ACSC 基本实践 - Amazon Config
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

ACSC 基本实践

一致性包提供了一个通用的合规性框架,旨在使您能够使用托管或自定义的创建安全性、运营或成本优化治理检查Amazon Config和规则Amazon Config修正。合规性包(作为示例模板)的设计目的不是为了完全确保符合特定的监管或合规性标准。您有责任自行评估您对服务的使用是否符合适用的法律和法规要求。

下面提供了澳大利亚网络安全中心 (ACSC) 基本八成熟度模型和Amazon Config托管规则。每个 Config 规则都应用于特定Amazon资源,并与一个或多个 ACSC 基本八项控件相关。ACSC 八重控件可能与多个 Config 规则相关。有关这些映射的详细信息和指南,请参阅下表。一些映射到配置规则是用于高阶部分(例如 限制网络安全事件程度的缓解策略),而不是更具规范性的章节。

此示例一致性包模板包含到 ACSC Essential 8 中控件的映射,该映射由澳大利亚联邦创建,可在ACSC | 必备八。知识共享署名 4.0 国际公共许可证框架的许可和框架的版权信息(包括免责声明),请访问ACSC | 版权所有

Amazon Web Services 区域:全部支持Amazon Web Services 区域除了亚太地区 (香港), 中东 (巴林) 和南美洲 (圣保罗)

控制 ID Amazon Config 规则 指南
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

dms-replication-not-public

管理对的访问Amazon Web Services 云通过确保 DMS 复制实例不能公开访问。DMS 复制实例可以包含敏感信息,此类帐户需要访问控制。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

ec2-instance-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例不能公开访问。Amazon EC2 实例可以包含敏感信息,此类账户需要访问控制。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Virtual Private Cloud (Amazon VPC) 中的 Amazon Sirtual Private Cloud。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

管理对Amazon Web Services 云确保权限AmazonLambda 函数不能公开访问。公众获取资源可能会导致资源的减少。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

rds-instance-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

redshift-cluster-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

restricted-common-ports

管理对资源的访问Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制对可信源端口的访问可能会导致系统的可用性、完整性和机密性受到攻击。此规则允许您选择设置阻止端口 1-阻止端口 5 参数(Config 默认值:20,21,3389,3306,4333)。实际值应反映组织的策略。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

s3-bucket-public-write-prohibited

管理对资源的访问Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

管理对资源的访问Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
缓解策略 _ 到防止 _ 恶意软件 _ 交付 _ 和执行

vpc-sg-open-only-to-authorized-ports

管理对资源的访问Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制端口访问可信源可能会导致系统的可用性、完整性和机密性受到攻击。通过限制 Internet (0.0.0.0/0),可以控制对内部系统的远程访问。
应用程序控制

确保Amazon在弹性负载均衡器 (ELB) 上启用了 WAF,以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 攻击可能会影响您的环境中的可用性、损害安全性或消耗过多的资源。
应用程序控制

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。
应用程序控制

ec2-managedinstance-association-compliance-status-check

使用Amazon Secrets Manager帮助组织内软件平台和应用程序清单的关联。Amazon Secrets Manager为托管实例分配配置状态,并允许您设置操作系统修补程序级别、软件安装、应用程序配置以及有关环境的其他详细信息的基准。
补丁程序

电子邮件 2 检查

确保启用实例元数据服务版本 2 (IMDSv2) 方法以帮助保护 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控件。使用 IMDSv2,可以实施控件来限制对实例元数据的更改。
补丁程序

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。
补丁程序

ec2-managedinstance-association-compliance-status-check

使用Amazon Secrets Manager帮助组织内软件平台和应用程序清单的关联。Amazon Secrets Manager为托管实例分配配置状态,并允许您设置操作系统修补程序级别、软件安装、应用程序配置以及有关环境的其他详细信息的基准。
补丁程序

redshift-cluster-maintenancesettings-check

此规则可确保 Amazon Redshift 集群具有您组织的首选设置。具体而言,他们具有数据库的首选维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade。默认值为 true。它还允许您选择性地设置 preferredMaintenanceWindow(默认值为坐:16:00-sat:16:30)和自动快照持续期(默认值为 1)。实际值应反映组织的策略。
每日备份

db-instance-backup-enabled

Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 将自动创建数据库实例的存储卷快照,备份整个数据库实例。该系统允许您设置特定的保留期以满足您的恢复要求。
每日备份

备份中的动态计划

为了帮助完成数据备份流程,请确保您的 Amazon DynamoDB 表是AmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
每日备份

备份计划

为帮助完成数据备份流程,请确保 Amazon Elastic Block Store (Amazon EBS) 卷是AmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
每日备份

EFS 进入备份计划

要帮助进行数据备份流程,请确保 Amazon EFS lastic File File File File File File File File File File File File File File File File FileAmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
每日备份

elasticache-redis-cluster-automatic-backup-check

启用自动备份后,Amazon ElastiCache 每天为集群创建一个备份。备份可以按照您的组织的指定保留几天。自动备份可以帮助防止数据丢失。如果发生故障,您可以通过从最新的备份还原所有数据来创建新集群。
每日备份

备份计划中的 RDS

为了帮助完成数据备份流程,请确保 Amazon Relational Database Service (Amazon RDS) 实例是AmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
每日备份

s3-bucket-replication-enabled

Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持维护充足的容量和可用性。CRR 允许跨 Amazon S3 存储桶自动以异步方式复制对象,以帮助确保维护数据可用性。
每日备份

s3-bucket-versioning-enabled

Amazon Simple Storage Service (Amazon S3) 存储桶版本控制功能有助于将对象的多个变量保留在同一 Amazon S3 存储桶中。使用版本控制功能来保留、检索和还原 Amazon S3 存储桶中存储的每个对象的各个版本。版本控制可帮助您轻松的从用户意外操作和应用程序故障中恢复数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

通过确保 X509 证书由AmazonACM. 这些证书必须有效且未过期。此规则需要一个 daysToExpiration 值 (Amazon基础安全最佳实践价值:90)。实际值应反映组织的策略。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

alb-http-to-https-redirection-check

为了帮助保护传输中的数据,请确保您的 Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

api-gw-cache-enabled-and-encrypted

为了帮助保护静态数据,请确保为 API Gateway 阶段的缓存启用了加密。由于可以为 API 方法捕获敏感数据,因此启用静态加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问 API 的用户的详细视图以及他们访问 API 的方式。这种洞察使用户活动的可见性。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

cloudtrail-enabled

Amazon CloudTrail可以通过录制来帮助不可否认Amazon Web Services Management Console操作和 API 调用。您可以通过以下方式找到用户和Amazon Web Services 账户调用的Amazon服务、生成调用的源 IP 地址以及调用的时间。捕获数据的详细信息可在Amazon CloudTrail记录内容
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

cloud-trail-encryption-enabled

由于敏感数据可能存在,并且为了帮助保护静态数据,因此请确保为Amazon CloudTrail跟踪。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

cloud-trail-log-file-validation-enabled

利用Amazon CloudTrail日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。此功能使用行业标准算法构建:SHA-256 用于哈希采用,数字签名采用带 RSA 的 SHA-256。这样,要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

启用云跟踪安全跟踪

此规则有助于确保使用Amazon了解建议的安全最佳实践。Amazon CloudTrail,通过检查是否启用了多个设置。这些包括使用日志加密、日志验证和启用Amazon CloudTrail多个区域中的。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组已启用加密功能。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

dynamodb-table-encrypted-kms

确保已为您的 Amazon DynamoDB 表启用加密功能。由于敏感数据可能存在于这些表中静态,因此启用静态加密以帮助保护这些数据。默认情况下,DynamoDB 表使用Amazon拥有客户主密钥 (CMK)。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

ec2-ebs-encryption-by-default

为帮助保护静态数据,请确保为 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能存在于这些卷中静态,因此启用静态加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

efs-encrypted-check

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic File System (EFS) 启用了加密功能。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elasticsearch Service (Amazon ES) 域启用加密功能。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

确保启 Amazon Elasticsearch Service 密。利用节点到节点加密,将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

由于敏感数据可能存在,并且为了帮助保护传输时的数据,请确保为 Elastic Load Balancing 启用了加密功能。使用Amazon Certificate Manager管理、配置和部署公共和私有 SSL/TLS 证书Amazon服务和内部资源.
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

elb-logging-enabled

Elastic Load Balancing 活动是环境中通信的中心点。确认 ELB 日志记录已启用。收集到的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

ELB-TLS-https-仅侦听器

确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

encrypted-volumes

由于感官数据可能存在,并且为了保护静态数据,请确保已经为 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

iam-password-policy

身份和证书是根据组织 IAM 密码策略颁发、管理和验证的。为了帮助保护凭据,此规则允许您选择要求密码每 12 个月过期一次,并将密码重用值设置为 100。此策略已配置为符合 ACSC ISM 中指定的要求。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

restricted-ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以提供有状态的过滤以帮助管理网络访问,方法是:Amazon资源的费用。不允许从 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

internet-gateway-authorized-vpc-only

管理对资源的访问Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

启用多区域云跟踪

Amazon CloudTrail记录Amazon Web Services Management Console操作和 API 调用。您可以识别哪些用户和帐户名为Amazon、从中发出调用的源 IP 地址以及调用的发生时间。CloudTrail 将从所有Amazon Web Services 区域添加到您的 S3 存储桶(如果 MULTI_REGION_ENABLED)。此外,当Amazon启动一个新区域,则 CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域 API 活动的日志文件,而无需执行任何操作。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

为了帮助您在环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

rds-snapshot-encrypted

确保已为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于敏感数据可以处于静态状态,因此启用静态加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

rds-storage-encrypted

为了帮助保护静态数据,请确保为 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于敏感数据可能存在于 Amazon RDS 实例中静态,因此启用静态加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

redshift-require-tls-ssl

确保您的 Amazon Redshift torage Storage 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

s3-account-level-public-access-blocks

管理对资源的访问Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

s3-bucket-default-lock-enabled

默认情况下,确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了锁定。由于敏感数据可以在 S3 存储桶中静态存在,因此强制实施静态对象锁定以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种方法,监控网络是否存在潜在的网络安全事件。对于 Amazon S3 存储桶提出的各种请求,将详细地记录对 Amazon S3 存储桶提出的各种请求。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

s3-bucket-public-write-prohibited

管理对资源的访问Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

s3-bucket-server-side-encryption-enabled

要帮助保护静态数据,请确保已启用 Amazon Simple Storage Service (Amazon S3) 存储桶的加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

s3-bucket-ssl-requests-only

为了帮助保护传输中的数据,请确保 Amazon Simple Storage Service (Amazon S3) 桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

s3-default-encryption-kms

为了帮助保护静态数据,请确保已启用 S3 存储桶的加密功能。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用静态加密以帮助保护这些数据。有关加密过程和管理的更多信息,请使用Amazon Key Management Service(AmazonKMS) 客户管理的 CMK。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 终端节点启用 KMS)。由于敏感数据可能存在于 SageMaker 终端节点中的静态数据,因此启用静态加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 笔记本电脑启用 KMS)。由于敏感数据可能存在于 SageMaker 笔记本中静态,因此启用静态加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

sns-encrypted-kms

要帮助保护静态数据,请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题要求使用Amazon Key Management Service(AmazonKM). 由于敏感数据可能存在于已发布邮件中静态,因此启用静态加密以帮助保护这些数据。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

vpc-default-security-group-closed

Amazon Elastic Compute Cloud (Amazon EC2) 安全组有助于管理网络访问,方法是提供有状态的过滤,以Amazon资源的费用。限制默认安全组上的所有流量有助于限制远程访问Amazon资源的费用。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出您的 Amazon Virple Cloud (Amazon VPC) 中的网络接口的信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
缓解策略 _ 限制 _ 网络 _ 安全 _ 事件的扩展 _

要帮助您在环境中进行日志记录和监控,请启用Amazon区域和全球 Web ACL 上的 WAF (V2) 日志记录。AmazonWAF 日志记录提供有关 Web ACL 对流量进行分析的详细信息。日志记录AmazonWAF 从您的Amazon资源、有关请求的信息,以及每个请求所匹配的规则的操作。
限制管理权限

iam-NON-CONPRONT

确保可用性Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
限制管理权限

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
限制管理权限

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
限制管理权限

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
限制管理权限

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
限制管理权限

确保可用性Amazon Identity and Access Management(IAM) 身份验证已在 RDS 实例上启用,以控制对系统和资产的访问。这将强制进站和进站网络流量,以使用安全套接字层 (SSL) 加密。由于身份验证是在外部管理的,因此无需将用户凭证存储在数据库中。
修补程序 _ 操作 _ 系统

ec2-managedinstance-patch-compliance-status-check

启用此规则有助于识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查 Amazon EC2 实例修补程序是否符合Amazon Secrets Manager根据组织的策略和程序的要求进行。
多重身份验证

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
多重身份验证

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
多重身份验证

mfa-enabled-for-iam-console-access

管理对资源的访问Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
多重身份验证

管理对资源的访问Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
多重身份验证

管理对资源的访问Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问 API 的用户的详细视图以及他们访问 API 的方式。这种洞察使用户活动的可见性。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

cloudtrail-enabled

Amazon CloudTrail可以通过录制来帮助不可否认Amazon Web Services Management Console操作和 API 调用。您可以通过以下方式找到用户和Amazon Web Services 账户调用的Amazon服务、生成调用的源 IP 地址以及调用的时间。捕获数据的详细信息可在Amazon CloudTrail记录内容
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

cloud-trail-log-file-validation-enabled

利用Amazon CloudTrail日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 交付后是否被修改、删除或更改。此功能使用行业标准算法构建:SHA-256 用于哈希采用,数字签名采用带 RSA 的 SHA-256。这样,要修改、删除或伪造 CloudTrail 日志文件而不被检测到在计算上是不可行的。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

启用云跟踪安全跟踪

此规则有助于确保使用Amazon了解建议的安全最佳实践。Amazon CloudTrail,通过检查是否启用了多个设置。这些包括使用日志加密、日志验证和启用Amazon CloudTrail多个区域中的。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组已启用加密功能。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

cw-log group reten-check

确保为日志组保留事件日志数据的最短持续时间,以帮助进行故障排除和取证调查。由于缺乏可用的过去事件日志数据,因此难以重建和识别潜在的恶意事件。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

dynamodb-autoscaling-enabled

Amazon DynamoDB 自动扩展使用Amazon应 Application Auto Scaling 服务可调整自动响应实际流量模式的预配置吞吐量容量。这将允许表或全局二级索引增大其预置读写容量以处理突增流量,而不进行限制。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

dynamodb-pitr-enabled

启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用了时间点恢复来维护备份。恢复将在过去 35 天内维护表的连续备份。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

ebs-snapshot-public-restorable-check

管理对的访问Amazon Web Services 云通过确保 EBS 快照不可公开还原。EBS 卷快照可以包含敏感信息,此类帐户需要访问控制。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

支持 ELB 跨区域负载平衡

为弹性负载均衡器 (ELB) 启用跨区域负载平衡,以帮助维持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区中保持相同数量实例的需求。它还提高应用程序处理一个或多个实例丢失情况的能力。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

elb-deletion-protection-enabled

此规则可确保 Elastic Load Balancing 启用了删除保护。使用此功能可防止您的负载均衡器被意外或恶意删除,这可能会导致应用程序的可用性丧失。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

elb-logging-enabled

Elastic Load Balancing 活动是环境中通信的中心点。确认 ELB 日志记录已启用。收集到的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

启用多区域云跟踪

Amazon CloudTrail记录Amazon Web Services Management Console操作和 API 调用。您可以识别哪些用户和帐户名为Amazon、从中发出调用的源 IP 地址以及调用的发生时间。CloudTrail 将从所有Amazon Web Services 区域添加到您的 S3 存储桶(如果 MULTI_REGION_ENABLED)。此外,当Amazon启动一个新区域,则 CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域 API 活动的日志文件,而无需执行任何操作。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

确保 Amazon RDS 实例已启用删除保护。使用删除保护可防止您的 RDS 实例被意外或恶意删除,这可能会导致应用程序的可用性丧失。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

备份计划中的 RDS

为了帮助完成数据备份流程,请确保 Amazon Relational Database Service (Amazon RDS) 实例是AmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

rds-实例deletion-protection-enabled

确保 Amazon Relational Database Service (Amazon RDS) 实例启用了删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除,这可能会导致应用程序的可用性丧失。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

为了帮助您在环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

rds-multi-az-support

Amazon Relational Database Service (Amazon RDS) 中的多可用区支持提供了增强的数据库实例的可用性和持久性。当您预配置多可用区数据库实例时,Amazon RDS 会自动创建主数据库实例,并同步将数据复制到不同可用区中的备用实例。每个可用区都在独立的、物理上显著不同的、物理上显著不同的基础设施上运行并且被设计得高度可靠。在基础设施发生故障时,Amazon RDS 会自动执行到备用故障切换,以便在故障转移完成后立即恢复数据库操作。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

rds-snapshots-public-prohibited

管理对资源的访问Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息和原则,此类账户需要访问控制。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

s3-bucket-default-lock-enabled

默认情况下,确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了锁定。由于敏感数据可以在 S3 存储桶中静态存在,因此强制实施静态对象锁定以帮助保护这些数据。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种方法,监控网络是否存在潜在的网络安全事件。对于 Amazon S3 存储桶提出的各种请求,将详细地记录对 Amazon S3 存储桶提出的各种请求。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出您的 Amazon Virple Cloud (Amazon VPC) 中的网络接口的信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
缓解策略 _ 到 _ 恢复 _ 数据 _ 和 _ 系统 _ 可用性

要帮助您在环境中进行日志记录和监控,请启用Amazon区域和全球 Web ACL 上的 WAF (V2) 日志记录。AmazonWAF 日志记录提供有关 Web ACL 对流量进行分析的详细信息。日志记录AmazonWAF 从您的Amazon资源、有关请求的信息,以及每个请求所匹配的规则的操作。

Template

该模板在 GitHub 上提供。ACSC 基本实践