我们建议升级到 CIS Fou Amazon ndations Benchmark v1.4.0，以了解最新的安全最佳实践，但你可能同时启用了 v1.4.0 和 v1.2.0。有关更多信息，请参阅启用和禁用安全标准。如果您想升级到 v1.4.0，最好先启用 v1.4.0，然后再禁用 v1.2.0。如果您使用与 Security Hub 的集成 Amazon Organizations 来集中管理多个帐户，并且想要在所有账户中批量启用 v1.4.0（并可选择禁用 v1.2.0），则可以从管理员帐户运行 S ecurity Hub 多账户脚本。

CIS Amazon 基金会基准测试版本 1.4.0 中存在但不存在于 v1.2.0 中的控件

CIS Amazon 基金会基准测试版本 1.4.0 中添加了以下控件。这些控件未包含在 CIS Amazon 基金会基准 v1.2.0 中。

安全控件 ID	CISv1.4.0 要求	控件标题
EC2.7	2.2.1	确保启用 EBS 卷加密
EC2.21	5.1	确保网络 ACL 不允许从 0.0.0.0/0 进入远程服务器管理端口
IAM.22	1.12	确保禁用 45 天或更长时间未使用的凭证
RDS.3	2.3.1	确保已为 RDS 实例启用加密
S3.1	2.1.5.1	应启用 S3 阻止公有访问设置
S3.5	2.1.2	确保 S3 存储桶策略已设置为拒绝 HTTP 请求
S3.8	2.1.5.2	应在存储桶级别启用 S3 阻止公有访问设置
S3.20	2.1.3	S3 通用存储桶应启用 MFA 删除功能

CIS Amazon 基金会基准测试版本 1.2.0 中存在但不存在于 v1.4.0 中的控件

以下控件仅存在于 CIS Amazon 基金会基准 v1.2.0 中。这些控件未包含在 CIS Amazon 基金会基准 v1.4.0 中。

安全控件 ID	CISv1.2.0 要求	控件标题	v1.4.0 中未包含原因
CloudWatch.2	3.1	确保存在关于未经授权的 API 调用的日志指标筛选条件和警报	自动检查 Security Hub 是否不支持
CloudWatch.3	3.2	确保存在关于无 MFA 的 Amazon Web Services Management Console 登录的日志指标筛选条件和警报	自动检查 Security Hub 是否不支持
EC2.13	4.1	确保没有安全组允许从 0.0.0.0/0 到端口 22 的入站流量	请改而参阅 [EC2.21] 网络 ACL 不应允许从 0.0.0.0/0 进入端口 22 或端口 3389。
EC2.14	4.2	确保没有安全组允许从 0.0.0.0/0 到端口 3389 的入站流量	自动检查 Security Hub 是否不支持
IAM.2	1.16	IAM 用户不应附加 IAM policy	自动检查 Security Hub 是否不支持
IAM.8	1.3	确保禁用 90 天或更长时间未使用的凭证	请改而参阅 [IAM.22] 应移除在 45 天内未使用的 IAM 用户凭证。
IAM.11	1.5	确保 IAM 密码策略要求包含至少一个大写字母	在 CISv1.4.0 中不是必需的
IAM.12	1.6	确保 IAM 密码策略要求包含至少一个小写字母	在 CISv1.4.0 中不是必需的
IAM.13	1.7	确保 IAM 密码策略要求包含至少一个符号	在 CISv1.4.0 中不是必需的
IAM.14	1.8	确保 IAM 密码策略要求包含至少一个数字	在 CISv1.4.0 中不是必需的
IAM.17	1.11	确保 IAM 密码策略使密码在 90 天或更短时间内失效	在 CISv1.4.0 中不是必需的
IAM.20	1.1	避开根用户的用户	请改而参阅 [CloudWatch.1] “root” 用户应有日志指标筛选器和警报。

CIS Amazon 基金会基准 v1.2.0 和 v1.4.0 中存在的控件

CIS Amazon 基金会基准测试版本 1.2.0 和 v1.4.0 中都存在以下控件。但是，每个版本中的控件 ID 和某些控件标题有所不同。

安全控件 ID	CISv1.2.0 要求	CISv1.2.0 中的控件标题	CISv1.4.0 要求	CISv1.4.0 中的控件标题
CloudTrail.1	2.1	确保 CloudTrail 在所有区域都已启用	3.1	确保 CloudTrail 在所有区域都已启用
CloudTrail.2	2.7	使用以下方法确保对 CloudTrail 日志进行静态加密 Amazon KMS keys	3.7	使用以下方法确保对 CloudTrail 日志进行静态加密 Amazon KMS keys
CloudTrail.4	2.2	确保已启用 CloudTrail 日志文件验证	3.2	确保已启用 CloudTrail 日志文件验证
CloudTrail.5	2.4	确保 CloudTrail 跟踪与 CloudWatch 日志集成	3.4	确保 CloudTrail 跟踪与 CloudWatch 日志集成
CloudTrail.6	2.3	确保用于存储 CloudTrail 日志的 S3 存储桶不可公开访问	3.3	确保用于存储 CloudTrail 日志的 S3 存储桶不可公开访问
CloudTrail.7	2.6	确保在 S3 存储桶上启用 CloudTrail S3 存储桶访问日志记录	3.6	确保在 S3 存储桶上启用 CloudTrail S3 存储桶访问日志记录
CloudWatch.1	1.1 3.3	1.1——避免使用根用户 3.3——确保存在关于使用根用户的日志指标筛选条件和警报	1.7	无需使用根用户执行管理和日常任务
CloudWatch.4	3.4	确保存在关于 IAM policy 更改的日志指标筛选条件和警报	4.4	确保存在关于 IAM 策略更改的日志指标筛选条件和警报
CloudWatch.5	3.5	确保存在 CloudTrail配置更改的日志指标筛选器和警报	4.5	确保存在 CloudTrail配置更改的日志指标筛选器和警报
CloudWatch.6	3.6	确保存在关于 Amazon Web Services Management Console 身份验证失败的日志指标筛选条件和警报	4.6	确保存在关于 Amazon Web Services Management Console 身份验证失败的日志指标筛选条件和警报
CloudWatch.7	3.7	确保存在日志指标筛选条件和警报，用于禁用或计划删除客户托管式密钥	4.7	确保存在日志指标筛选条件和警报，用于禁用或计划删除客户托管式密钥
CloudWatch.8	3.8	确保存在关于 S3 存储桶策略更改的日志指标筛选条件和警报	4.8	确保存在关于 S3 存储桶策略更改的日志指标筛选条件和警报
CloudWatch.9	3.9	确保存在关于 Amazon Config 配置更改的日志指标筛选条件和警报	4.9	确保存在关于 Amazon Config 配置更改的日志指标筛选条件和警报
CloudWatch.10	3.10	确保存在关于安全组更改的日志指标筛选条件和警报	4.10	确保存在关于安全组更改的日志指标筛选条件和警报
CloudWatch.11	3.11	确保存在关于网络访问控制列表 (NACL) 更改的日志指标筛选条件和警报	4.11	确保存在关于网络访问控制列表 (NACL) 更改的日志指标筛选条件和警报
CloudWatch.12	3.12	确保存在关于网络网关更改的日志指标筛选条件和警报	4.12	确保存在关于网络网关更改的日志指标筛选条件和警报
CloudWatch.13	3.13	确保存在关于路由表更改的日志指标筛选条件和警报	4.13	确保存在关于路由表更改的日志指标筛选条件和警报
CloudWatch.14	3.14	确保存在关于 VPC 更改的日志指标筛选条件和警报	4.14	确保存在关于 VPC 更改的日志指标筛选条件和警报
Config.1	2.5	确保 Amazon Config 已启用	3.5	确保 Amazon Config 在所有区域都已启用
EC2.2	4.3	确保每个 VPC 的默认安全组限制所有流量	5.3	确保每个 VPC 的默认安全组限制所有流量
EC2.6	2.9	确保在所有 VPC 中启用 VPC 流日志记录	3.9	确保在所有 VPC 中启用 VPC 流日志记录
IAM.1	1.22	确保未创建允许完全“.”管理权限的 IAM policy	1.16	确保未附加的允许完全“.”管理权限的 IAM policy
IAM.3	1.4	确保访问密钥每 90 天或更短时间轮换一次	1.14	确保访问密钥每 90 天或更短时间轮换一次
IAM.4	1.12	确保不存在根用户访问密钥	1.4	确保不存在根用户账户访问密钥
IAM.5	1.2	确保为拥有控制台密码的所有 IAM 用户启用多重身份验证（MFA）	1.10	确保为拥有控制台密码的所有 IAM 用户启用多重身份验证（MFA）
IAM.6	1.14	确保为根用户启用硬件 MFA	1.6	确保为根用户账户启用硬件 MFA
IAM.9	1.13	确保为根用户启用 MFA	1.5	确保为根用户账户启用 MFA
IAM.15	1.9	确保 IAM 密码策略要求最短密码长度不低于 14	1.8	确保 IAM 密码策略要求最短长度不低于 14
IAM.16	1.10	确保 IAM 密码策略阻止重复使用密码	1.9	确保 IAM 密码策略阻止重复使用密码
IAM.18	1.20	确保已创建支持角色来管理事件 Amazon Web Services Support	1.17	确保已创建支持角色来管理事件 Amazon Web Services Support
KMS.4	2.8	确保启用客户创建的 KMS 密钥的轮换	3.8	确保启用客户创建的 KMS 密钥的轮换

CIS Amazon 基金会基准 v1.4.0 的调查发现字段字段格式

启用 CIS Found Amazon ations Benchmark v1.4.0 后，您将开始以 Amazon 安全调查结果格式 (ASFF) 接收调查结果。对于这些结果，特定于标准的字段将参考 v1.4.0。对于 CIS Amazon 基金会基准 v1.4.0，请注意以下格式GeneratorID以及任何引用标准亚马逊资源名称 (ARN) 的 ASFF 字段。

标准 ARN——arn:partition:securityhub:region:account-id:standards/cis-aws-foundations-benchmark/v/1.4.0
GeneratorID – cis-aws-foundations-benchmark/v/1.4.0/control ID

您可以调用 GetEnabledStandardsAPI 接口来找出标准的 ARN。

注意

启用 CIS Fou Amazon ndations Benchmark v1.4.0 时，Security Hub 最多可能需要 18 小时才能为使用与其他启用标准中已启用的控件相同的 Amazon Config 服务关联规则的控件生成调查结果。有关更多信息，请参阅有关运行安全检查的计划。

如果您启用了整合的控件调查发现，则调查发现字段会有所不同。有关这些区别的更多信息，请参阅合并对 ASFF 字段和值的影响。有关开启和关闭合并功能的 CIS 控件调查发现示例，请参阅控件调查发现样本。

Security Hub 不支持的 CIS Amazon 基金会基准安全检查

本部分总结了 Security Hub 目前不支持的 CIS 要求。Center for Internet Security (CIS) 是一个独立的非营利组织，负责制定这些要求。

Security Hub 不支持的 CIS Amazon 基金会基准 v1.2.0 安全检查

Security Hub 目前不支持以下 CIS Amazon 基金会基准测试 v1.2.0 要求。

不支持的手动检查

Security Hub 专注于自动安全检查。因此，Security Hub 不支持 CIS Amazon Foundations Benchmark v1.2.0 的以下要求，因为它们需要手动检查您的资源：

1.15——确保安全问题已在 Amazon Web Services 账户中注册
1.17——维护最新的联系人详细信息
1.18——确保注册安全联系人信息
1.19——确保从实例访问 Amazon 资源时使用 IAM 实例角色
1.21——在初始用户设置期间，不要为具有控制台密码的所有 IAM 用户设置访问密钥
4.4——确保 VPC 对等连接的路由表为“最少访问”

Security Hub 支持 CIS Amazon 基金会基准测试 v1.2.0 的所有自动检查。

Security Hub 不支持的 CIS Amazon 基金会基准 v1.4.0 安全检查

Security Hub 目前不支持以下 CIS Amazon 基金会基准测试 v1.4.0 要求。

不支持的手动检查

Security Hub 专注于自动安全检查。因此，Security Hub 不支持 CIS Amazon Foundations Benchmark v1.4.0 的以下要求，因为它们需要手动检查您的资源：

1.1——维护最新的联系人详细信息
1.2——确保注册安全联系人信息
1.3——确保安全问题已在 Amazon Web Services 账户中注册
1.11——在初始用户设置期间，不要为具有控制台密码的所有 IAM 用户设置访问密钥
1.18——确保从实例访问 Amazon 资源时使用 IAM 实例角色
1.21 — 确保通过联合身份验证或 Amazon Organizations 在多账户环境中集中管理 IAM 用户
2.1.4——确保在需要时发现、分类和保护了 Amazon S3 中的所有数据
5.4——确保 VPC 对等连接的路由表为“最少访问”

不支持的自动检查

Security Hub 不支持 CIS Amazon Foundations Benchmark v1.4.0 中依赖自动检查的以下要求：

1.13——确保只有一个有效的访问密钥可供任何单个 IAM 用户使用
1.15——确保 IAM 用户仅通过群组获得权限
1.19——确保所有存储在 IAM 中的过期 SSL/TLS 证书都已删除
1.20——确保所有区域都启用 IAM 访问分析器
3.10——确保为 S3 存储桶启用写入事件的对象级日志记录
3.11——确保为 S3 存储桶启用读取事件的对象级日志记录
4.1——确保存在关于未经授权的 API 调用的日志指标筛选条件和警报
4.2——确保存在关于无 MFA 的管理控制台登录的日志指标筛选条件和警报
4.3——确保存在使用根账户的日志指标筛选条件和警报（这类似于自动要求，1.7——避免使用根用户执行管理和日常任务，Security Hub 支持此功能）
4.15——确保 Amazon Organizations 更改的日志指标筛选条件和警报存在
5.2 确保没有安全组允许从 0.0.0.0/0 进入远程服务器管理端口

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon FSBP

NIST SP 800-53 Rev. 5

Center for Internet Security (CIS) Amazon 基金会基准 v1.2.0 和 v1.4.0