适用于 APRA CPLINAT 234 的运营最佳实践 - Amazon Config
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

适用于 APRA CPLINAT 234 的运营最佳实践

一致性包提供了一个通用的合规性框架,旨在使您能够使用托管或自定义的创建安全性、运营或成本优化治理检查Amazon Config和规则Amazon Config修正。合规性包(作为示例模板)的设计目的不是为了完全确保符合特定的监管或合规性标准。您有责任自行评估您对服务的使用是否符合适用的法律和法规要求。

下面提供了澳大利亚审慎监管局 (APRA) CPG 234 和Amazon Config托管规则。每个 Config 规则都应用于特定Amazon资源, 并涉及一个或多个 APRA CPG 234 控制. APRA CPRA CPGINABLED 控制可能与多个 Config 规则相关。有关这些映射的更多详细信息和指南,请参阅下表。

此示例一致性包模板包含到 APRA CPG 234 2019 中控件的映射,该映射由澳大利亚联邦创建,可在审慎实践指南:CPG 234 信息安全。知识共享澳大利亚署名 3.0 下框架的许可和框架的版权信息(包括免责声明),请访问APRA | 版权

Amazon Web Services 区域:全部支持Amazon Web Services 区域中东(巴林)

控制 ID Amazon Config 规则 指南
36a

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。
36a

ec2-managedinstance-association-compliance-status-check

使用Amazon Secrets Manager帮助组织内软件平台和应用程序清单的关联。Amazon Secrets Manager为托管实例分配配置状态,并允许您设置操作系统修补程序级别、软件安装、应用程序配置以及有关环境的其他详细信息的基准。
36a

ec2-managedinstance-patch-compliance-status-check

启用此规则有助于识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查 Amazon EC2 实例修补程序是否符合Amazon Secrets Manager根据组织的策略和程序的要求进行。
36b

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。
36b

ec2-managedinstance-association-compliance-status-check

使用Amazon Secrets Manager帮助组织内软件平台和应用程序清单的关联。Amazon Secrets Manager为托管实例分配配置状态,并允许您设置操作系统修补程序级别、软件安装、应用程序配置以及有关环境的其他详细信息的基准。
36b

ec2-managedinstance-patch-compliance-status-check

启用此规则有助于识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查 Amazon EC2 实例修补程序是否符合Amazon Secrets Manager根据组织的策略和程序的要求进行。
36b

启用云跟踪安全跟踪

此规则有助于确保使用Amazon了解建议的安全最佳实践。Amazon CloudTrail,通过检查是否启用了多个设置。这些包括使用日志加密、日志验证和启用Amazon CloudTrail多个区域中的。
36c

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
36c

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
36c

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
36c

iam-NON-CONPRONT

确保可用性Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
36c

restricted-common-ports

管理对资源的访问Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制对可信源端口的访问可能会导致系统的可用性、完整性和机密性受到攻击。此规则允许您选择设置阻止端口 1-阻止端口 5 参数(Config 默认值:20,21,3389,3306,4333)。实际值应反映组织的策略。
36c

vpc-sg-open-only-to-authorized-ports

管理对资源的访问Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制端口访问可信源可能会导致系统的可用性、完整性和机密性受到攻击。通过限制 Internet (0.0.0.0/0),可以控制对内部系统的远程访问。
36c

restricted-ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以提供有状态的过滤以帮助管理网络访问,方法是:Amazon资源的费用。不允许从 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
36d

dms-replication-not-public

管理对的访问Amazon Web Services 云通过确保 DMS 复制实例不能公开访问。DMS 复制实例可以包含敏感信息,此类帐户需要访问控制。
36d

ebs-snapshot-public-restorable-check

管理对的访问Amazon Web Services 云通过确保 EBS 快照不可公开还原。EBS 卷快照可以包含敏感信息,此类帐户需要访问控制。
36d

ec2-instance-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例不能公开访问。Amazon EC2 实例可以包含敏感信息,此类账户需要访问控制。
36d

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Virtual Private Cloud (Amazon VPC) 中的 Amazon Sirtual Private Cloud。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
36d

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
36d

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
36d

internet-gateway-authorized-vpc-only

管理对资源的访问Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
36d

管理对资源的访问Amazon Web Services 云确保权限AmazonLambda 函数不能公开访问。公众获取资源可能会导致资源的减少。
36d

部署AmazonLambda 在 Amazon Virtual Private Cloud (Amazon VPC) 中运行,用于在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置,无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问,AmazonLambda 函数应分配给 VPC。
36d

rds-instance-public-access-check

管理对资源的访问Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
36d

rds-snapshots-public-prohibited

管理对资源的访问Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息和原则,此类账户需要访问控制。
36d

redshift-cluster-public-access-check

管理对资源的访问Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
36d

s3-account-level-public-access-blocks

管理对资源的访问Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
36d

s3-bucket-public-read-prohibited

管理对资源的访问Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
36d

s3-bucket-public-write-prohibited

管理对资源的访问Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
36d

管理对资源的访问Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
36d

access-keys-rotated

通过确保根据组织策略轮换 IAM 访问密钥,对授权设备、用户和流程进行证书审核。安全最佳实践是定期更改。它缩短了访问密钥处于活动状态的时间,并减少了密钥被泄露时的业务影响。此规则需要访问密钥轮换值(Config 默认值:90)。实际值应反映组织的策略。
36d

emr-kerberos-enabled

通过为 Amazon EMR 集群启用 Kerberos,可以根据最小权限和职责分离原则来管理和合并访问权限和授权。在 Kerberos 中,需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中,被称为密钥分发中心 (KDC)。它为委托人提供了一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证来进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其他有关每个委托人的管理信息的数据库。
36d

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
36d

iam-password-policy

身份和证书是根据组织 IAM 密码策略颁发、管理和验证的。它们满足或超过 NIST SP 800-63 和互联网安全中心 (CIS) 规定的要求Amazon密码强度的基准基准。此规则允许您选择设置 RequireUppercaseCharactersAmazon基础安全最佳实践价值:true),RequireLowercaseCharacters(Amazon基础安全最佳实践价值:true),RequireSymbols (Amazon基础安全最佳实践价值:true)RequireNumbers(Amazon基础安全最佳实践价值:true),MinimumPasswordLength(Amazon基础安全最佳实践价值:14)、PasswordReusePrevention 护 (Amazon基础安全最佳实践价值:24)和 MaxPasswordAge(Amazon基础安全最佳实践值:90),适用于您的 IAM 密码策略。实际值应反映组织的策略。
36d

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
36d

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
36d

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
36d

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
36d

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
36d

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
36d

mfa-enabled-for-iam-console-access

管理对资源的访问Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
36d

管理对资源的访问Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
36d

管理对资源的访问Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
36d

s3-bucket-policy-grantee-check

管理对的访问Amazon Web Services 云通过启用 s3_ 存储桶策略授权检查。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何Amazon委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID。
36d

电子邮件 2 检查

确保启用实例元数据服务版本 2 (IMDSv2) 方法以帮助保护 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控件。使用 IMDSv2,可以实施控件来限制对实例元数据的更改。
36d

iam-NON-CONPRONT

确保可用性Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
36e

secretsmanager-rotation-enabled-check

此规则确保AmazonSecrets Manager 密码已启用旋转。定期旋转机密可以缩短机密处于活动状态的时间,并且在秘密被泄露时可能会降低业务影响。
36e

secretsmanager-scheduled-rotation-success-check

此规则可确保AmazonSecrets Manager 的秘密已经成功地根据轮换时间表旋转。定期轮换机密可以缩短机密处于活动状态的时间,并可能降低其泄露的业务影响。
36e

dms-replication-not-public

管理对的访问Amazon Web Services 云通过确保 DMS 复制实例不能公开访问。DMS 复制实例可以包含敏感信息,此类帐户需要访问控制。
36e

ebs-snapshot-public-restorable-check

管理对的访问Amazon Web Services 云通过确保 EBS 快照不可公开还原。EBS 卷快照可以包含敏感信息,此类帐户需要访问控制。
36e

ec2-instance-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例不能公开访问。Amazon EC2 实例可以包含敏感信息,此类账户需要访问控制。
36e

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Virtual Private Cloud (Amazon VPC) 中的 Amazon Sirtual Private Cloud。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
36e

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
36e

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
36e

internet-gateway-authorized-vpc-only

管理对资源的访问Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
36e

管理对资源的访问Amazon Web Services 云确保权限AmazonLambda 函数不能公开访问。公众获取资源可能会导致资源的减少。
36e

部署AmazonLambda 在 Amazon Virtual Private Cloud (Amazon VPC) 中运行,用于在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置,无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问,AmazonLambda 函数应分配给 VPC。
36e

rds-instance-public-access-check

管理对资源的访问Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
36e

rds-snapshots-public-prohibited

管理对资源的访问Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息和原则,此类账户需要访问控制。
36e

redshift-cluster-public-access-check

管理对资源的访问Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
36e

s3-account-level-public-access-blocks

管理对资源的访问Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
36e

s3-bucket-public-read-prohibited

管理对资源的访问Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
36e

s3-bucket-public-write-prohibited

管理对资源的访问Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
36e

管理对资源的访问Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
36f

dms-replication-not-public

管理对的访问Amazon Web Services 云通过确保 DMS 复制实例不能公开访问。DMS 复制实例可以包含敏感信息,此类帐户需要访问控制。
36f

ebs-snapshot-public-restorable-check

管理对的访问Amazon Web Services 云通过确保 EBS 快照不可公开还原。EBS 卷快照可以包含敏感信息,此类帐户需要访问控制。
36f

ec2-instance-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例不能公开访问。Amazon EC2 实例可以包含敏感信息,此类账户需要访问控制。
36f

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Virtual Private Cloud (Amazon VPC) 中的 Amazon Sirtual Private Cloud。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
36f

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
36f

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
36f

internet-gateway-authorized-vpc-only

管理对资源的访问Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
36f

管理对资源的访问Amazon Web Services 云确保权限AmazonLambda 函数不能公开访问。公众获取资源可能会导致资源的减少。
36f

部署AmazonLambda 在 Amazon Virtual Private Cloud (Amazon VPC) 中运行,用于在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置,无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问,AmazonLambda 函数应分配给 VPC。
36f

rds-instance-public-access-check

管理对资源的访问Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
36f

rds-snapshots-public-prohibited

管理对资源的访问Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息和原则,此类账户需要访问控制。
36f

redshift-cluster-public-access-check

管理对资源的访问Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
36f

s3-account-level-public-access-blocks

管理对资源的访问Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
36f

s3-bucket-public-read-prohibited

管理对资源的访问Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
36f

s3-bucket-public-write-prohibited

管理对资源的访问Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
36f

管理对资源的访问Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
36f

restricted-ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以提供有状态的过滤以帮助管理网络访问,方法是:Amazon资源的费用。不允许从 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
36f

restricted-common-ports

管理对资源的访问Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制对可信源端口的访问可能会导致系统的可用性、完整性和机密性受到攻击。此规则允许您选择设置阻止端口 1-阻止端口 5 参数(Config 默认值:20,21,3389,3306,4333)。实际值应反映组织的策略。
36f

vpc-default-security-group-closed

Amazon Elastic Compute Cloud (Amazon EC2) 安全组有助于管理网络访问,方法是提供有状态的过滤,以Amazon资源的费用。限制默认安全组上的所有流量有助于限制远程访问Amazon资源的费用。
36f

vpc-sg-open-only-to-authorized-ports

管理对资源的访问Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制端口访问可信源可能会导致系统的可用性、完整性和机密性受到攻击。通过限制 Internet (0.0.0.0/0),可以控制对内部系统的远程访问。
36f

确保Amazon在弹性负载均衡器 (ELB) 上启用了 WAF,以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 API 免遭常见 Web 漏洞的攻击。这些 Web 攻击可能会影响您的环境中的可用性、损害安全性或消耗过多的资源。
36 克

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
36 克

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
36 克

Amazon GuardDuty 通过按严重程度(低、中和高)对调查结果进行分类,帮助您了解事件的影响。您可以使用这些分类来确定修正策略和优先级。此规则允许您根据组织策略的要求,为非存档查找结果选择性地设置 DadaysLowSev EV(Config 默认值:30)、DaySev(Config 默认值:7)和 DayShev(Config 默认值:1)。
36 小时

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
36 小时

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
36 小时

Amazon GuardDuty 通过按严重程度(低、中和高)对调查结果进行分类,帮助您了解事件的影响。您可以使用这些分类来确定修正策略和优先级。此规则允许您根据组织策略的要求,为非存档查找结果选择性地设置 DadaysLowSev EV(Config 默认值:30)、DaySev(Config 默认值:7)和 DayShev(Config 默认值:1)。
36 小时

ec2-instance-managed-by-systems-manager

利用Amazon Secrets Manager。使用Amazon Secrets Manager提供详细的系统配置、操作系统修补程序级别、服务名称和类型、软件安装、应用程序名称、发布者和版本以及有关环境的其他详细信息。
36 小时

ec2-managedinstance-association-compliance-status-check

使用Amazon Secrets Manager帮助组织内软件平台和应用程序清单的关联。Amazon Secrets Manager为托管实例分配配置状态,并允许您设置操作系统修补程序级别、软件安装、应用程序配置以及有关环境的其他详细信息的基准。
36 小时

ec2-managedinstance-patch-compliance-status-check

启用此规则有助于识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查 Amazon EC2 实例修补程序是否符合Amazon Secrets Manager根据组织的策略和程序的要求进行。
36i

autoscaling-group-elb-healthcheck-required

Amazon EElastic Load Balancer Compute Cloud (Amazon EC2) Auto Supple Elastic Compute Cloud (Amazon EC2) Auto Scaling upple 组支持维护足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试 Amazon EC2 实例在 auto-scaling 组中的运行状况。如果实例未报告,流量将被发送到新的 Amazon EC2 实例。
36i

cloudwatch-alarm-action-check

在指标超过阈值达到指定数量的评估期时,Amazon CloudWatch 将发出警报。警报根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 “alarmActionRequired”(Config 默认值:True)、“需要 insufficientDataActionRequired”(Config 默认值:True)、“okActionRequired(Config 默认值:False)的值。实际值应反映您环境的警报操作。
36i

dynamodb-throughput-limit-check

启用此规则可确保在 Amazon DynamoDB 表上检查预配置的吞吐量容量。这是每个表可以支持的读/写活动量。DynamoDB 使用此信息来预留足够的系统资源,以满足吞吐量需求。当吞吐量达到客户帐户的最大限制时,此规则会生成警报。此规则允许您选择设置帐户切断阈值百分比(Config 默认值:80)和 accountRCUThresholdPercentage(Config 默认值:80)参数。实际值应反映组织的策略。
36i

ec2-instance-detailed-monitoring-enabled

启用此规则可以帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控,该控制台将以 1 分钟为间隔显示实例的监控图表。
36i

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
36i

此规则确保建立了 Lambda 函数的并发高和低限制。这可以帮助您确定您的函数在任何给定时间所服务的请求的数目。
36i

启用此规则有助于在功能失败时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Nofy Service (Amazon SNS) 通知相应的人员。
36i

rds-enhanced-monitoring-enabled

启用 Amazon Relational Database Service (Amazon RDS),帮助监控 Amazon RDS 的可用性。这样就可以详细了解 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时,增强监控会收集每个设备的数据。此外,当 Amazon RDS 数据库实例在多可用区部署中运行时,将收集辅助主机上每个设备的数据和辅助主机指标。
36i

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
36j

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
36j

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
36j

Amazon GuardDuty 通过按严重程度(低、中和高)对调查结果进行分类,帮助您了解事件的影响。您可以使用这些分类来确定修正策略和优先级。此规则允许您根据组织策略的要求,为非存档查找结果选择性地设置 DadaysLowSev EV(Config 默认值:30)、DaySev(Config 默认值:7)和 DayShev(Config 默认值:1)。
36j

autoscaling-group-elb-healthcheck-required

Amazon EElastic Load Balancer Compute Cloud (Amazon EC2) Auto Supple Elastic Compute Cloud (Amazon EC2) Auto Scaling upple 组支持维护足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试 Amazon EC2 实例在 auto-scaling 组中的运行状况。如果实例未报告,流量将被发送到新的 Amazon EC2 实例。
36j

cloudwatch-alarm-action-check

在指标超过阈值达到指定数量的评估期时,Amazon CloudWatch 将发出警报。警报根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 “alarmActionRequired”(Config 默认值:True)、“需要 insufficientDataActionRequired”(Config 默认值:True)、“okActionRequired(Config 默认值:False)的值。实际值应反映您环境的警报操作。
36j

dynamodb-throughput-limit-check

启用此规则可确保在 Amazon DynamoDB 表上检查预配置的吞吐量容量。这是每个表可以支持的读/写活动量。DynamoDB 使用此信息来预留足够的系统资源,以满足吞吐量需求。当吞吐量达到客户帐户的最大限制时,此规则会生成警报。此规则允许您选择设置帐户切断阈值百分比(Config 默认值:80)和 accountRCUThresholdPercentage(Config 默认值:80)参数。实际值应反映组织的策略。
36j

ec2-instance-detailed-monitoring-enabled

启用此规则可以帮助改进 Amazon EC2 控制台上的 Amazon Elastic Compute Cloud (Amazon EC2) 实例监控,该控制台将以 1 分钟为间隔显示实例的监控图表。
36j

启用此规则有助于在功能失败时通过 Amazon Simple Queue Service (Amazon SQS) 或 Amazon Simple Nofy Service (Amazon SNS) 通知相应的人员。
36j

rds-enhanced-monitoring-enabled

启用 Amazon Relational Database Service (Amazon RDS),帮助监控 Amazon RDS 的可用性。这样就可以详细了解 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时,增强监控会收集每个设备的数据。此外,当 Amazon RDS 数据库实例在多可用区部署中运行时,将收集辅助主机上每个设备的数据和辅助主机指标。
36 升

db-instance-backup-enabled

Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 将自动创建数据库实例的存储卷快照,备份整个数据库实例。该系统允许您设置特定的保留期以满足您的恢复要求。
36 升

dynamodb-autoscaling-enabled

Amazon DynamoDB 自动扩展使用Amazon应 Application Auto Scaling 服务可调整自动响应实际流量模式的预配置吞吐量容量。这将允许表或全局二级索引增大其预置读写容量以处理突增流量,而不进行限制。
36 升

dynamodb-pitr-enabled

启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用了时间点恢复来维护备份。恢复将在过去 35 天内维护表的连续备份。
36 升

ebs-optimized-instance

Amazon EElastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最小化 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用,为您的 EBS 卷提供最有效的性能。
36 升

elasticache-redis-cluster-automatic-backup-check

启用自动备份后,Amazon ElastiCache 每天为集群创建一个备份。备份可以按照您的组织的指定保留几天。自动备份可以帮助防止数据丢失。如果发生故障,您可以通过从最新的备份还原所有数据来创建新集群。
36 升

elb-deletion-protection-enabled

此规则可确保 Elastic Load Balancing 启用了删除保护。使用此功能可防止您的负载均衡器被意外或恶意删除,这可能会导致应用程序的可用性丧失。
36 升

rds-multi-az-support

Amazon Relational Database Service (Amazon RDS) 中的多可用区支持提供了增强的数据库实例的可用性和持久性。当您预配置多可用区数据库实例时,Amazon RDS 会自动创建主数据库实例,并同步将数据复制到不同可用区中的备用实例。每个可用区都在独立的、物理上显著不同的、物理上显著不同的基础设施上运行并且被设计得高度可靠。在基础设施发生故障时,Amazon RDS 会自动执行到备用故障切换,以便在故障转移完成后立即恢复数据库操作。
36 升

s3-bucket-replication-enabled

Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持维护充足的容量和可用性。CRR 允许跨 Amazon S3 存储桶自动以异步方式复制对象,以帮助确保维护数据可用性。
36 升

可实施冗余 Site-to-Site VPN 隧道以实现恢复要求。它使用两条隧道以帮助确保连接性,以防止出现 Site-to-Site VPN 连接不可用的情况。要避免因您的客户网关不可用而造成连接中断,您可使用第二个客户网关来为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟专用网关设置另一个 Site-to-Site VPN 连接。
36 升

备份中的动态计划

为了帮助完成数据备份流程,请确保您的 Amazon DynamoDB 表是AmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
36 升

备份计划

为帮助完成数据备份流程,请确保 Amazon Elastic Block Store (Amazon EBS) 卷是AmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
36 升

EFS 进入备份计划

要帮助进行数据备份流程,请确保 Amazon EFS lastic File File File File File File File File File File File File File File File File FileAmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
36 升

支持 ELB 跨区域负载平衡

为弹性负载均衡器 (ELB) 启用跨区域负载平衡,以帮助维持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区中保持相同数量实例的需求。它还提高应用程序处理一个或多个实例丢失情况的能力。
36 升

rds-实例deletion-protection-enabled

确保 Amazon Relational Database Service (Amazon RDS) 实例启用了删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除,这可能会导致应用程序的可用性丧失。
36 升

备份计划中的 RDS

为了帮助完成数据备份流程,请确保 Amazon Relational Database Service (Amazon RDS) 实例是AmazonBackup 计划。AmazonBackup 是一项完全托管的备份服务,具有基于策略的备份解决方案。此解决方案简化了备份管理工作,让您能够满足业务和法规备份合规性要求。
第 39 段 (a) (b) (d) 分段

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
第 39 段 (a) (b) (d) 分段

Amazon GuardDuty 通过按严重程度(低、中和高)对调查结果进行分类,帮助您了解事件的影响。您可以使用这些分类来确定修正策略和优先级。此规则允许您根据组织策略的要求,为非存档查找结果选择性地设置 DadaysLowSev ssEV(Config 默认值:30)、DaySev(Config 默认值:7)和 DayShev(Config 默认值:1)。
第 39 段 (a) (b) (d) 分段

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
44a

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
44a

管理对资源的访问Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
44a

管理对资源的访问Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
44b

s3-bucket-default-lock-enabled

默认情况下,确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了锁定。由于敏感数据可以在 S3 存储桶中静态存在,因此强制实施静态对象锁定以帮助保护这些数据。
44b

rds-实例deletion-protection-enabled

确保 Amazon Relational Database Service (Amazon RDS) 实例启用了删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除,这可能会导致应用程序的可用性丧失。
44b

s3-bucket-versioning-enabled

Amazon Simple Storage Service (Amazon S3) 存储桶版本控制功能可帮助将对象的多个变量保留在同一 Amazon S3 存储桶中。使用版本控制功能来保留、检索和还原 Amazon S3 存储桶中存储的每个对象的各个版本。版本控制可帮助您轻松的从用户意外操作和应用程序故障中恢复数据。
44b

elb-deletion-protection-enabled

此规则可确保 Elastic Load Balancing 启用了删除保护。使用此功能可防止您的负载均衡器被意外或恶意删除,这可能会导致应用程序的可用性丧失。
44c

kms-cmk-not-scheduled-for-deletion

为了帮助保护静态数据,请确保未计划在Amazon Key Management Service(AmazonKM). 由于有时需要删除密钥,因此此此规则可以帮助检查计划删除的所有密钥,以防无意中安排密钥。
44c

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
45

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
45

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
45

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
45

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
45

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
45

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
45

mfa-enabled-for-iam-console-access

管理对资源的访问Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
45

管理对资源的访问Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
45

管理对资源的访问Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
45

s3-bucket-policy-grantee-check

管理对的访问Amazon Web Services 云通过启用 s3_ 存储桶策略授权检查。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何Amazon委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID。
45

emr-kerberos-enabled

通过为 Amazon EMR 集群启用 Kerberos,可以根据最小权限和职责分离原则来管理和合并访问权限和授权。在 Kerberos 中,需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中,被称为密钥分发中心 (KDC)。它为委托人提供了一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证来进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其他有关每个委托人的管理信息的数据库。
45

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
45

iam-NON-CONPRONT

确保可用性Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
45

dms-replication-not-public

管理对的访问Amazon Web Services 云通过确保 DMS 复制实例不能公开访问。DMS 复制实例可以包含敏感信息,此类帐户需要访问控制。
45

ebs-snapshot-public-restorable-check

管理对的访问Amazon Web Services 云通过确保 EBS 快照不可公开还原。EBS 卷快照可以包含敏感信息,此类帐户需要访问控制。
45

ec2-instance-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例不能公开访问。Amazon EC2 实例可以包含敏感信息,此类账户需要访问控制。
45

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Virtual Private Cloud (Amazon VPC) 中的 Amazon Sirtual Private Cloud。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
45

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
45

restricted-ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以提供有状态的过滤以帮助管理网络访问,方法是:Amazon资源的费用。不允许从 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.
45

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
45

internet-gateway-authorized-vpc-only

管理对Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
45

管理对Amazon Web Services 云确保权限AmazonLambda 函数不能公开访问。公众获取资源可能会导致资源的减少。
45

部署AmazonLambda 在 Amazon Virtual Private Cloud (Amazon VPC) 中运行,用于在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置,无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问,AmazonLambda 函数应分配给 VPC。
45

rds-instance-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
45

rds-snapshots-public-prohibited

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息和原则,此类账户需要访问控制。
45

redshift-cluster-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
45

restricted-common-ports

管理对Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制对可信源端口的访问可能会导致系统的可用性、完整性和机密性受到攻击。此规则允许您选择设置阻止端口 1-阻止端口 5 参数(Config 默认值:20,21,3389,3306,4333)。实际值应反映组织的策略。
45

s3-account-level-public-access-blocks

管理对Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
45

s3-bucket-public-read-prohibited

管理对Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
45

s3-bucket-public-write-prohibited

管理对Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
45

管理对Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
45

vpc-default-security-group-closed

Amazon Elastic Compute Cloud (Amazon EC2) 安全组有助于管理网络访问,方法是提供有状态的过滤,以Amazon资源的费用。限制默认安全组上的所有流量有助于限制远程访问Amazon资源的费用。
45

vpc-sg-open-only-to-authorized-ports

管理对Amazon Web Services 云通过确保通用端口在 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上受到限制。不限制端口访问可信源可能会导致系统的可用性、完整性和机密性受到攻击。通过限制 Internet (0.0.0.0/0),可以控制对内部系统的远程访问。
47c

emr-kerberos-enabled

通过为 Amazon EMR 集群启用 Kerberos,可以根据最小权限和职责分离原则来管理和合并访问权限和授权。在 Kerberos 中,需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中,被称为密钥分发中心 (KDC)。它为委托人提供了一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证来进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其他有关每个委托人的管理信息的数据库。
47c

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
47c

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
47c

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
47c

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
47c

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
47c

iam-NON-CONPRONT

确保可用性Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
52c

api-gw-cache-enabled-and-encrypted

为了帮助保护静态数据,请确保为 API Gateway 阶段的缓存启用了加密。由于可以为 API 方法捕获敏感数据,因此启用静态加密以帮助保护这些数据。
52c

cloud-trail-encryption-enabled

由于敏感数据可能存在,并且为了帮助保护静态数据,因此请确保为Amazon CloudTrail跟踪。
52c

为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组已启用加密功能。
52c

efs-encrypted-check

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic File System (EFS) 启用了加密功能。
52c

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elasticsearch Service (Amazon ES) 域启用加密功能。
52c

encrypted-volumes

由于感官数据可能存在,并且为了保护静态数据,请确保已经为 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
52c

rds-storage-encrypted

为了帮助保护静态数据,请确保为 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于敏感数据可能存在于 Amazon RDS 实例中静态,因此启用静态加密以帮助保护这些数据。
52c

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
52c

s3-bucket-server-side-encryption-enabled

要帮助保护静态数据,请确保已启用 Amazon Simple Storage Service (Amazon S3) 存储桶的加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用加密以帮助保护这些数据。
52c

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 终端节点启用 KMS)。由于敏感数据可能存在于 SageMaker 终端节点中的静态数据,因此启用静态加密以帮助保护这些数据。
52c

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 笔记本电脑启用 KMS)。由于敏感数据可能存在于 SageMaker 笔记本中静态,因此启用静态加密以帮助保护这些数据。
52c

sns-encrypted-kms

要帮助保护静态数据,请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题要求使用Amazon Key Management Service(AmazonKM). 由于敏感数据可能存在于已发布邮件中静态,因此启用静态加密以帮助保护这些数据。
52c

ec2-ebs-encryption-by-default

为帮助保护静态数据,请确保为 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能存在于这些卷中静态,因此启用静态加密以帮助保护这些数据。
52c

dynamodb-table-encrypted-kms

确保已为您的 Amazon DynamoDB 表启用加密功能。由于敏感数据可能存在于这些表中静态,因此启用静态加密以帮助保护这些数据。默认情况下,DynamoDB 表使用Amazon拥有客户主密钥 (CMK)。
52c

rds-snapshot-encrypted

确保已为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于敏感数据可以处于静态状态,因此启用静态加密以帮助保护这些数据。
52c

s3-default-encryption-kms

确保 Amazon Simple Storage Service (Amazon S3) 存储桶已启用加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用静态加密以帮助保护这些数据。
52D

s3-bucket-policy-grantee-check

管理对的访问Amazon Web Services 云通过启用 s3_ 存储桶策略授权检查。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何Amazon委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID。
52D

s3-account-level-public-access-blocks

管理对Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
52D

s3-bucket-public-read-prohibited

管理对Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
52D

s3-bucket-public-write-prohibited

管理对Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
52D

管理对Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
52D

dms-replication-not-public

管理对的访问Amazon Web Services 云通过确保 DMS 复制实例不能公开访问。DMS 复制实例可以包含敏感信息,此类帐户需要访问控制。
52D

ebs-snapshot-public-restorable-check

管理对的访问Amazon Web Services 云通过确保 EBS 快照不可公开还原。EBS 卷快照可以包含敏感信息,此类帐户需要访问控制。
52D

ec2-instance-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例不能公开访问。Amazon EC2 实例可以包含敏感信息,此类账户需要访问控制。
52D

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Virtual Private Cloud (Amazon VPC) 中的 Amazon Sirtual Private Cloud。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
52D

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
52D

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
52D

internet-gateway-authorized-vpc-only

管理对Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
52D

管理对Amazon Web Services 云确保权限AmazonLambda 函数不能公开访问。公众获取资源可能会导致资源的减少。
52D

部署AmazonLambda 在 Amazon Virtual Private Cloud (Amazon VPC) 中运行,用于在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置,无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问,AmazonLambda 函数应分配给 VPC。
52D

rds-instance-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
52D

rds-snapshots-public-prohibited

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息和原则,此类账户需要访问控制。
52D

redshift-cluster-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
52e

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
52e

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
53

s3-bucket-policy-grantee-check

管理对的访问Amazon Web Services 云通过启用 s3_ 存储桶策略授权检查。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何Amazon委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID。
53

s3-account-level-public-access-blocks

管理对Amazon Web Services 云通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不能公开访问。此规则通过防止公共访问来帮助保护敏感数据不受未经授权的远程用户攻击。此规则允许您选择设置 ignorePublicAcls(Config 默认值:True)、blockPublicPolicy(Config 默认值:True)、blockPublicAcls(Config 默认值:True)和 restrictPublicBuckets 参数(Config 默认值:True)。实际值应反映组织的策略。
53

s3-bucket-public-read-prohibited

管理对Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
53

s3-bucket-public-write-prohibited

管理对Amazon Web Services 云仅允许授权的用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶。对访问的管理应与数据的分类保持一致。
53

管理对Amazon Web Services 云通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网。通过防止直接访问互联网,您可以防止未经授权的用户访问敏感数据。
53

dms-replication-not-public

管理对的访问Amazon Web Services 云通过确保 DMS 复制实例不能公开访问。DMS 复制实例可以包含敏感信息,此类帐户需要访问控制。
53

ebs-snapshot-public-restorable-check

管理对的访问Amazon Web Services 云通过确保 EBS 快照不可公开还原。EBS 卷快照可以包含敏感信息,此类帐户需要访问控制。
53

ec2-instance-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon Elastic Compute Cloud (Amazon EC2) 实例不能公开访问。Amazon EC2 实例可以包含敏感信息,此类账户需要访问控制。
53

elasticsearch-in-vpc-only

管理对的访问Amazon Web Services 云通过确保 Amazon Virtual Private Cloud (Amazon VPC) 中的 Amazon Sirtual Private Cloud。Amazon VPC 中的 Amazon ES 域可以在 Amazon VPC 中的 Amazon ES 和 Amazon VPC 中的其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
53

emr-master-no-public-ip

管理对的访问Amazon Web Services 云通过确保 Amazon EMR 集群主节点不能公开访问。Amazon EMR 集群主节点可以包含敏感信息,此类账户需要访问控制。
53

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon VPC) 实例,以便在 Amazon VPC 中的实例和其他服务之间进行安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
53

internet-gateway-authorized-vpc-only

管理对Amazon Web Services 云确保互联网网关仅连接到授权 Amazon Virtual Private Cloud (Amazon VPC)。互联网网关允许进出 Amazon VPC 的双向互联网访问,这可能导致对 Amazon VPC 资源的未经授权访问。
53

管理对Amazon Web Services 云确保权限AmazonLambda 函数不能公开访问。公众获取资源可能会导致资源的减少。
53

部署AmazonLambda 在 Amazon Virtual Private Cloud (Amazon VPC) 中运行,用于在 Amazon VPC 中的函数和其他服务之间进行安全通信。使用此配置,无需 Internet 网关、NAT 设备或 VPN 连接。所有流量都会保持安全。Amazon Web Services 云。由于进行了逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问,AmazonLambda 函数应分配给 VPC。
53

rds-instance-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息,此类账户需要原则和访问控制。
53

rds-snapshots-public-prohibited

管理对Amazon Web Services 云通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公开的。Amazon RDS 数据库实例可以包含敏感信息和原则,此类账户需要访问控制。
53

redshift-cluster-public-access-check

管理对Amazon Web Services 云通过确保 Amazon Redshift 集群不是公开的。Amazon Redshift 集群可以包含敏感信息和原则,此类账户需要访问控制。
54

通过确保 X509 证书由AmazonACM. 这些证书必须有效且未过期。此规则需要一个 daysToExpiration 值 (Amazon基础安全最佳实践价值:90)。实际值应反映组织的策略。
54

alb-http-to-https-redirection-check

为了帮助保护传输中的数据,请确保您的 Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
54

api-gw-cache-enabled-and-encrypted

为了帮助保护静态数据,请确保为 API Gateway 阶段的缓存启用了加密。由于可以为 API 方法捕获敏感数据,因此启用静态加密以帮助保护这些数据。
54

cloud-trail-encryption-enabled

由于敏感数据可能存在,并且为了帮助保护静态数据,因此请确保为Amazon CloudTrail跟踪。
54

为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组已启用加密功能。
54

efs-encrypted-check

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic File System (EFS) 启用了加密功能。
54

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elasticsearch Service (Amazon ES) 域启用加密功能。
54

由于敏感数据可能存在,并且为了帮助保护传输时的数据,请确保为 Elastic Load Balancing 启用了加密功能。使用Amazon Certificate Manager管理、配置和部署公共和私有 SSL/TLS 证书Amazon服务和内部资源.
54

encrypted-volumes

由于感官数据可能存在,并且为了保护静态数据,请确保已经为 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
54

rds-storage-encrypted

为了帮助保护静态数据,请确保为 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于敏感数据可能存在于 Amazon RDS 实例中静态,因此启用静态加密以帮助保护这些数据。
54

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
54

redshift-require-tls-ssl

确保您的 Amazon Redshift torage Storage 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
54

s3-bucket-server-side-encryption-enabled

要帮助保护静态数据,请确保已启用 Amazon Simple Storage Service (Amazon S3) 存储桶的加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用加密以帮助保护这些数据。
54

s3-bucket-ssl-requests-only

为了帮助保护传输中的数据,请确保 Amazon Simple Storage Service (Amazon S3) 桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
54

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 终端节点启用 KMS)。由于敏感数据可能存在于 SageMaker 终端节点中的静态数据,因此启用静态加密以帮助保护这些数据。
54

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 笔记本电脑启用 KMS)。由于敏感数据可能存在于 SageMaker 笔记本中静态,因此启用静态加密以帮助保护这些数据。
54

sns-encrypted-kms

要帮助保护静态数据,请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题要求使用Amazon Key Management Service(AmazonKM). 由于敏感数据可能存在于已发布邮件中静态,因此启用静态加密以帮助保护这些数据。
54

ec2-ebs-encryption-by-default

为帮助保护静态数据,请确保为 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能存在于这些卷中静态,因此启用静态加密以帮助保护这些数据。
54

rds-snapshot-encrypted

确保为 Amazon Relational Database Service (Amazon RDS) 快照启用了加密。由于敏感数据可以处于静态状态,因此启用静态加密以帮助保护这些数据。
54

启用了 alb-http 丢弃标题

确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
54

确保启 Amazon Elasticsearch Service 密。利用节点到节点加密,将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
54

ELB-TLS-https-仅侦听器

确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
55

确保启 Amazon Elasticsearch Service 密。利用节点到节点加密,将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
67

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问 API 的用户的详细视图以及他们访问 API 的方式。这种洞察使用户活动的可见性。
67

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
67

cloudtrail-enabled

Amazon CloudTrail可以通过录制来帮助不可否认Amazon Web Services Management Console操作和 API 调用。您可以通过以下方式找到用户和Amazon Web Services 账户调用的Amazon服务、生成调用的源 IP 地址以及调用的时间。捕获数据的详细信息可在Amazon CloudTrail记录内容
67

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
67

elb-logging-enabled

Elastic Load Balancing 活动是环境中通信的中心点。确认 ELB 日志记录已启用。收集到的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
67

启用多区域云跟踪

Amazon CloudTrail记录Amazon Web Services Management Console操作和 API 调用。您可以识别哪些用户和帐户名为Amazon、从中发出调用的源 IP 地址以及调用的发生时间。CloudTrail 将从所有Amazon Web Services 区域添加到您的 S3 存储桶(如果 MULTI_REGION_ENABLED)。此外,当Amazon启动一个新区域,则 CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域 API 活动的日志文件,而无需执行任何操作。
67

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种方法,监控网络是否存在潜在的网络安全事件。对于 Amazon S3 存储桶提出的各种请求,将详细地记录对 Amazon S3 存储桶提出的各种请求。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
67

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出您的 Amazon Virple Cloud (Amazon VPC) 中的网络接口的信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
67

为了帮助您在环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
67

要帮助您在环境中进行日志记录和监控,请启用Amazon区域和全球 Web ACL 上的 WAF (V2) 日志记录。AmazonWAF 日志记录提供有关 Web ACL 对流量进行分析的详细信息。日志记录AmazonWAF 从您的Amazon资源、有关请求的信息,以及每个请求所匹配的规则的操作。
67

cloudwatch-alarm-action-check

在指标超过阈值达到指定数量的评估期时,Amazon CloudWatch 将发出警报。警报根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 “alarmActionRequired”(Config 默认值:True)、“需要 insufficientDataActionRequired”(Config 默认值:True)、“okActionRequired(Config 默认值:False)的值。实际值应反映您环境的警报操作。
67

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
67

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
67

ec2-managedinstance-patch-compliance-status-check

启用此规则有助于识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则检查 Amazon EC2 实例修补程序是否符合Amazon Secrets Manager根据组织的策略和程序的要求进行。
67

ec2-managedinstance-association-compliance-status-check

使用Amazon Secrets Manager帮助组织内软件平台和应用程序清单的关联。Amazon Secrets Manager为托管实例分配配置状态,并允许您设置操作系统修补程序级别、软件安装、应用程序配置以及有关环境的其他详细信息的基准。
67

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
68

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
68

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
73

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
73

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
随员 _1 (b) (h)

emr-kerberos-enabled

通过为 Amazon EMR 集群启用 Kerberos,可以根据最小权限和职责分离原则来管理和合并访问权限和授权。在 Kerberos 中,需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中,被称为密钥分发中心 (KDC)。它为委托人提供了一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证来进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其他有关每个委托人的管理信息的数据库。
随员 _1 (b) (h)

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
随员 _1 (b) (h)

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
随员 _1 (b) (h)

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
随员 _1 (b) (h)

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
随员 _1 (b) (h)

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
随员 _1 (b) (h)

s3-bucket-policy-grantee-check

管理对的访问Amazon Web Services 云通过启用 s3_ 存储桶策略授权检查。此规则检查 Amazon S3 存储桶授予的访问权限是否受任何Amazon委托人、联合身份用户、服务委托人、IP 地址或您提供的 Amazon Virtual Private Cloud (Amazon VPC) ID。
随员 _1 (b) (h)

电子邮件 2 检查

确保启用实例元数据服务版本 2 (IMDSv2) 方法以帮助保护 Amazon Elastic Compute Cloud (Amazon EC2) 实例元数据的访问和控制。IMDSv2 方法使用基于会话的控件。使用 IMDSv2,可以实施控件来限制对实例元数据的更改。
随员 _1 (b) (h)

iam-NON-CONPRONT

确保可用性Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
随员 _1 (c)

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
随员 _1 (c)

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
随员 _1 (e)

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
随员 _1 (e)

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
随员 _1 (e)

cloudwatch-alarm-action-check

在指标超过阈值达到指定数量的评估期时,Amazon CloudWatch 将发出警报。警报根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 “alarmActionRequired”(Config 默认值:True)、“需要 insufficientDataActionRequired”(Config 默认值:True)、“okActionRequired(Config 默认值:False)的值。实际值应反映您环境的警报操作。
随员 _1 (e)

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问 API 的用户的详细视图以及他们访问 API 的方式。这种洞察使用户活动的可见性。
随员 _1 (e)

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
随员 _1 (e)

cloudtrail-enabled

Amazon CloudTrail可以通过录制来帮助不可否认Amazon Web Services Management Console操作和 API 调用。您可以通过以下方式找到用户和Amazon Web Services 账户调用的Amazon服务、生成调用的源 IP 地址以及调用的时间。捕获数据的详细信息可在Amazon CloudTrail记录内容
随员 _1 (e)

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
随员 _1 (e)

elb-logging-enabled

Elastic Load Balancing 活动是环境中通信的中心点。确认 ELB 日志记录已启用。收集到的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
随员 _1 (e)

启用多区域云跟踪

Amazon CloudTrail记录Amazon Web Services Management Console操作和 API 调用。您可以识别哪些用户和帐户名为Amazon、从中发出调用的源 IP 地址以及调用的发生时间。CloudTrail 将从所有Amazon Web Services 区域添加到您的 S3 存储桶(如果 MULTI_REGION_ENABLED)。此外,当Amazon启动一个新区域,则 CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域 API 活动的日志文件,而无需执行任何操作。
随员 _1 (e)

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种方法,监控网络是否存在潜在的网络安全事件。对于 Amazon S3 存储桶提出的各种请求,将详细地记录对 Amazon S3 存储桶提出的各种请求。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
随员 _1 (e)

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出您的 Amazon Virple Cloud (Amazon VPC) 中的网络接口的信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
随员 _1 (e)

为了帮助您在环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
随员 _1 (e)

要帮助您在环境中进行日志记录和监控,请启用Amazon区域和全球 Web ACL 上的 WAF (V2) 日志记录。AmazonWAF 日志记录提供有关 Web ACL 对流量进行分析的详细信息。日志记录AmazonWAF 从您的Amazon资源、有关请求的信息,以及每个请求所匹配的规则的操作。
附件 C_4

access-keys-rotated

通过确保根据组织策略轮换 IAM 访问密钥,对授权设备、用户和流程进行证书审核。安全最佳实践是定期更改。它缩短了访问密钥处于活动状态的时间,并减少了密钥被泄露时的业务影响。此规则需要访问密钥轮换值(Config 默认值:90)。实际值应反映组织的策略。
附件 C_4

emr-kerberos-enabled

通过为 Amazon EMR 集群启用 Kerberos,可以根据最小权限和职责分离原则来管理和合并访问权限和授权。在 Kerberos 中,需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中,被称为密钥分发中心 (KDC)。它为委托人提供了一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证来进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其他有关每个委托人的管理信息的数据库。
附件 C_4

iam-group-has-users-check

Amazon Identity and Access Management(IAM) 可以通过确保 IAM 组至少有一个 IAM 用户,帮助您将最小权限和职责分离的原则与访问权限和授权结合起来。根据 IAM 用户的关联权限或工作职能将其置于组中是纳入最小权限的一种方法。
附件 C_4

iam-password-policy

身份和证书是根据组织 IAM 密码策略颁发、管理和验证的。它们满足或超过 NIST SP 800-63 和互联网安全中心 (CIS) 规定的要求Amazon密码强度的基准基准。此规则允许您选择设置 RequireUppercaseCharactersAmazon基础安全最佳实践价值:true),RequireLowercaseCharacters(Amazon基础安全最佳实践价值:true),RequireSymbols (Amazon基础安全最佳实践价值:true)RequireNumbers(Amazon基础安全最佳实践价值:true),MinimumPasswordLength(Amazon基础安全最佳实践价值:14)、PasswordReusePrevention 护 (Amazon基础安全最佳实践价值:24)和 MaxPasswordAge(Amazon基础安全最佳实践值:90),适用于您的 IAM 密码策略。实际值应反映组织的策略。
附件 C_4

iam-policy-no-statements-with-admin-access

Amazon Identity and Access Management(IAM) 可以帮助您将最小权限和职责分离原则与访问权限和授权相结合,从而限制策略包含 “效果”:“Allow”(其中在 “Resource”: “*” 上方包含 “Resource”: “*”。 允许用户拥有超过完成任务所需的更多权限可能违反最小权限和职责分离的原则。
附件 C_4

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
附件 C_4

iam-user-group-membership-check

Amazon Identity and Access Management(IAM) 可以确保 IAM 用户为至少一个组的成员,从而帮助您限制访问权限和授权。允许用户完成任务所需的更多权限可能违反最小权限和职责分离的原则。
附件 C_4

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
附件 C_4

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
附件 C_4

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
附件 C_4

mfa-enabled-for-iam-console-access

管理对Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
附件 C_4

管理对Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
附件 C_4

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
附件 C_4

secretsmanager-rotation-enabled-check

此规则确保AmazonSecrets Manager 密码已启用旋转。定期旋转机密可以缩短机密处于活动状态的时间,并且在秘密被泄露时可能会降低业务影响。
附件 C_4

secretsmanager-scheduled-rotation-success-check

此规则可确保AmazonSecrets Manager 的秘密已经成功地根据轮换时间表旋转。定期轮换机密可以缩短机密处于活动状态的时间,并可能降低其泄露的业务影响。
附件 C_4

iam-NON-CONPRONT

确保可用性Amazon Identity and Access Management(IAM) 用户、IAM 角色或 IAM 组没有内联策略来控制对系统和资产的访问。Amazon建议使用托管策略而不是内联策略。托管策略允许重用性、版本控制和回滚以及委派权限管理。
附件 C_5

mfa-enabled-for-iam-console-access

管理对Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
附件 C_5

管理对Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
附件 C_5

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
附件 C_5

iam-user-no-policies-check

此规则确保Amazon Identity and Access Management(IAM) 策略仅附加到组或角色仅附加到组或角色。在组或角色级别分配权限有助于减少身份接收或保留过多权限的机会。
附件 C_5

iam-password-policy

身份和证书是根据组织 IAM 密码策略颁发、管理和验证的。它们满足或超过 NIST SP 800-63 和互联网安全中心 (CIS) 规定的要求Amazon密码强度的基准基准。此规则允许您选择设置 RequireUppercaseCharactersAmazon基础安全最佳实践价值:true),RequireLowercaseCharacters(Amazon基础安全最佳实践价值:true),RequireSymbols (Amazon基础安全最佳实践价值:true)RequireNumbers(Amazon基础安全最佳实践价值:true),MinimumPasswordLength(Amazon基础安全最佳实践价值:14)、PasswordReusePrevention 护 (Amazon基础安全最佳实践价值:24)和 MaxPasswordAge(Amazon基础安全最佳实践值:90),适用于您的 IAM 密码策略。实际值应反映组织的策略。
附件 C_6

管理对Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
附件 C_6

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
附件 C_6

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
附件 C_7 (c)

iam-root-access-key-check

对系统和资产的访问可以通过检查 root 用户是否没有附加到Amazon Identity and Access Management(IAM) 角色。确保已删除根访问密钥。相反,可以创建和使用基于角色的Amazon Web Services 账户,以帮助纳入最少功能的原则。
附件 C_7 (h)

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问 API 的用户的详细视图以及他们访问 API 的方式。这种洞察使用户活动的可见性。
附件 C_7 (h)

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
附件 C_7 (h)

cloudtrail-enabled

Amazon CloudTrail可以通过录制来帮助不可否认Amazon Web Services Management Console操作和 API 调用。您可以通过以下方式找到用户和Amazon Web Services 账户调用的Amazon服务、生成调用的源 IP 地址以及调用的时间。捕获数据的详细信息可在Amazon CloudTrail记录内容
附件 C_7 (h)

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
附件 C_7 (h)

cloudwatch-alarm-action-check

在指标超过阈值达到指定数量的评估期时,Amazon CloudWatch 将发出警报。警报根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 “alarmActionRequired”(Config 默认值:True)、“需要 insufficientDataActionRequired”(Config 默认值:True)、“okActionRequired(Config 默认值:False)的值。实际值应反映您环境的警报操作。
附件 C_7 (h)

elb-logging-enabled

Elastic Load Balancing 活动是环境中通信的中心点。确认 ELB 日志记录已启用。收集到的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
附件 C_7 (h)

Amazon GuardDuty 可以通过使用威胁情报源帮助监控和检测潜在的网络安全事件。这些包括恶意 IP 和机器学习的列表,以标识您Amazon Web Services 云一个环境。
附件 C_7 (h)

启用多区域云跟踪

Amazon CloudTrail记录Amazon Web Services Management Console操作和 API 调用。您可以识别哪些用户和帐户名为Amazon、从中发出调用的源 IP 地址以及调用的发生时间。CloudTrail 将从所有Amazon Web Services 区域添加到您的 S3 存储桶(如果 MULTI_REGION_ENABLED)。此外,当Amazon启动一个新区域,则 CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域 API 活动的日志文件,而无需执行任何操作。
附件 C_7 (h)

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种方法,监控网络是否存在潜在的网络安全事件。对于 Amazon S3 存储桶提出的各种请求,将详细地记录对 Amazon S3 存储桶提出的各种请求。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
附件 C_7 (h)

AmazonSecurity Hub 有助于监控未经授权的人员、连接、设备和软件。AmazonSecurity Hub 会聚合、组织和优先级来自多个Amazon服务。这些服务包括亚马逊 Security Hub, Amazon Inspector, Amazon Macie,Amazon Identity and Access Management(IAM) 访问分析器和AmazonFirewall Manager 和Amazon合作伙伴解决方案
附件 C_7 (h)

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出您的 Amazon Virple Cloud (Amazon VPC) 中的网络接口的信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
附件 C_7 (h)

为了帮助您在环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
附件 C_7 (h)

要帮助您在环境中进行日志记录和监控,请启用Amazon区域和全球 Web ACL 上的 WAF (V2) 日志记录。AmazonWAF 日志记录提供有关 Web ACL 对流量进行分析的详细信息。日志记录AmazonWAF 从您的Amazon资源、有关请求的信息,以及每个请求所匹配的规则的操作。
附件 C_7 (一)

iam-user-unused-credentials-check

Amazon Identity and Access Management(IAM) 可以通过检查在指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果识别了这些未使用的凭据,则应禁用和/或删除凭据,因为这可能违反最小权限原则。此规则要求您将值设置为 maxCredentialUsageAge 间(Config 默认值:90)。实际值应反映组织的策略。
附件 C_7 (j)

iam-user-mfa-enabled

启用此规则可限制对Amazon Web Services 云。此规则确保为所有 IAM 用户启用多重验证 (MFA)。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,减少遭到破坏的账户事件。
附件 C_7 (j)

mfa-enabled-for-iam-console-access

管理对Amazon Web Services 云通过确保为所有Amazon Identity and Access Management(IAM) 具有控制台密码的用户。MFA 在用户名和密码之上增加了一层额外的防护。通过要求 IAM 用户使用 MFA,您可以减少账户遭到破坏的事件,并防止未经授权的用户访问敏感数据。
附件 C_7 (j)

管理对Amazon Web Services 云通过确保为根用户启用硬件 MFA 来执行此操作。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
附件 C_7 (j)

管理对Amazon Web Services 云方法是确保为根用户启用了 MFA。根用户是Amazon Web Services 账户。MFA 为用户名和密码增加了一层额外的防护。通过要求根用户使用 MFA,您可以减少受到威胁的事件Amazon Web Services 账户。
附件 C_8

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问 API 的用户的详细视图以及他们访问 API 的方式。这种洞察使用户活动的可见性。
附件 C_8

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含Amazon CloudTrail数据提供了 API 调用活动的详细信息Amazon Web Services 账户。
附件 C_8

cloudtrail-enabled

Amazon CloudTrail可以通过录制来帮助不可否认Amazon Web Services Management Console操作和 API 调用。您可以通过以下方式找到用户和Amazon Web Services 账户调用的Amazon服务、生成调用的源 IP 地址以及调用的时间。捕获数据的详细信息可在Amazon CloudTrail记录内容
附件 C_8

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测到任何异常活动。详细信息包括:Amazon Web Services 账户访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
附件 C_8

elb-logging-enabled

Elastic Load Balancing 活动是环境中通信的中心点。确认 ELB 日志记录已启用。收集到的数据提供了有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
附件 C_8

启用多区域云跟踪

Amazon CloudTrail记录Amazon Web Services Management Console操作和 API 调用。您可以识别哪些用户和帐户名为Amazon、从中发出调用的源 IP 地址以及调用的发生时间。CloudTrail 将从所有Amazon Web Services 区域添加到您的 S3 存储桶(如果 MULTI_REGION_ENABLED)。此外,当Amazon启动一个新区域,则 CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域 API 活动的日志文件,而无需执行任何操作。
附件 C_8

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种方法,监控网络是否存在潜在的网络安全事件。对于 Amazon S3 存储桶提出的各种请求,将详细地记录对 Amazon S3 存储桶提出的各种请求。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
附件 C_8

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出您的 Amazon Virple Cloud (Amazon VPC) 中的网络接口的信息的详细记录。默认情况下,流日志记录包括 IP 流的不同组件的值,包括源、目标和协议。
附件 C_8

为了帮助您在环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
附件 C_8

要帮助您在环境中进行日志记录和监控,请启用Amazon区域和全球 Web ACL 上的 WAF (V2) 日志记录。AmazonWAF 日志记录提供有关 Web ACL 对流量进行分析的详细信息。日志记录AmazonWAF 从您的Amazon资源、有关请求的信息,以及每个请求所匹配的规则的操作。
附件 _1

codebuild-project-envvar-awscred-check

确保身份验证凭证 AWS_ACCESS_ACCESS_ACCESS_ACCESS_ACCESS_ACCESS_ACCESS_ACCESS_ACCESS_Amazon CodeBuild项目环境。不要以明文形式存储这些变量。以明文方式存储这些变量会导致意外的数据暴露和未经授权的访问。
附件 _1

codebuild-project-source-repo-url-check

确保 GitHub 或 Bitbucket 源存储库 URL 不包含个人访问令牌、用户名和密码Amazon CodeBuild项目环境。使用 OAuth 授予权限以访问 GitHub 或 Bitbucket 存储库,而不是使用个人访问令牌或用户名和密码。
附件-1 (a) (b) (d)

通过确保 X509 证书由AmazonACM. 这些证书必须有效且未过期。此规则需要一个 daysToExpiration 值 (Amazon基础安全最佳实践价值:90)。实际值应反映组织的策略。
附件-1 (a) (b) (d)

alb-http-to-https-redirection-check

为了帮助保护传输中的数据,请确保您的 Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
附件-1 (a) (b) (d)

api-gw-cache-enabled-and-encrypted

为了帮助保护静态数据,请确保为 API Gateway 阶段的缓存启用了加密。由于可以为 API 方法捕获敏感数据,因此启用静态加密以帮助保护这些数据。
附件-1 (a) (b) (d)

cloud-trail-encryption-enabled

由于敏感数据可能存在,并且为了帮助保护静态数据,因此请确保为Amazon CloudTrail跟踪。
附件-1 (a) (b) (d)

为了帮助保护静态敏感数据,请确保您的 Amazon CloudWatch 日志组已启用加密功能。
附件-1 (a) (b) (d)

efs-encrypted-check

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic File System (EFS) 启用了加密功能。
附件-1 (a) (b) (d)

由于敏感数据可能存在并有助于保护静态数据,因此请确保为您的 Amazon Elasticsearch Service (Amazon ES) 域启用加密功能。
附件-1 (a) (b) (d)

由于敏感数据可能存在,并且为了帮助保护传输时的数据,请确保为 Elastic Load Balancing 启用了加密功能。使用Amazon Certificate Manager管理、配置和部署公共和私有 SSL/TLS 证书Amazon服务和内部资源.
附件-1 (a) (b) (d)

encrypted-volumes

由于感官数据可能存在,并且为了保护静态数据,请确保已经为 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
附件-1 (a) (b) (d)

kms-cmk-not-scheduled-for-deletion

为了帮助保护静态数据,请确保未计划在Amazon Key Management Service(AmazonKM). 由于有时需要删除密钥,因此此此规则可以帮助检查计划删除的所有密钥,以防无意中安排密钥。
附件-1 (a) (b) (d)

rds-storage-encrypted

为了帮助保护静态数据,请确保为 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于敏感数据可能存在于 Amazon RDS 实例中静态,因此启用静态加密以帮助保护这些数据。
附件-1 (a) (b) (d)

redshift-cluster-configuration-check

为了保护静态数据,请确保 Amazon Redshift 集群已启用加密。您还必须确保在 Amazon Redshift 集群上部署了所需的配置。应启用审计记录以提供数据库中的连接和用户活动相关信息。此规则要求为 clusterDbEncrypted(Config 默认值:TRUE)和 loggingEnabled(Config 默认值:TRUE)设置值。实际值应反映组织的策略。
附件-1 (a) (b) (d)

redshift-require-tls-ssl

确保您的 Amazon Redshift torage Storage 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
附件-1 (a) (b) (d)

s3-bucket-server-side-encryption-enabled

要帮助保护静态数据,请确保已启用 Amazon Simple Storage Service (Amazon S3) 存储桶的加密。由于敏感数据可以静态存在于 Amazon S3 存储桶中,因此启用加密以帮助保护这些数据。
附件-1 (a) (b) (d)

s3-bucket-ssl-requests-only

为了帮助保护传输中的数据,请确保 Amazon Simple Storage Service (Amazon S3) 桶需要请求使用安全套接字层 (SSL)。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
附件-1 (a) (b) (d)

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 终端节点启用 KMS)。由于敏感数据可能存在于 SageMaker 终端节点中的静态数据,因此启用静态加密以帮助保护这些数据。
附件-1 (a) (b) (d)

为了帮助保护静态数据,请确保使用Amazon Key Management Service(Amazon已为您的 SageMaker 笔记本电脑启用 KMS)。由于敏感数据可能存在于 SageMaker 笔记本中静态,因此启用静态加密以帮助保护这些数据。
附件-1 (a) (b) (d)

sns-encrypted-kms

要帮助保护静态数据,请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题要求使用Amazon Key Management Service(AmazonKM). 由于敏感数据可能存在于已发布邮件中静态,因此启用静态加密以帮助保护这些数据。
附件-1 (a) (b) (d)

ec2-ebs-encryption-by-default

为帮助保护静态数据,请确保为 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于敏感数据可能存在于这些卷中静态,因此启用静态加密以帮助保护这些数据。
附件-1 (a) (b) (d)

rds-snapshot-encrypted

确保为 Amazon Relational Database Service (Amazon RDS) 快照启用了加密。由于敏感数据可以处于静态状态,因此启用静态加密以帮助保护这些数据。
附件-1 (a) (b) (d)

启用了 alb-http 丢弃标题

确保您的弹性负载均衡器 (ELB) 配置为删除 http 标头。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
附件-1 (a) (b) (d)

确保启 Amazon Elasticsearch Service 密。利用节点到节点加密,将能够为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
附件-1 (a) (b) (d)

ELB-TLS-https-仅侦听器

确保您的弹性负载均衡器 (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可能存在,因此启用传输过程中的加密以帮助保护这些数据。
随员 _4

kms-cmk-not-scheduled-for-deletion

为了帮助保护静态数据,请确保未计划在Amazon Key Management Service(AmazonKM). 由于有时需要删除密钥,因此此此规则可以帮助检查计划删除的所有密钥,以防无意中安排密钥。
随员 _4

cmk-backing-key-rotation-enabled

启用密钥轮替,以确保在到达加密期限后,将轮换密钥。
附件-5 (d)

cmk-backing-key-rotation-enabled

启用密钥轮替,以确保在到达加密期限后,将轮换密钥。

Template

该模板在 GitHub 上提供。适用于 APRA CPLINAT 234 的运营最佳实践