最佳实践。Amazon CloudTrail,通过检查是否启用了多个设置。这些包括使用日志加密、日志验证和启用Amazon CloudTrail多个区域中提供有。
第 4b 节设计和安全的 14 个标准工作负载

为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组已启用加密功能。
第 4b 节设计和安全的 14 个标准工作负载

cw-log group reten-check

确保为日志组保留事件日志数据的最短持续时间,以帮助进行故障排除和取证调查。由于缺乏可用的过去事件日志数据,因此难以重建和识别潜在的恶意事件。
第 4b 节设计和安全的 14 个标准工作负载

elb-logging-enabled

Elastic Load Balancing 活动是环境中通信的中心点。确认 ELB 日志记录已启用。收集到的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
第 4b 节设计和安全的 14 个标准工作负载

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
第 4b 节设计和安全的 14 个标准工作负载

iam-NON-CONPRONT

确保Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
第 4b 节设计和安全的 14 个标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4b 节设计和安全的 14 个标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4b 节设计和安全的 14 个标准工作负载

启用多区域云跟踪

Amazon CloudTrail记录Amazon Web Services Management Console操作和 API 调用。您可以识别哪些用户和帐户名为Amazon、从中发出调用的源 IP 地址以及调用的发生时间。CloudTrail 将从所有Amazon Web Services 区域添加到您的 S3 存储桶(如果 MULTI_REGION_ENABLED)。此外,当Amazon启动一个新区域,则 CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域 API 活动的日志文件,而无需执行任何操作。
第 4b 节设计和安全的 14 个标准工作负载

为了帮助您在环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
第 4b 节设计和安全的 14 个标准工作负载

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
第 4b 节设计和安全的 14 个标准工作负载

s3-account-level-public-access-blocks

管理对Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
第 4b 节设计和安全的 14 个标准工作负载

s3-bucket-default-lock-enabled

默认情况下,确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了锁定。由于敏感数据可以在 S3 存储桶中静态存在,因此强制实施静态对象锁定以帮助保护这些数据。
第 4b 节设计和安全的 14 个标准工作负载

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种方法,监控网络是否存在潜在的网络安全事件。对于 Amazon S3 存储桶提出的各种请求,将详细地记录对 Amazon S3 存储桶提出的各种请求。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
第 4b 节设计和安全的 14 个标准工作负载

s3-bucket-policy-grantee-check

管理对的访问Amazon Web Services 云通过启用 s3_ 存储桶策略授权检查。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何Amazon委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID。
第 4b 节设计和安全的 14 个标准工作负载

s3-bucket-server-side-encryption-enabled

要帮助保护静态数据,请确保已启用 Amazon Simple Storage Service (Amazon S3) 存储桶的加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用加密以帮助保护这些数据。
第 4b 节设计和安全的 14 个标准工作负载

s3-bucket-versioning-enabled

Amazon Simple Storage Service (Amazon S3) 存储桶版本控制功能有助于将对象的多个变量保留在同一 Amazon S3 存储桶中。使用版本控制功能来保留、检索和还原 Amazon S3 存储桶中存储的每个对象的各个版本。版本控制可帮助您轻松的从用户意外操作和应用程序故障中恢复数据。
第 4b 节设计和安全的 14 个标准工作负载

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
第 4b 节设计和安全的 14 个标准工作负载

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出您的 Amazon Virple Cloud (Amazon VPC) 中的网络接口的信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
第 4b 节设计和安全的 14 个标准工作负载

要帮助您在环境中进行日志记录和监控,请启用Amazon区域和全球 Web ACL 上的 WAF (V2) 日志记录。AmazonWAF 日志记录提供有关 Web ACL 对流量进行分析的详细信息。日志记录AmazonWAF 从您的Amazon资源、有关请求的信息,以及每个请求所匹配的规则的操作。
第 4b 节设计和安全的 15 个标准工作负载

cmk-backing-key-rotation-enabled

启用密钥轮替,以确保在到达加密期限后,将轮换密钥。
第 4b 节设计和安全的 15 个标准工作负载

dms-replication-not-public

管理对的访问Amazon Web Services 云通过确保 DMS 复制实例不能公开访问。DMS 复制实例可以包含敏感信息,此类帐户需要访问控制。
第 4b 节设计和安全的 15 个标准工作负载

ebs-snapshot-public-restorable-check

管理对的访问Amazon Web Services 云通过确保 EBS 快照不可公开还原。EBS 卷快照可以包含敏感信息,此类帐户需要访问控制。
第 4b 节设计和安全的 15 个标准工作负载

ec2-ebs-encryption-by-default

为帮助保护静态数据,请确保为 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能存在于这些卷中静态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 15 个标准工作负载

efs-encrypted-check

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic File System (EFS) 启用了加密功能。
第 4b 节设计和安全的 15 个标准工作负载

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Elasticsearch Service (Amazon ES) 域名在 Amazon Virtual Private Cloud (Amazon VPC) 中。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
第 4b 节设计和安全的 15 个标准工作负载

encrypted-volumes

由于感官数据可能存在,并且为了保护静态数据,请确保已经为 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
第 4b 节设计和安全的 15 个标准工作负载

kms-cmk-not-scheduled-for-deletion

为了帮助保护静态数据,请确保未计划在Amazon Key Management Service(AmazonKM). 由于有时需要删除密钥,因此此此规则可以帮助检查计划删除的所有密钥,以防无意中安排密钥。
第 4b 节设计和安全的 15 个标准工作负载

rds-snapshot-encrypted

确保已为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于敏感数据可以处于静态状态,因此启用静态加密以帮助保护这些数据。
第 4b 节设计和安全的 15 个标准工作负载

rds-snapshots-public-prohibited

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息和原则,此类账户需要访问控制。
第 4b 节设计和安全的 15 个标准工作负载

s3-account-level-public-access-blocks

管理对Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
第 4b 节设计和安全的 15 个标准工作负载

s3-bucket-default-lock-enabled

默认情况下,确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了锁定。由于敏感数据可以在 S3 存储桶中静态存在,因此强制实施静态对象锁定以帮助保护这些数据。
第 4b 节设计和安全的 15 个标准工作负载

s3-bucket-policy-grantee-check

管理对的访问Amazon Web Services 云通过启用 s3_ 存储桶策略授权检查。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何Amazon委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID。
第 4b 节设计和安全的 15 个标准工作负载

s3-bucket-public-read-prohibited

管理对Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
第 4b 节设计和安全的 15 个标准工作负载

s3-bucket-public-write-prohibited

管理对Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
第 4b 节设计和安全的 15 个标准工作负载

s3-bucket-server-side-encryption-enabled

要帮助保护静态数据,请确保已启用 Amazon Simple Storage Service (Amazon S3) 存储桶的加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用加密以帮助保护这些数据。
第 4b 节设计和安全的 15 个标准工作负载

s3-bucket-versioning-enabled

Amazon Simple Storage Service (Amazon S3) 存储桶版本控制功能有助于将对象的多个变量保留在同一 Amazon S3 存储桶中。使用版本控制功能来保留、检索和还原 Amazon S3 存储桶中存储的每个对象的各个版本。版本控制可帮助您轻松的从用户意外操作和应用程序故障中恢复数据。
第 4c 节运行的云 1 标准工作负载

启用此规则可帮助监控未经授权的Amazon通过检查每个阶段可以执行的批准部署限制来进行 CodePipeline 部署。
第 4c 节运行的云 1 标准工作负载

启用此规则以管理和监视开发系统,方法是通过AmazonCodePipeline
第 4c 节运行的云 2 标准工作负载

cloudwatch-alarm-action-check

在指标超过阈值达到指定数量的评估期时,Amazon CloudWatch 将发出警报。警报根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 “alarmActionRequired”(Config 默认值:True)、“需要 insufficientDataActionRequired”(Config 默认值:True)、“okActionRequired(Config 默认值:False)的值。实际值应反映您环境的警报操作。
第 4c 节运行的云 2 标准工作负载

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
第 4c 节运行的云 2 标准工作负载

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
第 4c 节运行的云 2 标准工作负载

iam-NON-CONPRONT

确保Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
第 4c 节运行的云 2 标准工作负载

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4c 节运行的云 2 标准工作负载

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
第 4c 节运行的云 2 标准工作负载

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
第 4c 节运行的云 2 标准工作负载

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
第 4c 节运行的云 2 标准工作负载

确保Amazon Identity and Access Management(IAM) 身份验证已在 RDS 实例上启用,以控制对系统和资产的访问。这将强制进站和进站网络流量,以使用安全套接字层 (SSL) 加密。由于身份验证是在外部管理的,因此无需将用户凭证存储在数据库中。
第 4c 节运行的云 2 标准工作负载

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
第 4c 节运行的云 3 标准工作负载

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问 API 的用户的详细视图以及他们访问 API 的方式。这种洞察使用户活动的可见性。
第 4c 节运行的云 3 标准工作负载

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
第 4c 节运行的云 3 标准工作负载

cloudtrail-enabled

Amazon CloudTrail可以通过录制来帮助不可否认Amazon Web Services Management Console操作和 API 调用。您可以通过Amazon Web Services 账户调用的Amazon服务、生成调用的源 IP 地址以及调用的时间。捕获数据的详细信息可在Amazon CloudTrail记录内容
第 4c 节运行的云 3 标准工作负载

cloud-trail-encryption-enabled

由于敏感数据可能存在,并且为了帮助保护静态数据,因此请确保为Amazon CloudTrail跟踪。
第 4c 节运行的云 3 标准工作负载

cloud-trail-log-file-validation-enabled

利用Amazon CloudTrail日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。此功能使用行业标准算法构建:SHA-256 用于哈希采用,数字签名采用带 RSA 的 SHA-256。这样,要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
第 4c 节运行的云 3 标准工作负载

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
第 4c 节运行的云 3 标准工作负载

启用云跟踪安全跟踪

此规则有助于确保使用Amazon了解建议的安全最佳实践。Amazon CloudTrail,通过检查是否启用了多个设置。这些包括使用日志加密、日志验证和启用Amazon CloudTrail多个区域中的。
第 4c 节运行的云 3 标准工作负载

cloudwatch-alarm-action-check

在指标超过阈值达到指定数量的评估期时,Amazon CloudWatch 将发出警报。警报根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 “alarmActionRequired”(Config 默认值:True)、“需要 insufficientDataActionRequired”(Config 默认值:True)、“okActionRequired(Config 默认值:False)的值。实际值应反映您环境的警报操作。
第 4c 节运行的云 3 标准工作负载

elb-logging-enabled

Elastic Load Balancing 活动是环境中通信的中心点。确认 ELB 日志记录已启用。收集到的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
第 4c 节运行的云 3 标准工作负载

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
第 4c 节运行的云 3 标准工作负载

启用多区域云跟踪

Amazon CloudTrail记录Amazon Web Services Management Console操作和 API 调用。您可以识别哪些用户和帐户名为Amazon、从中发出调用的源 IP 地址以及调用的发生时间。CloudTrail 将从所有Amazon Web Services 区域添加到您的 S3 存储桶(如果 MULTI_REGION_ENABLED)。此外,当Amazon启动一个新区域,则 CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域 API 活动的日志文件,而无需执行任何操作。
第 4c 节运行的云 3 标准工作负载

为了帮助您在环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
第 4c 节运行的云 3 标准工作负载

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
第 4c 节运行的云 3 标准工作负载

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种方法,监控网络是否存在潜在的网络安全事件。对于 Amazon S3 存储桶提出的各种请求,将详细地记录对 Amazon S3 存储桶提出的各种请求。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
第 4c 节运行的云 3 标准工作负载

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
第 4c 节运行的云 3 标准工作负载

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出您的 Amazon Virple Cloud (Amazon VPC) 中的网络接口的信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
第 4c 节运行的云 3 标准工作负载

要帮助您在环境中进行日志记录和监控,请启用Amazon区域和全球 Web ACL 上的 WAF (V2) 日志记录。AmazonWAF 日志记录提供有关 Web ACL 对流量进行分析的详细信息。日志记录AmazonWAF 从您的Amazon资源、有关请求的信息,以及每个请求所匹配的规则的操作。
第 4c 节运行的云 5 标准工作负载

autoscaling-group-elb-healthcheck-required

Amazon EElastic Load Balancer Compute Cloud (Amazon EC2) Auto Supple Elastic Compute Cloud (Amazon EC2) Auto Scaling upple 组支持维护足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试 Amazon EC2 实例在 auto-scaling 组中的运行状况。如果实例未报告,流量将被发送到新的 Amazon EC2 实例。
第 4c 节运行的云 5 标准工作负载

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
第 4c 节运行的云 5 标准工作负载

dynamodb-autoscaling-enabled

Amazon DynamoDB 自动扩展使用Amazon应 Application Auto Scaling 服务可调整自动响应实际流量模式的预配置吞吐量容量。这将允许表或全局二级索引增大其预置读写容量以处理突增流量,而不进行限制。
第 4c 节运行的云 5 标准工作负载

ec2-instance-detailed-monitoring-enabled

启用此规则可以帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控,该控制台将以 1 分钟为间隔显示实例的监控图表。
第 4c 节运行的云 5 标准工作负载

rds-enhanced-monitoring-enabled

启用 Amazon Relational Database Service (Amazon RDS),帮助监控 Amazon RDS 的可用性。这样就可以详细了解 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时,增强监控会收集每个设备的数据。此外,当 Amazon RDS 数据库实例在多可用区部署中运行时,将收集辅助主机上每个设备的数据和辅助主机指标。
第 4c 节运行的云 6 标准工作负载

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。

Template

该模板在 GitHub 上提供。ABS CIG 2.0 标准工作负载的操作最佳实践