的 RBI 网络安全框架的运营最佳实践UCBs - AWS Config
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

的 RBI 网络安全框架的运营最佳实践UCBs

一致性包提供了通用的合规性框架,旨在使您能够使用托管或自定义 AWS Config 规则以及 AWS Config 修正操作来创建安全、操作或成本优化监管检查。作为示例模板的一致性包并非旨在完全确保符合特定监管或合规性标准。您有责任评估您对服务的使用是否符合适用的法律法规要求。

下面提供了印度预留银行 (RBI) 网络安全模式与 AWS 托管配置规则之间的示例映射。每个 Config 规则适用于特定的 AWS 资源,并与一个或多个适用于 UCBs 的 RBI 网络安全框架控制相关。用于 UCBs 控制的 RBI Cyber Security Framework 可与多个 Config 规则相关。有关与这些映射相关的更多详细信息和指导,请参阅下表。

AWS 区域: 所有支持的 AWS 区域(中东(巴林) 除外)

控制 ID AWS Config 规则 指南
Annex_I(1.1)

ec2-instance-managed-by-systems-manager

使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 实例,即可列出组织中的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发布者和版本,以及有关环境的其他详细信息。
Annex_I(1.3)

通过确保 AWS ACM 颁发 X509 证书,确保网络完整性。这些证书必须是有效证书,并且不会过期。此规则需要 daysToExpiration 的值(AWS 基础安全最佳实践值:90)。实际值应反映您组织的策略。
Annex_I(1.3)

alb-http-drop-invalid-header-enabled

确保您的 Elastic Load Balancer (ELB) 配置为删除 http 标头。由于敏感数据可以存在,因此启用传输中加密以保护该数据。
Annex_I(1.3)

alb-http-to-https-redirection-check

为了帮助保护传输中的数据,请确保您的 Application Load Balancer 自动将未加密的 HTTP 请求重定向到 HTTPS。由于敏感数据可以存在,因此启用传输中加密以保护该数据。
Annex_I(1.3)

api-gw-cache-enabled-and-encrypted

为了帮助保护静态数据,请确保已为 API Gateway 阶段的缓存启用加密。由于可为 API 方法捕获敏感数据,请启用静态加密以帮助保护这些数据。
Annex_I(1.3)

由于敏感数据可能存在并有助于保护静态数据,请确保为您的 AWS CloudTrail 跟踪启用加密。
Annex_I(1.3)

为了帮助保护敏感数据的静态保护,请确保已为您的 Amazon CloudWatch 日志组启用加密。
Annex_I(1.3)

启用密钥轮换,以确保在到达加密期限时轮换密钥。
Annex_I(1.3)

dynamodb-table-encrypted-kms

确保已为您的 Amazon DynamoDB 表启用加密。由于敏感数据可存在于这些表中,因此启用静态加密以帮助保护这些数据。默认情况下,将使用 AWS 拥有的客户主密钥 (CMK) 对 DynamoDB 表进行加密。
Annex_I(1.3)

ec2-ebs-encryption-by-default

为了帮助保护静态数据,请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。由于敏感数据可存在于这些卷中,因此启用静态加密以帮助保护这些数据。
Annex_I(1.3)

由于敏感数据可以存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic File System (EFS) 启用加密。
Annex_I(1.3)

由于敏感数据可以存在并有助于保护静态数据,请确保为您的 Amazon Elasticsearch Service (Amazon ES) 域启用加密。
Annex_I(1.3)

确保为 Amazon Elasticsearch Service 启用节点到节点加密。节点到节点加密为 Amazon Virtual Private Cloud (Amazon VPC) 内的所有通信启用 TLS 1.2 加密。由于敏感数据可以存在,因此启用传输中加密以保护该数据。
Annex_I(1.3)

由于敏感数据可以存在并有助于保护传输中的数据,因此请确保为 Elastic Load Balancing 启用加密。使用 AWS Certificate Manager 通过 AWS 服务和内部资源管理、预置和部署公有和私有 SSL/TLS 证书。
Annex_I(1.3)

elb-tls-https-listeners-only

确保您的 Elastic Load Balancer (ELB) 配置了 SSL 或 HTTPS 侦听器。由于敏感数据可以存在,因此启用传输中加密以保护该数据。
Annex_I(1.3)

由于敏感型数据可以存在并有助于保护静态数据,因此请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。
Annex_I(1.3)

kms-cmk-not-scheduled-for-deletion

为了帮助保护静态数据,请确保不会计划在 AWS Key Management Service (AWS KMS) 中删除必要的客户主密钥 (CMK)。由于密钥删除有时是必需的,此规则可以帮助检查计划删除的所有密钥,以防意外计划密钥。
Annex_I(1.3)

rds-snapshot-encrypted

确保为您的 Amazon Relational Database Service (Amazon RDS) 快照启用了加密。由于敏感数据可以存在,请启用静态加密以帮助保护该数据。
Annex_I(1.3)

为了帮助保护静态数据,请确保已为您的 Amazon Relational Database Service (Amazon RDS) 实例启用加密。由于敏感数据可存在于 Amazon RDS 实例中,因此启用静态加密以帮助保护这些数据。
Annex_I(1.3)

redshift-cluster-configuration-check

要保护静态数据,请确保已为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审核日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted(配置默认值:TRUE)和 loggingEnabled(配置默认值:TRUE)设置值。实际值应反映您组织的策略。
Annex_I(1.3)

redshift-require-tls-ssl

确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接到 SQL 客户端。由于敏感数据可以存在,因此启用传输中加密以保护该数据。
Annex_I(1.3)

为了帮助保护静态数据,请确保为您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于敏感数据可存在于 Amazon S3 存储桶中,因此,请启用加密以帮助保护该数据。
Annex_I(1.3)

为了帮助保护传输中的数据,请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶需要请求使用安全套接字层 (SSL)。由于敏感数据可以存在,因此启用传输中加密以保护该数据。
Annex_I(1.3)

sagemaker-endpoint-configuration-kms-key-configured

为了帮助保护静态数据,请确保为您的 SageMaker 终端节点启用了 AWS Key Management Service (AWS KMS) 加密。由于敏感数据可存在于 SageMaker 终端节点中,因此启用静态加密以帮助保护这些数据。
Annex_I(1.3)

为了帮助保护静态数据,请确保为您的 SageMaker 笔记本启用了 AWS Key Management Service (AWS KMS) 加密。由于敏感数据可存在于 SageMaker 笔记本中,请启用静态加密以帮助保护该数据。
Annex_I(1.3)

sns-encrypted-kms

为了帮助保护静态数据,请确保您的 Amazon Simple Notification Service (Amazon SNS) 主题需要使用 AWS Key Management Service (AWS KMS) 进行加密。由于敏感数据可存在于发布的消息中,请启用静态加密以帮助保护该数据。
Annex_I(1.3)

dms-replication-not-public

通过确保 DMS 复制实例不可公开访问来管理对 AWS 云的访问。DMS 复制实例可以包含敏感信息,并且此类账户需要访问控制。
Annex_I(1.3)

ebs-snapshot-public-restorable-check

通过确保 EBS 快照不可公开还原,管理对 AWS 云的访问。EBS 卷快照可能包含敏感信息,并且此类账户需要访问控制。
Annex_I(1.3)

ec2-instance-no-public-ip

通过确保无法公开访问 Amazon Elastic Compute Cloud (Amazon EC2) 实例来管理对 AWS 云的访问。Amazon EC2 实例可以包含敏感信息,并且此类账户需要访问控制。
Annex_I(1.3)

elasticsearch-in-vpc-only

通过确保 Amazon Elasticsearch Service (Amazon ES) 域位于 Amazon Virtual Private Cloud (Amazon VPC) 中来管理对 AWS 云的访问。Amazon VPC 中的 Amazon ES 域支持 Amazon ES 与 Amazon VPC 中的其他服务之间的安全通信,而无需 Internet 网关、NAT 设备或 VPN 连接。
Annex_I(1.3)

emr-master-no-public-ip

通过确保 Amazon EMR 集群主节点不可公开访问来管理对 AWS 云的访问。Amazon EMR 集群主节点可以包含敏感信息,并且此类账户需要访问控制。
Annex_I(1.3)

ec2-instances-in-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 Amazon Elastic Compute Cloud (Amazon EC2) 实例,以实现实例与 Amazon VPC 内其他服务之间的安全通信,无需 Internet 网关、NAT 设备或 VPN 连接。AWS 云中的所有流量都会保持安全。由于它们的逻辑隔离,与使用公共终端节点的域相比,驻留在 anAmazon VPC 中的域有一层额外的安全性。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问。
Annex_I(1.3)

internet-gateway-authorized-vpc-only

通过确保互联网网关仅附加到授权的 Amazon Virtual Private Cloud (Amazon VPC) 来管理对 AWS 云中资源的访问。Internet 网关允许对 Amazon VPC 进行双向 Internet 访问,这可能会导致对 Amazon VPC 资源进行未经授权的访问。
Annex_I(1.3)

通过确保 AWS Lambda 函数不可公开访问,在 AWS 云中管理对资源的访问。公开访问可能会导致资源可用性下降。
Annex_I(1.3)

lambda-inside-vpc

在 Amazon Virtual Private Cloud (Amazon VPC) 中部署 AWS Lambda 函数,以便在函数和 Amazon VPC 中的其他服务之间进行安全通信。使用此配置,您无需 Internet 网关、NAT 设备或 VPN 连接。在 AWS 云中,所有流量都保持安全。由于它们的逻辑隔离,与使用公共终端节点的域相比,驻留在 Amazon VPC 中的域有一层额外的安全性。要正确管理访问权限,AWS Lambda 函数应分配给 VPC。
Annex_I(1.3)

rds-instance-public-access-check

通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有实例,管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可包含敏感信息,并且这些账户需要原则和访问控制。
Annex_I(1.3)

rds-snapshots-public-prohibited

通过确保 Amazon Relational Database Service (Amazon RDS) 实例不是公有实例,管理对 AWS 云中资源的访问。Amazon RDS 数据库实例可以包含敏感信息和原则,这些账户需要访问控制。
Annex_I(1.3)

redshift-cluster-public-access-check

通过确保 Amazon Redshift 集群不是公有集群,在 AWS 云中管理对资源的访问。Amazon Redshift 集群可以包含敏感信息和原则,这些账户需要访问控制。
Annex_I(1.3)

restricted-common-ports

通过确保限制 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上的常见端口,管理对 AWS 云中资源的访问。不将对端口的访问限制为受信任的来源可能会导致对系统的可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数(配置默认值:20,21,3389,3306,333)。实际值应反映您组织的策略。
Annex_I(1.3)

s3-account-level-public-access-blocks

通过确保 Amazon Simple Storage Service (Amazon S3) 存储桶不可公开访问,在 AWS 云中管理对资源的访问。此规则通过防止公有访问来帮助使敏感数据免受未经授权的远程用户的影响。此规则允许您选择性地设置 ignorePublicAcls(配置默认值:True)、blockPublicPolicy(配置默认值:True)、blockPublicAcls(配置默认值:True)和 restrictPublicBuckets 参数(配置默认值:True)。实际值应反映您组织的策略。
Annex_I(1.3)

通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶来管理对 AWS 云中资源的访问。访问管理应与数据的分类一致。
Annex_I(1.3)

通过仅允许授权用户、进程和设备访问 Amazon Simple Storage Service (Amazon S3) 存储桶来管理对 AWS 云中资源的访问。访问管理应与数据的分类一致。
Annex_I(1.3)

通过确保 Amazon SageMaker 笔记本不允许直接 Internet 访问,在 AWS 云中管理对资源的访问。通过防止直接 Internet 访问,您可以防止未经授权的用户访问敏感数据。
Annex_I(5.1)

确保在 Elastic Load Balancer (ELB) 上启用 AWS WAF 以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或 APIs 免遭常见 Web 漏洞的攻击。这些 Web 漏洞可能会影响可用性、损害安全性或在环境中消耗过多的资源。
Annex_I(5.1)

vpc-default-security-group-closed

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可提供对 AWS 资源传入和传出网络流量的有状态筛选,从而帮助管理网络访问。限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
Annex_I(5.1)

vpc-sg-open-only-to-authorized-ports

通过确保限制 Amazon Elastic Compute Cloud (Amazon EC2) 安全组上的常见端口,管理对 AWS 云中资源的访问。不将端口上的访问限制为受信任的源可能会导致对系统的可用性、完整性和机密性的攻击。通过限制从 Internet 对安全组内资源的访问 (0.0.0.0/0),可以控制对内部系统的远程访问。
Annex_I (6)

ec2-managedinstance-association-compliance-status-check

使用 AWS Systems Manager 关联可帮助清点组织中的软件平台和应用程序。AWS Systems Manager 为托管实例分配配置状态,并允许您设置操作系统补丁级别、软件安装、应用程序配置以及其他有关环境的详细信息的基准。
Annex_I (6)

ec2-managedinstance-patch-compliance-status-check

启用此规则可帮助识别和记录 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。该规则根据组织的策略和过程的要求检查 AWS Systems Manager 中的 Amazon EC2 实例补丁是否合规性。
Annex_I (6)

guardduty-non-archived-findings

Amazon GuardDuty 通过按严重性对结果进行分类来帮助您了解事件的影响:低、中和高。您可以使用这些分类来确定修复策略和优先级。此规则允许您根据组织的策略,选择性地为非存档结果设置 daysLowSev(配置默认值:30)、daysMediumSev(配置默认值:7)和 daysHighSev(配置默认值:1)。
Annex_I(7.1)

iam-policy-no-statements-with-admin-access

AWS Identity and Access Management (IAM) 可帮助您遵循最低特权原则和访问权限和授权责任共担原则,限制策略包含“效果”:“Allow”,在“Resource”上包含“Action”:“*”:“*”。 允许用户拥有比完成任务所需更多的权限可能会违反最低权限和职责分离原则。
Annex_I(7.1)

iam-root-access-key-check

通过检查根用户是否将访问密钥附加到其 AWS Identity and Access Management (IAM) 角色,可以控制对系统和资产的访问。确保删除根访问密钥。而是创建并使用基于角色的 AWS 账户来帮助纳入最低功能原则。
Annex_I(7.1)

iam-user-no-policies-check

此规则可确保 AWS Identity and Access Management (IAM) 策略仅附加到组或角色来控制对系统和资产的访问。在组或角色级别分配权限有助于减少身份收到或保留过多权限的机会。
Annex_I(7.1)

iam-no-inline-policy-check

确保 AWS Identity and Access Management (IAM) 用户、IAM 角色或 IAM 组没有控制对系统和资产的访问的内联策略。AWS 建议使用托管策略而不是内联策略。托管策略允许重用、版本控制和回滚以及委派权限管理。
Annex_I(7.2)

iam-password-policy

将根据组织 IAM 密码策略颁发、管理和验证身份和凭证。它们满足或超过 NIST SP 800-63 和 Centers for Internet Security (CIS) AWS Foundations 基准密码强度要求。此规则允许您选择设置 RequireUppercaseCharacters(AWS 基础安全最佳实践值:true)、RequireLowercaseCharacters(AWS 基础安全最佳实践值:true)、RequireSymbols(AWS 基础安全最佳实践值:true)、RequireNumbers(AWS 基础安全最佳实践值:true)、MinimumPasswordLength(AWS 基础安全最佳实践值:14)、PasswordReusePrevention(AWS 基础安全最佳实践值:24)和 MaxPasswordAge(AWS 基础最佳实践值:90)。实际值应反映您组织的策略。
Annex_I(7.3)

restricted-ssh

Amazon Elastic Compute Cloud (Amazon EC2) 安全组可提供对 AWS 资源传入和传出网络流量的有状态筛选,从而帮助管理网络访问。不允许从 0.0.0.0/0 到资源上的端口 22 的入口(或远程)流量可帮助您限制远程访问。
Annex_I(7.4)

zapi-gw-execution-logging-enabled

API Gateway 日志记录显示访问了 API 的用户及其访问 API 的方式的详细视图。此见解可实现用户活动的可见性。
Annex_I(7.4)

cloud-trail-cloud-watch-logs-enabled

使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据提供了您的 AWS 账户中的 API 调用活动的详细信息。
Annex_I(7.4)

cloudtrail-enabled

AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助进行不可检索。您可以标识调用 AWS 服务的用户和 AWS 账户、调用生成的源 IP 地址以及调用的计时。捕获的数据的详细信息在 AWS CloudTrail 记录内容中。
Annex_I(7.4)

cloudtrail-s3-dataevents-enabled

Simple Storage Service (Amazon S3) 数据事件的集合有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。
Annex_I(7.4)

cw-loggroup-retention-period-check

确保为您的日志组保留事件日志数据的最短持续时间,以帮助进行故障排除和取证调查。缺少可用的过去事件日志数据使得难以重新构造和识别潜在的恶意事件。
Annex_I(7.4)

elb-logging-enabled

Elastic Load Balancing 活动是环境中的通信中心。确保已启用 ELB 日志记录。收集的数据提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息 (例如,收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应)。
Annex_I(7.4)

multi-region-cloudtrail-enabled

AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以标识哪些用户和账户调用了 AWS、从中发出调用的源 IP 地址以及调用的发生时间。如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED,CloudTrail 会将所有 AWS 区域中的日志文件传送到您的 S3 存储桶。此外,当 AWS 启动新区域时,CloudTrail 将在新区域中创建相同的跟踪。因此,您将收到包含新区域的 API 活动的日志文件,而无需执行任何操作。
Annex_I(7.4)

为了帮助在您的环境中进行日志记录和监控,请确保启用 Amazon Relational Database Service (Amazon RDS) 日志记录。借助 Amazon RDS 日志记录,您可以捕获连接、断开连接、查询或查询的表等事件。
Annex_I(7.4)

s3-bucket-logging-enabled

Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录提供了一种监控网络是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录来监控事件。每个访问日志记录都提供有关单个访问请求的详细信息。详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码(如果相关)。
Annex_I(7.4)

vpc-flow-logs-enabled

VPC 流日志提供有关传入和传出 Amazon Virtual Private Cloud (Amazon VPC) 中的网络接口的 IP 流量的详细信息。默认情况下,流日志记录包含 IP 流的不同组件的值,包括源、目标和协议。
Annex_I(7.4)

为了帮助在您的环境中进行日志记录和监控,请在区域和全球 Web ACLs 上启用 AWS WAF (V2) 日志记录。 AWS WAF 日志记录提供有关 Web ACL 分析的流量的详细信息。这些日志记录 AWS WAF 接收来自 AWS 资源的请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
Annex_I(7.4)

redshift-cluster-configuration-check

要保护静态数据,请确保已为您的 Amazon Redshift 集群启用加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审核日志记录以提供有关数据库中的连接和用户活动的信息。此规则要求为 clusterDbEncrypted(配置默认值:TRUE)和 loggingEnabled(配置默认值:TRUE)设置值。实际值应反映您组织的策略。
Annex_I(12)

db-instance-backup-enabled

Amazon RDS 的备份功能创建数据库和事务日志的备份。Amazon RDS 自动创建数据库实例的存储卷快照,并备份整个数据库实例。系统允许您设置特定的保留期以满足您的恢复能力要求。
Annex_I(12)

dynamodb-in-backup-plan

为了帮助备份数据过程,请确保您的 Amazon DynamoDB 表是 AWS Backup 计划的一部分。AWS Backup 是一项具有基于策略的备份解决方案的完全托管的备份服务。此解决方案简化了备份管理,并使您能够满足业务和监管备份合规性要求。
Annex_I(12)

dynamodb-pitr-enabled

启用此规则可检查是否已备份信息。它还通过确保在 Amazon DynamoDB 中启用时间点恢复来维护备份。 恢复将保留过去 35 天的表的连续备份。
Annex_I(12)

ebs-in-backup-plan

为了帮助处理数据备份过程,请确保您的 Amazon Elastic Block Store (Amazon EBS) 卷是 AWS Backup 计划的一部分。AWS Backup 是一项具有基于策略的备份解决方案的完全托管的备份服务。此解决方案简化了备份管理,并使您能够满足业务和监管备份合规性要求。
Annex_I(12)

efs-in-backup-plan

为了帮助备份数据过程,请确保您的 Amazon Elastic File System (Amazon EFS) 文件系统是 AWS Backup 计划的一部分。AWS Backup 是一项具有基于策略的备份解决方案的完全托管的备份服务。此解决方案简化了备份管理,并使您能够满足业务和监管备份合规性要求。
Annex_I(12)

elasticache-redis-cluster-automatic-backup-check

在启用自动备份时,Amazon ElastiCache 每天为集群创建备份。备份可以保留您的组织指定的天数。自动备份可以帮助防止数据丢失。如果发生故障,您可以创建一个新集群,以从最新的备份还原数据。
Annex_I(12)

rds-in-backup-plan

为了帮助备份数据过程,请确保您的 Amazon Relational Database Service (Amazon RDS) 实例是 AWS Backup 计划的一部分。AWS Backup 是一项具有基于策略的备份解决方案的完全托管的备份服务。此解决方案简化了备份管理,并使您能够满足业务和监管备份合规性要求。
Annex_I(12)

s3-bucket-replication-enabled

Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持充足的容量和可用性。CRR 允许跨 Amazon S3 存储桶自动以异步方式复制对象,以帮助确保维护数据可用性。
Annex_I(12)

s3-bucket-versioning-enabled

Amazon Simple Storage Service (Amazon S3) 存储桶版本控制可帮助将对象的多个变体保留在同一 Amazon S3 存储桶中。使用版本控制可保留、检索和还原存储在 Amazon S3 存储桶中的每个对象的每个版本。版本控制可帮助您轻松从意外用户操作和应用程序故障中恢复。

Template

该模板在 GitHub 上可用: 的 RBI 网络安全框架的 UCBs 操作最佳实践