Amazon EC2 Auto Scaling 控件 - Amazon Security Hub
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Amazon EC2 Auto Scaling 控件

这些控件与 Amazon EC2 Auto Scaling 资源有关。

这些控件可能并非全部可用 Amazon Web Services 区域。有关更多信息,请参阅 按地区划分的控件可用性

[AutoScaling.1] 与 Classic Load Balancer 关联的 Auto Scaling 组应使用负载均衡器运行状况检查

相关要求:PCI DSS v3.2.1/2.2、NIST.800-53.r5 CA-7、NIST.800-53.r5 CP-2(2)、NIST.800-53.r5 SI-2。

类别:识别 > 清单

严重性:

资源类型:AWS::AutoScaling::AutoScalingGroup

Amazon Config 规则:autoscaling-group-elb-healthcheck-required

计划类型:已触发变更

参数:

此控件检查与经典负载均衡器关联的自动扩缩组是否正在使用弹性负载均衡运行状况检查。

这可确保该组可以根据负载均衡器提供的其他测试确定实例的运行状况。使用弹性负载均衡运行状况检查有助于支持使用 EC2 自动扩缩组的应用程序的可用性。

修复

要添加弹性负载均衡运行状况检查,请参阅 Amazon EC2 Auto Scaling 用户指南中的添加弹性负载均衡运行状况检查

[AutoScaling.2] Amazon EC2 Auto Scaling 组应覆盖多个可用区

相关要求:NIST.800-53.r5 CP-10、NIST.800-53.r5 CP-2(2)、NIST.800-53.r5 CP-6(2)、NIST.800-53.r5 SC-36、NIST.800-53.r5 SC-5(2)、NIST.800-53.r5 SI-13(5)。

类别:恢复 > 弹性 > 高可用性

严重性:

资源类型:AWS::AutoScaling::AutoScalingGroup

Amazon Config 规则:autoscaling-multiple-az

计划类型:已触发变更

参数:

参数 描述 类型 允许的自定义值 Security Hub 默认值

minAvailabilityZones

可用区的最小数量

枚举

2, 3, 4, 5, 6

2

该控件检查 Amazon EC2 Auto Scaling 组是否至少跨越指定数量的可用区(AZ)。如果自动扩缩组未跨越至少指定数量的可用区,则控制失败。除非您为可用区的最小数量提供自定义参数值,否则 Security Hub 将使用默认值即两个可用区。

如果配置的单个可用区不可用,不跨多个可用区的自动扩缩组无法在另一个可用区中启动实例来进行补偿。但在某些使用案例中,例如批处理作业,或需要将可用区间传输成本保持在最低时,首选具有单个可用区的自动扩缩组。在这种情况下,您可以禁用此控件或隐藏其调查发现。

修复

要向现有自动扩缩组添加可用区,请参阅《Amazon EC2 Auto Scaling 用户指南》中的添加和删除可用区

[AutoScaling.3] Auto Scaling 组启动配置应将 EC2 实例配置为需要实例元数据服务版本 2 (imdsv2)

相关要求:NIST.800-53.r5 AC-3、 NIST.800-53.r5 AC-3(15)、NIST.800-53.r5 AC-3(7)、NIST.800-53.r5 AC-6、NIST.800-53.r5 CA-9(1)、NIST.800-53.r5 CM-2。

类别:保护 > 安全网络配置

严重性:

资源类型:AWS::AutoScaling::LaunchConfiguration

Amazon Config 规则:autoscaling-launchconfig-requires-imdsv2

计划类型:已触发变更

参数:

此控件检查是否在 Amazon EC2 自动扩缩组启动的所有实例上启用了 IMDSv2。如果启动配置中未包含实例元数据服务(IMDS)版本,或者同时启用 IMDSv1 和 IMDSv2,则控制失败。

IMDS 提供有关实例的数据,您可以使用这些数据来配置或管理正在运行的实例。

IMDS 第 2 版添加了 IMDSv1 中没有的新保护措施,以进一步保护 EC2 实例。

修复

自动扩缩组一次与一个启动配置关联。在创建启动配置后,您将无法对其进行修改。要更改自动扩缩组的启动配置,请使用现有启动配置作为启用 IMDSv2 的新启动配置的基础。有关更多信息,请参阅 Amazon EC2 用户指南(适用于 Linux 实例)中的为新实例配置实例元数据选项

[AutoScaling.4] Auto Scaling 组启动配置的元数据响应跳跃限制不应大于 1

重要

Security Hub 将于 2024 年 3 月取消此控件。有关更多信息,请参阅 Security Hub 控件的更改日志

相关要求:NIST.800-53.r5 CA-9(1)、NIST.800-53.r5 CM-2、NIST.800-53.r5 CM-2(2)。

类别:保护 > 安全网络配置

严重性:

资源类型:AWS::AutoScaling::LaunchConfiguration

Amazon Config 规则:autoscaling-launch-config-hop-limit

计划类型:已触发变更

参数:

此控件检查元数据令牌可以传输的网络跃点数。如果元数据响应跳数限制大于 1,则控制失败。

实例元数据服务(IMDS)提供有关 Amazon EC2 实例的元数据信息,对于应用程序配置非常有用。将元数据服务的 HTTP PUT 响应限制为 EC2 实例,可保护 IMDS 免遭未经授权的使用。

IP 数据包中的生存时间 (TTL) 字段每个跳点上减少一个。这种减少可用于确保数据包不会在 EC2 之外传输。IMDSv2 保护可能被错误配置为开放路由器、第 3 层防火墙、VPN、隧道或 NAT 设备的 EC2 实例,从而防止未经授权的用户检索元数据。在 IMDSv2 中,由于默认的元数据响应跃点限制设置为 1,因此包含密钥令牌的 PUT 响应无法传送到实例之外。但是,如果该值大于 1,则令牌可以离开 EC2 实例。

修复

要修改现有启动配置的元数据响应跃点限制,请参阅适用于 Linux 实例的 Amazon EC2 用户指南中的修改现有实例的实例元数据选项

[Autoscaling.5] 使用自动扩缩组启动配置启动的 Amazon EC2 实例不应具有公有 IP 地址

相关要求:NIST.800-53.r5 AC-21、NIST.800-53.r5 AC-3、NIST.800-53.r5 AC-3(7)、NIST.800-53.r5 AC-4、NIST.800-53.r5 AC-4(21)、NIST.800-53.r5 AC-6、NIST.800-53.r5 SC-7、NIST.800-53.r5 SC-7(11)、NIST.800-53.r5 SC-7(16)、NIST.800-53.r5 SC-7(20)、NIST.800-53.r5 SC-7(21)、NIST.800-53.r5 SC-7(3)、NIST.800-53.r5 SC-7(4)、NIST.800-53.r5 SC-7(9)。

类别:保护 > 安全网络配置

严重性:

资源类型:AWS::AutoScaling::LaunchConfiguration

Amazon Config 规则:autoscaling-launch-config-public-ip-disabled

计划类型:已触发变更

参数:

此控件检查自动扩缩组的关联启动配置是否为该组的实例分配了公有 IP 地址。如果关联的启动配置分配了公有 IP 地址,则控制失败。

自动扩缩组启动配置中的 Amazon EC2 实例不应具有关联的公有 IP 地址,有限的边缘情况除外。Amazon EC2 实例只能从负载均衡器后面访问,而不能直接暴露在 Internet 上。

修复

自动扩缩组一次与一个启动配置关联。在创建启动配置后,您将无法对其进行修改。要更改 Auto Scaling 组的启动配置,请将现有的启动配置作为新启动配置的基础。然后,更新 Auto Scaling 组以使用新的启动配置。有关 step-by-step 说明,请参阅 Amazon EC2 Auto Scaling 用户指南中的更改 Auto Scaling 组的启动配置。创建新的启动配置时,在其他配置下,在高级详细信息、IP 地址类型下,选择不要为任何实例分配公有 IP 地址

变更启动配置后,自动扩缩会使用新的配置选项启动新实例。现有实例不受影响。要更新现有实例,我们建议您刷新实例,或者根据终止策略启用自动扩缩,以逐步使用较新实例替换较旧实例。有关更新自动扩缩实例的更多信息,请参阅 Amazon EC2 Auto Scaling 用户指南中的更新自动扩缩实例

[AutoScaling.6] Auto Scaling 组应在多个可用区域中使用多种实例类型

相关要求:NIST.800-53.r5 CP-10、NIST.800-53.r5 CP-2(2)、NIST.800-53.r5 CP-6(2)、NIST.800-53.r5 SC-36、NIST.800-53.r5 SC-5(2)、NIST.800-53.r5 SI-13(5)。

类别:恢复 > 弹性 > 高可用性

严重性:

资源类型:AWS::AutoScaling::AutoScalingGroup

Amazon Config 规则:autoscaling-multiple-instance-types

计划类型:已触发变更

参数:

此控件检查 Amazon EC2 自动扩缩组是否使用多种实例类型。如果自动扩缩组仅定义了一个实例类型,则控制失败。

您可以跨多个可用区中运行的多个实例类型部署应用程序以提高可用性。Security Hub 建议使用多种实例类型,以便自动扩缩组在您选择的可用区中实例容量不足时可以启动另一种实例类型。

修复

要创建具有多个实例类型的自动扩缩组,请参阅 Amazon EC2 Auto Scaling 用户指南中的具有多个实例类型和购买选项的自动扩缩组

[AutoScaling.9] 亚马逊 EC2 Auto Scaling 小组应使用亚马逊 EC2 启动模板

相关要求:NIST.800-53.r5 CA-9(1)、NIST.800-53.r5 CM-2、NIST.800-53.r5 CM-2(2)。

类别:识别 > 资源配置

严重性:

资源类型:AWS::AutoScaling::AutoScalingGroup

Amazon Config 规则:autoscaling-launch-template

计划类型:已触发变更

参数:

此控件检查 Amazon EC2 自动扩缩组是否是基于 EC2 启动模板创建的。如果未使用启动模板创建 Amazon EC2 自动扩缩组,或者混合实例策略中未指定启动模板,则此控制失败。

可以从 EC2 启动模板或启动配置创建 EC2 自动扩缩组。但是,使用启动模板创建自动扩缩组可确保您能够访问最新功能和改进。

修复

要使用 EC2 启动模板创建自动扩缩组,请参阅 Amazon EC2 Auto Scaling 用户指南 中的使用启动模板创建自动扩缩组。有关如何用启动模板替换启动配置的信息,请参阅适用于 Windows 实例的 Amazon EC2 用户指南中的用启动模板替换启动配置